Falco Feedsは、オープンソースに焦点を当てた企業に、新しい脅威が発見されると継続的に更新される専門家が作成したルールにアクセスできるようにすることで、Falcoの力を拡大します。
本稿は、2026年5月21日にMatt Kimが投稿したブログ (Streamline vulnerability remediation with headless cloud security) を元に日本語に翻訳・再構成しました。
この記事でわかること
Sysdigの脆弱性管理向けエージェントスキルは、Claude CodeなどのAIコーディングエージェントの中で、脆弱性の検出から修正までを一続きのワークフローとして進めます。セキュリティチームと開発者チームの間で手作業の引き継ぎが発生しやすい「どのイメージを、どこで、どう直すのか」を突き止める工程をスキルが担い、開発者にはレビューしてマージできるプルリクエストが届きます。
1〜4の段階は、調査と修正内容の作成だけを行い、リポジトリには書き込みません。ブランチの作成、コミット、プルリクエストの作成は、アナリストの承認を得てから実行され、マージするかどうかは開発者が判断します（詳しくは本記事の「スキルが進める範囲と、人が承認する範囲」をご覧ください）。
脆弱性の修正対応は、多くの組織にとって今なお課題となっています。これは、セキュリティチームと開発者チームが効率よく連携することに依存しているためです。最新のセキュリティツールの多くは、ある程度の脆弱性の優先順位付けを提供しますが、修正対応の引き継ぎでものごとがスローダウンしてしまいます。両チームは異なるゴールで動いており、セキュリティチームは大量の検知結果に対してリスクを下げる必要がある一方、開発者はセキュリティに足を取られず開発に集中したいと考えています。
Sysdigは業界で初めてHeadless Cloud Securityを発表し、弊社のクラウドセキュリティのワークフローと専門知識を、Claude CodeのようなAIコーディングエージェントへと拡張しました。これにより、ユーザーは従来のユーザーインターフェイスに依存することなく、Sysdigの詳細なランタイムテレメトリとセキュリティコンテキストを活用できるようになります。
Sysdigの脆弱性管理向けエージェントスキルは、AIエージェントが脆弱性の根本原因を特定し、必要な修正を生成し、開発者がそのままレビューしてマージできるプルリクエストを作成することを可能にすることで、セキュリティと開発者の間のギャップを埋めます。すべての工程をチームに手作業で繋がせる代わりに、Headless Cloud Securityは、このワークフローを数分で進めます。これは、どんな担当者が手作業で行うよりもはるかに高速です。人が判断するのは、プルリクエストの作成の承認と、レビューしたうえでのマージです。
脆弱性修正対応のスケーリングにおける課題
脆弱性管理のワークフローは、しばしば非常に分断されています。セキュリティチームは脆弱性を素早く特定できますが、特定から修正対応へ進むためには、依然として多くの手作業が必要です。
適切に優先順位を付けた脆弱性であっても、チームは影響を受けるイメージをトリアージし、ソースまで辿り、効率よく修正する方法を判断する必要があります。これらの工程はセキュリティと開発者の双方の時間と調整を必要とし、骨折り損になりがちな仕事と見られることもあります。
最新のセキュリティツールには優先順位付けにおいてある程度の自動化が組み込まれていますが、組織は今なお、分断されたワークフローと組織内に蓄積されたノウハウに頼って修正対応を完了させています。実際には、開発者が自分一人で問題を調査する状況に置かれることが多く、修正対応が遅延したり、まったく対応されないままになったりすることがあります。環境やアプリケーションがスケールするにつれ、運用上のオーバーヘッドは増大し、遅延も発生しやすくなります。
ヘッドレスクラウドセキュリティによる脆弱性管理
SysdigのHeadless Cloud Securityは、APIやエージェントスキルを通じてSysdigの機能を、チームがすでに作業しているワークフローに直接届けることで、セキュリティ運用を従来のユーザーインターフェイスの枠を超えて拡張します。
脆弱性管理においては、これにより修正対応が、手作業で複数の手順を踏むプロセスから、自動化されたワークフローへと変わります。セキュリティチームは、Sysdigからのランタイムコンテキストに基づいて、最も脆弱なコンテナイメージを特定するためにInvestigateスキルを利用できます。AIエージェントは、クリティカルな脆弱性の数、インターネットへの露出、脆弱なパッケージが使用中かどうかといったリスク要因に基づいてイメージを優先順位付けできます。
最もリスクの高いイメージが特定され、アナリストが対応するイメージを選ぶと、Remediateスキルがワークフローを引き継ぎ、そのイメージをソースリポジトリまで辿り、生成元となったDockerfileを特定します。これにより、修正対応の中でも特に時間のかかる工程、すなわち脆弱なイメージがどこから来たのか、誰が修正を担当するのかを突き止める作業がなくなります。
そこから、スキルは安全な修正バージョンを確認したうえで必要なパッチを適用した修正を作成し、その差分とプルリクエストの本文をアナリストに示します。アナリストが承認すると、プルリクエストが作成されます。開発者には、ゼロから調査すべき新たな脆弱性チケットではなく、明確でレビュー可能な修正が提示されます。開発者はプルリクエストをレビューしてマージするだけで修正対応が完了します。脆弱性の調査や修正の作成を一から行う必要がないため、開発のスケジュールへの影響も最小限に抑えられます。
スキルが進める範囲と、人が承認する範囲
脆弱性管理向けのエージェントスキルは、脆弱なイメージの特定から修正内容の作成までを自律的に進めます。一方で、リポジトリに変更を加えることと、修正を取り込むかどうかは、人が判断します。検出からマージまでの役割分担は、次のとおりです。
スキルは、リポジトリへの書き込みにあたる操作（ブランチの作成、コミット、プルリクエストの作成、チケットの作成）を、実行する前に必ずアナリストの明示的な承認を得て行います。書き込みの対象は、利用者本人または所属する組織が所有するリポジトリに限られます。プルリクエストを作成した後は、取り消す方法（プルリクエストのクローズとブランチの削除）も示されます。
なお、修正の届け方は、プルリクエストのほか、Jiraのチケット（Jiraと連携している場合）、またはその両方から選べます。チケットを作成する場合も、スキルが本文を示し、アナリストの承認を得てから作成されます。
調査や分析はAIエージェントが自律的に進め、環境やコードに影響を与える操作は人間が承認する、という役割分担は、Headless Cloud Security全体に共通する考え方です。AIエージェントにどこまで任せ、どこで人間が判断するかについては、「ヘッドレスクラウドセキュリティとは？【完全ガイド】」で詳しく解説しています。
イノベーションを妨げずに脆弱性を修正する
脆弱性を効果的に管理するには、優先順位付けされた検知結果から、セキュリティや開発者にこれ以上の手作業を強いることなく、実際に対応可能な修正へと進める再現性のある方法が必要です。
SysdigのHeadless Cloud Securityと脆弱性管理向けエージェントスキルを使えば、チームは手作業による調査よりもはるかに高速に進む自動化ワークフローを通じて、開発者がそのまま使えるプルリクエストを数分で生成できます。セキュリティチームはより素早くリスクを下げられ、開発者は開発とイノベーションに集中し続けられます。
Headless Cloud Securityのスキルは、既存のSysdigのお客様向けに現在ご利用いただけます。エージェントスキルが脆弱性管理においてどのようにチームを支援し、開発者がそのまま使える修正を数分で生成できるかを確かめるには、デモをリクエストしてください。