はじめに
最近はセキュリティインシデントが多く、脆弱性対応で追われる日々ですね...
AWS Security Agentを使用すれば、設計レビュー→コードレビュー→ペネトレーションテストを行ってくれます。
セキュリティに特化したAIレビューが出来るとのことなので、触ってみます。
Security Agentのペネトレーションテストとは：
AIエージェントが自律的に攻撃者の視点で脆弱性を探し出し、実際の攻撃ペイロードを送信して悪用の成否まで検証する自動ペネトレーションテスト（ペンテスト）サービス
タイトル通り、コードレビューのみ試します。
ペネトレーションテストは、またの機会にします。
事前準備
意図的に脆弱性を埋め込んだ学習用のWebアプリケーションのVulnadoをForkします。
セットアップ
Security Agentにて、エージェントスペースの作成を行います。
エージェントスペース作成後、コードレビューを有効にします。
追加を押下して、GitHubを選択します。
先ほどForkしたリポジトリに対して、AWS Security Agent Appをインストールします。
全リポジトリでなく、Forkしたリポジトリになっていることを確認して、インストールしてください。
上記で設定完了後、追加を押下して、先ほど作成した統合を設定します。
後は流れに沿って進めましょう。
今回は、「自動コード修正」と「シミュレーション検証」にチェックを入れました。
現在(2026年11月3日)は、プレビュー機能なので、無料です。
完了しました。そこまで規模は大きくないリポジトリでしたが、4時間程掛かりました。
検出は合計15件（重要3、高9、中2、低1）。ほかに、低信頼度や情報レベルの検出が10件、非表示になっています。
vulnadoの演習で想定されている4つの脆弱性（SQLインジェクション、XSS、SSRF、RCE/コマンドインジェクション）を、すべて検出しています。
「検出結果」タブで、検出結果の詳細を確認したり、PDF形式のレポートを作成できたり、修正PRを作成したりできます。
修正PRを作成できるのはプライベートリポジトリのみです。
パブリックリポジトリの場合、修正した.diffがダウンロードできるようになります。
最後に
AI駆動開発が主流になっている今、コードレビューもAIで行うケースが増えてきたと思います。
ハルシネーションを避けるために、複数モデルでレビューする時もありますが、プレビュー期間中は、1アカウントにつき1か月あたり、最大1,000件無料でレビューすることができるので、AWS Security Agentも追加してみる価値はありそうです。
PR発行で自動レビューする仕組みもあるのですが、プライベートリポジトリのみ対象らしいです。