コードを自律的にスキャンし欠陥を発見するサイバーセキュリティ対応AIモデルを開発する"Baz"がSeed Extensionで$9Mを調達

Baz Technologiesは、Battery VenturesとBoldstart Venturesが共同リードし、AFG Partners、Disruptive VCなどが参加したSeed Extensionで$9Mを調達し、これまでの資金調達総額は$17Mとなりました。

コードセキュリティをさらに一段引き上げるサイバーセキュリティ対応AIモデルを開発するBaz Technologiesは、開発者と開発中のコードベースの間に位置する新たなプラットフォームを提供開始すると発表しました。このプラットフォームは、ソフトウェアの脆弱性が本番環境のワークフローに入り込む前に検出することを目的としています。

しかし、より大きなニュースは「Baz Planner」の発表です。同製品は本日サンフランシスコで開催されたAI Engineer World's Fairで正式に公開されました。Baz Plannerは、新しいアイデアをすべて自動的に動的なループへとルーティングする新しいゲートウェイです。このループは、新たな脆弱性の根本原因を即座に検出・理解し、それらを排除するようコーディング計画を能動的に書き換えます。

このツールは、昨年リリースされた同社の人気製品「AI Code Review」の流れを受け継いでいます。同製品は現在、精度加重評価であるCode Review Benchで第1位にランクされています。このツールにより、開発チームは製品設計、デザイン、アーキテクチャ、セキュリティ、信頼性に関するコーディング標準を適用するAIエージェントを活用し、AIが生成したコードを管理・保護できます。

数百万行に及ぶコードを自律的にスキャンし、見つけにくい欠陥を発見できるサイバーセキュリティ対応AIモデル自体は目新しいものではありません。しかしBaz Plannerは、現在のアーキテクチャだけでなく将来のアーキテクチャも考慮しながら、コードベースに対して行われるあらゆるアドホックな変更を精査することで、コードセキュリティをさらに一段引き上げるよう設計されています。問題のある変更は、新しいコードが保存される前の段階で検出されます。

このスタートアップは、Palo Alto Networksでクラウドアプリケーションセキュリティ事業を拡大し、同社をコードからクラウドまでをカバーする有力なセキュリティ企業へと成長させた元エンジニアたちによって設立されました。同チームは、クラウド開発を支えてきた4つの原則をAI生成コードにも適用しています。それは「可観測性」「説明可能性」「予測可能性」「再現可能性」であり、欠陥の混入を防ぐことを目的としています。

Baz Plannerでは、AIモデルが生成するすべての新しい提案が厳格なリスクマトリクスに基づいて評価されます。これにより危険な経路は遮断され、定義済みの境界条件が強制されます。厳格なリスク低減策を適用した後にのみ、本番環境へのデプロイが許可されます。この仕組みにより、初期導入企業ではマージ後に実施するリバートやホットフィックスの頻度を指標として、下流工程での手戻りを65%以上削減することに成功しています。

Bazの共同創業者兼CEOであるGuy Eisenkotは、顧客からはコードレビューだけでなく、より早い計画段階で介入してほしいという要望が寄せられていたと述べています。「バグや脆弱性を最も低コストで取り除けるのは計画段階です」と同氏は説明しました。「AI生成コードを使うことが、リスクを盲目的に受け入れることを意味するべきではないという考えからBazは生まれました」と語っています。

Baz Plannerは、スタイルや構文ではなく、新しいコードが実行時にどのような影響を及ぼすかを分析し、バグや気付きにくいリグレッション、その他のセキュリティ上の欠陥を検出します。このツールでは4種類の専門AIエージェントが連携して、すべての新しいコード提案をレビューします。その中には、新しいコードが製品要件、設計、期待される動作に適合しているかを検証する仕様レビューワーエージェントも含まれています。

続いて、高度なセキュリティエージェントが認可境界やネットワーク境界、インフラ、パイプライン、そしてアプリケーションコード全体を横断的に推論し、新たな脆弱性を発見します。Site Reliability Engineerエージェントは、リポジトリの変更内容と本番環境のテレメトリを関連付け、性能、信頼性、可観測性に関するリスクを特定します。最後にFixerエージェントが、安全であると判断されたすべてのコード変更を隔離されたランタイム環境で適用・検証します。