AIを活用したアプリケーションセキュリティテスト

コードのセキュリティ脆弱性をスキャン。

ソースコードのセキュリティ脆弱性を検出し、各欠陥の到達可能性の証拠を把握し、提案された修正をマージ前にレビューできます。

無料で開始 検出事項のサンプルを見る
無料プラン：10,000の保護対象LOC • 月5回のセキュリティスキャン • 検出事項の完全な詳細を含む
無料スキャンには検出事項の完全な詳細が含まれます。パッチの自動生成は有料プランに含まれます。
クレジットカード不要 WebまたはCLIですぐにセットアップ モデルトレーニングへの使用ゼロを保証
検出事項のサンプル（説明用のベンチマークケース）

CWE-89：パラメータ経由のSQLインジェクション

src/controllers/user_controller.py:16
緊急 • 9.8
テイント到達可能性の証明
ソース request.args.get('user_id')（HTTPクエリパラメータ）
テイント query = "SELECT * FROM users WHERE id=" + user_id
シンク db_cursor.execute(query)（サニタイズされていないSQLの実行）
レビュー可能なパッチ差分（Unified Git形式） Python 3 • psycopg2
16 - query = "SELECT * FROM users WHERE id=" + user_id
17 - db_cursor.execute(query)
16 + query = "SELECT * FROM users WHERE id = %s"
17 + db_cursor.execute(query, (user_id,))
レビュー可能な修復パッチ • 開発者の承認が必要 説明用のサンプル • 動的な悪用は未実施
プロジェクトの互換性&オンボーディング

自分のコードで使えますか？

Cyfendoは、アプリケーションのソースコードセキュリティに特化して設計されています。モダンなプログラミング言語と柔軟なコード提出方法に対応し、重いランタイムエージェントや複雑なパイプライン変更は必要ありません。

対応プログラミング言語

本番対応の10の言語ファミリー、ベータ3つ • 言語カバレッジマトリクスを参照
• Python（本番対応）
• JavaScript / TypeScript（本番対応）
• Java（本番対応）
• Go / Golang（本番対応）
• Rust（本番対応）
• C / C++（本番対応）
• PHP（本番対応）
• Ruby（本番対応）
• Shell / Bash（本番対応）
• Kotlin / Android（本番対応）
• C#、Swift、Scala（ベータ／ロードマップ）

コードを提出または接続する3つの方法

Webからのフォルダまたはzipアップロード

プロジェクトディレクトリをドラッグアンドドロップするか、ブラウザから.zipまたは.tar.gzアーカイブを直接アップロードします。依存関係（node_modules/、vendor/、.venv/）とビルド成果物は、スキャン前に自動的に除去されます。

設定不要 • すぐに解析

Gitリポジトリ（HTTPS）

GitHub、GitLab、Bitbucket、Azure DevOps、またはカスタムGitサーバーのリポジトリをHTTPS経由で接続します。特定のブランチの指定、サブディレクトリへの範囲限定（例：apps/backend）、プライベートリポジトリ向けのPersonal Access Token（PAT）認証に対応しています。

パブリック&プライベートリポジトリ • モノレポ対応

Cyfendo CLI（ターミナル&CI/CD）

ターミナルまたはCI/CDパイプラインからcyfendo scan .を実行します。GitHubのSecurityタブ向けのSARIFエクスポート（--sarif）と、Cyfendoにソースコードを送信せず、お客様自身のハードウェア上で実行するオプションのCyfendo Private Scan（--private）モードを備えています。

POSIXワンライナー • Private Scanオプション
1

無料アカウントを作成

業務用メールアドレスで30秒で新規登録できます。10,000の保護対象LOCの枠を利用するのに、クレジットカード、電話番号、請求情報は必要ありません。

2

コードベースを接続

お好みの方法を選択してください：フォルダのドラッグアンドドロップ、GitリポジトリのURLの指定、またはローカルターミナルでの1行のスキャンコマンドの実行。

3

検出事項&修正のレビュー

優先順位付けされた脆弱性の検出事項を確認し、ソースからシンクまでの完全な証拠を追跡し、適用前にレビュー可能なコードパッチ案を評価します。

主なセキュリティ成果

スキャンごとに得られるもの

Cyfendoは、対処可能なソースコードセキュリティに絞って取り組んでいます。エンジニアリングチームが未検証のアラートに埋もれることなく、実際のリスクを特定し、その重要性を理解し、効率的に解決できるよう支援します。

ステップ01 • 検出

検出：ソースコードの欠陥

抽象構文木（AST）解析と、リポジトリ全体の複数ファイルにわたるシンボルインデックス作成を使用して、アプリケーションのソースコードに潜在する脆弱性を特定します。

  • インジェクションの欠陥：SQLi、コマンドインジェクション、LDAP、XPath
  • ファイルセキュリティ：パストラバーサル、任意のファイルの読み取り／書き込み
  • ロジック&メモリ：安全でないデシリアライゼーション、SSRF、認証の不備
  • 暗号の弱点&ハードコードされた機密キー
ステップ02 • 検証

