1回の深い推論より、複数の探索経路を使う
CodeMenderはFlash Cyberを1報告につき最大5回呼び出し、複数のコード経路を並行して調べます。 軽量モデルの速度と費用を、探索範囲の拡大へ振り向ける設計です。
探索役異なる入口、データフロー、変更箇所を調査。
検証役再現可能性と影響を確認し、重複を整理。
修正役差分を提案し、テストとレビューへ渡す。
安全なコミット前パイプラインへ落とし込む
- 変更差分と影響範囲を限定し、読み取り専用で探索する。
- 複数回の分析結果を脆弱性の種類、根拠、信頼度で統合する。
- 再現テストを隔離環境で実行し、本番認証情報を渡さない。
- 修正案へユニットテスト、回帰テスト、既存のSASTを実行する。
- 人が差分と根拠をレビューしてからコミットする。
「何件見つけたか」だけでは測らない
| 指標 | 確認する内容 | 目的 |
|---|---|---|
| 固有検出数 | 重複を除いた確認済みの問題 | 同じ欠陥を繰り返すループを見抜く |
| 適合率 | 報告のうち実際に問題だった割合 | レビュー負荷を測る |
| 再現率 | 既知の問題をどれだけ拾えたか | 見逃しを測る |
| 修正品質 | テスト通過、回帰、性能影響 | 提案を安全に反映する |
数値はGoogleによる内部評価・自社事例です。 V8の55件や2時間という結果は、一般的な全コードベースで同じ性能を保証するものではありません。比較対象の一部は安全機能により課題を拒否しており、実運用では誤検知、見逃し、再現性、人による確認も評価する必要があります。
専用AIでも既存のセキュリティ工程は残す
AIは文脈を読める一方、確率的で再現性にばらつきがあります。CodeQLなどの静的解析、Dependabotなどの依存関係検査、シークレットスキャン、権限分離を外さず、検出層を重ねます。
今すぐ導入できるのは設計思想
Flash Cyber自体は政府機関と信頼できる提携先への限定提供です。一般の開発チームは、差分を小さくする、複数の検査を統合する、隔離環境で再現する、AI修正を人が承認するという工程から採り入れられます。
確認した一次情報
よくある質問
CodexからGemini 3.5 Flash Cyberを選べますか？
いいえ。GoogleがCodeMender経由で限定提供する専用モデルであり、Codexのモデル選択肢ではありません。
AIレビューだけでSASTを置き換えられますか？
置き換えられません。静的解析、依存関係検査、シークレット検査、テスト、人のレビューを補完する位置づけです。
軽量モデルを何回呼べば十分ですか？
Googleの最大5回は同社構成の例です。対象規模、費用、重複率、見逃し率を測って決めます。