OpenCode+Docker+GitHub Actionsで全自動AIペネトレーションテストはじめました

ARANK

はじめにZennチームのdyoshikawaです。ZennではAIによるセキュリティチェックの仕組みを急ピッチで構築しました。現在はPull Request（以下PR）ごとのAIレビューに加えて、AIエージェントによる全自動のペネトレーションテストを毎週GitHub Actionsで回しています。背景は、みなさんもご存知のとおり昨今のサイバー攻撃の激化です。攻撃する側もAIをフル活用しはじめているといわれており、脆弱性が見つかってから悪用されるまでの時間が非常に短くなっています。防御側としては、人間が定期的に診断する従来のやり方では攻撃に追いつかない時代になってきました。本記事では、ZennでどのようにAIセキュリティレビューと自動AIペネトレーションテストを回しているかを紹介します。特別な製品は使っておらず、GitHub ActionsとDocker、OSSのツールを組み合わせて作っています。何かお役に立つものがあれば幸いです。まずはPR単位のセキュアコードレビューを整備最初に取り組んだのは、PRごとのAIレビューです。PRがReady for reviewになると、GitHub ActionsがAIエージェントを起動します。エージェントは差分と周辺のコードを読み、コード品質に加えてセキュリティとコンプ…