検証：実際の証拠

コードを書く前に、決定論的な証拠を確認し、検出事項が重要である理由を理解できます。到達可能性解析により、信頼できないデータが実行シンクに実際に到達するかどうかを検証します。

  • ソースからシンクまでのデータフロー到達可能性の追跡
  • 悪用できないデッドコードを除外する敵対的検証
  • 正確なファイルパス、行番号、CWE参照
  • 透明性に関する注記：ノイズを最小限に抑えますが、誤検知0%を保証できるツールはありません
ステップ03 • 修復

修正：レビュー可能なパッチ

実行可能な修復手順と、合成されたコード差分を受け取れます。有料プランにはパッチの自動生成が含まれますが、レビューの権限は常に100%開発者にあります。

  • 検出されたすべての脆弱性に対する明確な修復ガイダンス
  • リポジトリのスタイルに合わせたUnified形式のGit差分（.patch形式）
  • マージ前に開発者がレビュー、テスト、承認
  • 有料プランに含まれます。無料プランではサンプルパッチの評価が可能です
インタラクティブな製品サンプル

検出事項と修復の詳細資料（サンプル）

OWASP Benchmarkのテストケースをモデルにした、機密情報を除いたサンプルをご覧ください。脆弱性の内訳、ソースからシンクまでの到達可能性の証明、レビュー可能なパッチ差分を確認できます。

サニタイズされていないHTTPパラメータ経由のSQLインジェクション

対象箇所：src/controllers/user_controller.py:16 • 共通弱点：CWE-89
緊急 • CVSS 9.8
深刻度評価 緊急（9.8）
CWEファミリー CWE-89：SQLi
攻撃元区分 ネットワーク（リモート）
信頼度 高（テイント検証済み）

脆弱性の説明：アプリケーションは、受信したHTTPリクエストからuser_idクエリパラメータを直接取り出し、文字列連結によって生のSQLクエリ文字列に埋め込んでいます。外部の攻撃者は、SQLメタ文字（' OR 1=1 --など）を含む細工した入力を与えることで、アクセス制御を回避したり、データベースのレコードを抽出したり、任意のデータベースコマンドを実行したりできます。

脆弱なコードのコンテキスト：src/controllers/user_controller.py 14-19行目 • Python（psycopg2）
14   def get_user_profile(request, db_cursor):
15   user_id = request.args.get('user_id')
16 ! query = "SELECT * FROM users WHERE id=" + user_id # Unsanitized concatenation
17 ! db_cursor.execute(query) # Dangerous sink reached
18   user = db_cursor.fetchone()
19   return render_template('profile.html', user=user)
プランの範囲に関する注記：すべての検出事項（脆弱性の完全な要約、CWEの詳細、CVSS評価、影響を受けるコード行、根本原因の説明を含む）は、無料プランですべて確認できます。すべての検出事項を対象とする、レビュー可能なパッチの自動生成は有料プランに含まれます。
計測に基づく根拠&信頼

計測された精度&コード保護

標準化されたセキュリティベンチマークで検出精度を評価し、お客様の独自ソフトウェアに対して厳格なデータプライバシー保護を適用しています。

OWASP Benchmark Java v1.2

2,740件の標準テストケース • 2026年9月の評価
全スイートをテスト
90.29% Youden’s J（全体集計）
94.06% 再現率（TPR）
3.77% 誤検出率

実際の脆弱性1,415件のうち1,331件を検出し、適合率は96.38%でした。11のOWASP脆弱性カテゴリにわたるカテゴリ平均のYouden's Jスコアは90.55%でした。

標準化されたOWASP Benchmark v1.2スイートでCyfendoが計測、検証しました。
ベンチマークのスコアカード全体を見る → 技術ホワイトペーパーを読む →

OWASP Benchmark Python v0.1

1,230件の標準テストケース • 暫定リリース
全スイートをテスト
86.57% Youden’s J（全体集計）
90.04% 再現率（TPR）
3.47% 誤検出率

脆弱なケース452件のうち407件を特定し、適合率は93.78%、陰性対照での特異度は96.53%でした（安全なベンチマークケース778件のうち751件を正しくフラグなしと判定）。

2026年9月にOWASP Benchmark Python v0.1でCyfendoが計測、検証しました。
Pythonの評価を見る → ベンチマーク手法 →
合成ベンチマークの限界：OWASP Benchmarkのテストスイートは、標準化されラベル付けされた条件のもとで、テイント追跡、構文の識別、到達可能性の検証を評価します。ベンチマークの実測結果はツールの能力を比較するうえで有用ですが、合成テストは、複雑な独自ビジネスロジック全体にわたる実環境での脆弱性カバレッジを保証するものではなく、正式なセキュリティ認証を示すものでもありません。

