バイナリ解析OSS管理ツール Insignary Clarity

ソフトウェアサプライチェーンのセキュリティリスク

生成AIによるコードベースの汚染

AIコーディングアシスタントが生成するコードには、気づかないうちにOSSが紛れ込んでいることがあります。コード生成AIは公開されているソースコードを学習しているため、生成されたコードにOSS由来のライセンス違反や脆弱性のリスクが潜んでいる可能性があります。ひとたびOSSの断片(スニペット)が自社コードに混入すると、コピーペーストなどでコードベース全体に広がり、時間の経過とともに対処は困難になっていきます。これをコードベースの汚染と表現しています。​

• 比較的寛容なライセンスであっても、表示義務を果たさなければ違反になります。
• ​GPLやコピーレフトライセンスのコードスニペットを使用している場合、自作のコードにも義務が課せられ、そのコードが派生物とみなされる可能性があります。
• ​ 提供するコードが適切にライセンスされているのを保証する必要がある場合、未宣言のライセンスやスニペットは契約上のリスクになります。

​ ​解決策としては、OSSの断片をスニペット検出に対応したSCA(ソフトウェア構成分析)ツールでチェックすることです。重要なのは、ライセンス違反や脆弱性の存在に、より早く気づけるかどうかです。そこで、Insignary Clarityの利用をおすすめします。​

複雑化・不透明化が進むサプライチェーンにおける、OSS管理の課題と解決

ソフトウェアサプライチェーンでは、ソースコードが提供されず、バイナリでのみが提供されるケースも少なくありません。使用されているOSSの把握が難しく、潜在的なセキュリティリスクやライセンスコンプライアンス遵守における課題を抱えることになります。

• 委託先がOSSやサードパーティ製ソフトウェアを利用している場合、発注側からその内容がブラックボックス化してしまう。
• ある製品を構成するコンポーネントの一番弱いセキュリティレベルが、その製品のセキュリティレベルになるため、自社のコードのセキュリティ対策をしても他が脆弱では意味がない。
• 最終的な製品は様々なモノから構成され、利用されているOSSの把握が難しく、リスクの有無自体を知ることができない。

解決策としては、バイナリを含め、最終的な製品を構成するすべての要素についてSBOMを作成するのが望ましいといえます。そこで、Insignary Clarityの利用をおすすめします。 Clarityの技術は、バイナリに残るソースコード情報の断片を基にOSSを探索するため、「バイナリコンポーネント用のリポジトリがない」「ハッシュベースのマッチングが難しい」といったケースにも対応できます。

Insignary Clarity 体験版をお試しください