CodeRabbitはAIコードレビューを軸に、Agentic Change Managementを提供します。AIコーディングエージェントが生成する大量のコードに対して、理解負債の解消、優先順位付け、そしてセキュアな状態を維持します。
CodeRabbitを使っている方々からよく言われていたのが、リポジトリ全体が安全かどうかレビューして欲しいということでした。個々のPRレベルで安全であっても、既存のコードに問題があれば、そこが狙われる可能性があります。
そうしたリポジトリに対する不安を解消するのがCodeRabbit Securityです。
CodeRabbit Securityの機能について
CodeRabbit Securityは幾つかの機能がパッケージされたプロダクトになります。
- AI Deep Scan
- PR調査結果（PR Findings）
- リポジトリチェック
AI Deep Scan
リポジトリを指定して実行するディープスキャンです。カテゴリや深刻度、影響範囲、到達可能性などを加味した上で評価されます。
PR調査結果（PR Findings）
PRごとに、セキュリティ上の問題（CWEなど）を検出し、一覧で表示する機能です。PRのステータスや、セキュリティ問題に対するステータスも確認できます。
詳細表示で、脆弱性の種別も確認できます。
リポジトリチェック
リポジトリチェックでは、リポジトリ毎に以下の情報を確認できます。
- 攻撃対象の領域
リポジトリ内の領域（バックエンド、フロントエンドなど）毎に、攻撃可能性や深刻度、セキュリティ状態が確認できます。点数で評価されます。 - AI Deep Scan
該当リポジトリのAI Deep Scan結果が確認できます。 - 秘密情報
コード中に書かれた秘密鍵やトークンなどを発見、一覧表示します。 - 依存関係
パッケージごとのセキュリティアラートが表示されます。 - SBOM
利用しているパッケージ一覧と、各ライセンスが一覧されます。パッケージごとに法務リスクも表示されます。 - PR調査結果
該当リポジトリのPR調査結果が表示されます。 - Learnings
該当リポジトリのセキュリティ面でのLearningsがあれば表示されます。
設定について
AI Deep Scanの設定
AI Deep Scanは、スケジュールの設定が可能です。また、下記設定ができます。
- 除外パス
- パスごとの詳細な指示（自然言語）
- 追加コンテキスト
秘密情報の設定
秘密情報をスキャンする際には、以下の設定が可能です。
- 除外パス
- Git履歴のスキャンを行うかどうか
- 検証の無効化
検証は、検出されたキーを使って実際にサービスを呼び出すというものです。万一キーが漏洩していたとしても、すでに振替えられていれば大きな問題にはなりません。キーがアクティブな場合、致命的な問題に繋がる可能性があります。
料金
CodeRabbit Securityは、通常のPRレビューのアドオンとなります。PRレビューを利用している全ユーザーが対象です。
- PR Findings、リポジトリチェック： 月40ドル/ユーザー
- AI Deep Scan：実行前に見積もり表示
AI Deep Scanは実行前に費用が表示されます。その金額で問題なければ、 Scan now で処理を開始します。
https://www.coderabbit.ai/ja/pricing
まとめ
最近ではAIを使った攻撃も増えており、脆弱性が公開されてから攻撃されるまでの時間もどんどん短くなっています（24時間足らずと言われています）。AIによる攻撃増に対しては、こちらもAIを使って事前にセキュアな環境を作り上げましょう。
CodeRabbitは普段の開発（PR）はもちろん、リポジトリ全体に対してもセキュアで安全な状態を維持できるようサポートします。ぜひご利用ください。