CodeRabbitに待望のコードベース全体のセキュリティをチェックするセキュリティエージェントが登場しました！

CodeRabbitはAIコードレビューサービスです。GitHubやGitLab、BitBucket、Azure DevOpsなどGit管理サービスを問わず、PRを自動でAIコードレビューします。

数多くの方から要望をもらっていた「現在のコードベースに対してセキュリティチェックをしてほしい」「コードレビューを特にセキュリティ観点でチェックしてほしい」に応えるセキュリティエージェントがリリースされます！

概要

セキュリティエージェントは新しいリポジトリ全体を対象にしたセキュリティスキャンの他、これまでのPRレビューなども含めてセキュリティ観点での情報を集約、表示する機能になります。

執筆時点で、GitHub向けの機能になります。

提供される機能（スキャンタイプ）

セキュリティエージェントは幾つかの機能に分かれています。

セキュリティPRレビュー

セキュリティの観点からプルリクエストをレビューし、脆弱性が本番環境に入りこまないようにチェックします。

PRレビューについてはこれまでと同様に行われ、セキュリティ観点での結果を「PR Findings」という画面で表示します。

AIディープスキャン

こちらは執筆（2026/07/13）時点では近日公開です。

コードベース全体を横断的に分析して、攻撃者と同じようにデータフローを追跡します。そして、悪用可能な脆弱性をリリース前に明らかにします。

ウェイティングリストに登録できるので、気になる組織はダッシュボードから今すぐ登録してください！

シークレット検知

コード中にあるAPIキー、トークン、認証情報の漏洩を検出します。

IaC

Terraform、Kubernetes、CloudFormation、そしてDockerfileにおける設定ミスを検出します。

依存関係

脆弱性のある依存関係をCVE/GHSAなどを使って検出し、アップデートを促すPRを自動作成します。

SBOM

コンプライアンス、ライセンス審査、監査準備向けにソフトウェアのコンポーネント表を作成します。

使い方

ダッシュボードにログインして利用します。メニューの中に「Security」という項目が追加されています。

Overview

セキュリティ観点でのリポジトリの健康度が分かるダッシュボードです。

Repositories

セキュリティチェックを行うリポジトリを指定します。AIディープスキャン、依存関係、シークレット検知の結果が一覧表示されます。

Dependencies

利用しているライブラリの中でセキュリティリスクのあるものを表示します。ここからFix with AIを使って、修正するPRを作成できます。

SBOM

パッケージごとのライセンス、そしてライセンスに伴うリーガルリスクを表示します。MITやBSD-3-Clauseなどは問題ありませんが、MPL-2.0がMediumになります。GPLやLGPLはもっとリスクが高いと出るはず（試していません）です。

Secrets Detection

APIトークンなどが検知されたものに関して表示されます。

PR Findings

これまでのPRに対するレビューについて、セキュリティ観点での一覧を表示します。クリティカルの数などが出ます。

Activity Log

AIディープスキャン、シークレット検知、依存関係、SBOMの実行ステータスが表示されます。

今後の予定

今後は以下の機能を追加、有効化していきます。

• AIディープスキャン
• スケジュール

スケジュールはリポジトリごとに、実行するスキャンタイプを指定できます。

料金について

新しいワークスペースについて、10回のコードスキャンが無料トライアルできます。実行についてはクレジットが必要で、実行前にクレジットの見積もりが表示されます。

まとめ

セキュリティエージェントを使えば、既存のコードベースに対してセキュリティ上の懸念点がないか、一括してチェックできます。PRレビューは通常通り行われますが、AIディープスキャンを定期的に実行することで、より安全に運用できるようになるでしょう。

ぜひウェイティングリストに登録してお待ちください！

CodeRabbit