CodeRabbitはAI SDLCを安全かつ適切に推進・管理する基盤を提供します。AIコーディングエージェントが生成する大量のコードに対して、理解負債の解消、優先順位付け、そしてセキュアな状態を維持します。
リポジトリ全体に対してセキュリティスキャンを行うDeep Scan機能ですが、Essentialsプラン（旧Proプラン）から利用可能になりました。昨今、セキュリティインシデントが増えていますので、ぜひお試しください。
Deep Scanについて
Deep Scanは、既存リポジトリ全体に対してセキュリティスキャンを行う機能になります。PR単位ではなく、リポジトリ全体について問題がないかどうか、判断できる機能になります。
インデントの状況
2026年 情報漏洩・不正アクセスTier表｜セカヤサAIブログのデータを使ったインデントの発生状況です。発生日ではなく、公表日なので注意してください。トレンドとして、ここ数ヶ月で急激に増えているのは確実です。10月はまだ1/3になっていないですが、すでに9月を抜いています。~~このままだと100件を超えそうです。~~超えました…今月中には300件以上になりそうです。
インターネットに繋がっているという意味では、どのサーバーやサービスもいつセキュリティ侵害を受けるか分からない状況です。ネットワーク機器やWebサーバー、OSを最新状態にするのはもちろんのこと、アプリケーションの脆弱性を塞ぐのは急務になっています。
Deep Scanの特徴
Deep Scanは、アプリケーションの攻撃経路を探索し、到達可能性・悪用可能性を検証します。もし、コードに不具合があったとしても、そこに外部から到達できる可能性がない場合には、深刻度を低く評価します。
単純に不具合だけをリストアップすると、膨大な報告量になり、結果としてどれから対応すれば良いのかわからなくなります。Deep Scanでは、実際に攻撃に利用できるかどうかを検証しているので、重要度に応じて対応していけばアプリケーションを堅牢にできます。
Deep Scanのベンチマーク
CodeRabbit Security：脆弱性検出ベンチマークにて詳しく書いていますが、GitHub Advisory DatabaseとOSV - Open Source Vulnerabilitiesからピックアップした100件をベースに検出率の評価を行っています。
自社のベンチマークではありますが、他社のツールと比較して良好な結果を得られています。
Deep Scanの仕組み
Deep Scanは、全部で4つのフェーズに分かれています。
探索（Map）
AIエージェントが安全なサンドボックス内でリポジトリを探索し、アプリケーション全体のマップを作成します。入口・信頼境界・認証認可チェックと、それらの関係を特定します。また、外部から到達できる入力と、その入力が影響を及ぼせるコードやリソースをつなぐ到達可能性グラフも作成します。
追跡（Hunt）
専門のAIエージェントが認可やインジェクション、ビジネスロジック、データ漏えい、AI固有の脅威など、異なるリスク領域を並行して調べます。
検証（Verify）
検証担当エージェントが報告された経路を改めて調査し、コードに到達できるか、アプリケーションの別の場所に防御策がないか、悪用に必要な条件が成立するか、そして証拠が主張された影響を裏付けているかを確認します。
修正（Fix）
確認された攻撃経路とアプリケーションのコンテキストを使い、Fix with AIがセキュリティブランチに範囲を絞った修正案を作成してPRを作成します。
Deep Scanの使い方
Deep ScanはCodeRabbit Securityの1機能になります。利用する際には、Essentials以上の有料プランの契約が必要なので注意してください。契約はシート単位なので、1アカウントでも大丈夫（なはず…）です。
ダッシュボードに Run security scan というリンクがあります。
リポジトリ一覧が出るので、 右上の Run Deep Scan を押します。
リポジトリを選ぶと、そのサイズに応じた見積額が出ます。
あとは Run Deep Scan を押して実行するだけです。
結果について
Deep Scanの結果は、見つかった問題や、その深刻度などが一覧で表示されます。そこからAIで修正するコードを書いたり、PRを作成できます。
まとめ
Deep Scanがどのプランでも使えるようになったことで、誰でもすぐにセキュリティチェックが行えるようになります。侵害されてからでは遅いですし、専門業者と相談していると間に合わない可能性があります（完了までに数ヶ月かかる場合も…）。
AIで増えている脅威に対して、ぜひAIで対抗してください。