ソースコードの厳格なプライバシー&データセキュリティのお約束

モデルトレーニングへの使用ゼロ

お客様のソースコードが公開モデルのトレーニングやファインチューニングに使用されることはありません。エンタープライズグレードのゼロデータ保持（ZDR）契約が適用されます。

一時的な隔離環境

解析用サンドボックスは隔離された実行名前空間（gVisor/microVM）で動作し、スキャン完了後ただちに消去されます。

TLS 1.3 & AES-256

転送中のすべてのデータはPerfect Forward Secrecy対応のTLS 1.3で暗号化され、保存された検出事項はAES-256で保存時に暗号化されます。

ローカルPrivate Scan CLI

Cyfendo CLIのPrivate Scan（cyfendo scan --private）では、解析がお客様のマシン上で実行され、Cyfendoにソースコードは送信されません。外部AIプロバイダーを使う場合、コードの一部はそのプロバイダーに送信されます。ローカルモデルの場合、コードがマシンの外に出ることはありません。

Cyfendoのプライバシーポリシー&セキュリティアーキテクチャの全文を読む →
予測しやすいLOC容量

無料評価と透明性のある有料プラン

Cyfendoの料金は、保護対象のコード行数（LOC）と月間スキャン枠に基づいて透明に設定されています。シートライセンスや人為的な検出事項単位の料金はありません。

保護対象LOCの計算方法

保護対象LOCは、有効な独自のアプリケーションコードを測定します。料金の対象は独自コードのみで、サードパーティのパッケージ（node_modules/、vendor/、.venv/）や生成された出力には料金はかかりません。

リポジトリが無料枠の上限を超えた場合は？

アップロードされたコードベースが無料プランの上限（10,000 LOC）を超えた場合は、保留中のアップロードとして安全にステージングされ、アップグレードするか、サブディレクトリに範囲を絞るかの明確な選択肢が提示されます。コードが削除されることはありません。

無料

お客様のコードベースで評価

$0 / 月
  • 10,000の保護対象LOC
  • 月5回のスキャン
  • 保護対象プロジェクト1件
  • 対処可能な検出事項の詳細
  • サンプルパッチの限定評価
  • クレジットカード不要
無料で開始
チームにおすすめ

Starter

本番コードを守るチーム向け

$99 / 月（年払いの場合$82.50/月）
  • 100,000の保護対象LOC
  • 月10回のスキャン
  • プロジェクト&メンバー数無制限
  • レビュー可能なパッチのフル提供
  • CLI & Gitリポジトリ対応
Starterを選択
Growth & Scaleプランを比較（最大2M+ LOC）

Growth

成長中のエンジニアリングチーム向け

$299 / 月（年払いの場合$249/月）
  • 500,000の保護対象LOC
  • 月30回のスキャン
  • プロジェクト&メンバー数無制限
  • レビュー可能なパッチのフル提供
  • 優先スキャンキュー
Growthを選択

Scale

マルチリポジトリ構成向け

$799 / 月（年払いの場合$666/月）
  • 2,000,000の保護対象LOC
  • 月100回のスキャン
  • アドオンユニットを追加可能（$200/月）
  • レビュー可能なパッチのフル提供
  • 優先テクニカルサポート
Scaleを選択
よくある質問

技術的なよくある質問への回答

対応言語、保護対象LOCの計算、コードのプライバシー、パッチの取り扱いについて必要な情報をまとめています。

Cyfendoは、対応言語の機能を、基本スキャン、本番向けファイル横断解析、サンドボックス検証、パッチ生成、ベータ／ロードマップ対応の5つの軸で区別しています。本番向けの完全なファイル横断解析、サンドボックスでのPoC検証、レビュー可能なパッチ生成は、Python、Java、JavaScript/TypeScript、Go、C/C++、Rust、PHP、Ruby、Shell/Bash、Kotlin / Androidの10の本番対応スタックでサポートされています。C#、Swift、Scalaでは基本スキャンをサポートしており、ファイル横断解析、サンドボックス実行、パッチ生成は進行中の開発ロードマップに含まれています。詳しくは、ドキュメントの言語カバレッジマトリクス全体をご覧ください。

コードは次の方法で提出できます：

  • ブラウザからのアップロード：プロジェクトフォルダをドラッグアンドドロップするか、.zipまたは.tar.gzアーカイブをアップロードします。
  • Gitリポジトリ接続：GitHub、GitLab、Bitbucket、Azure DevOps、またはカスタムGitサーバーからのHTTPSクローン（Personal Access Tokenを使用したパブリックまたはプライベートリポジトリに対応）。
  • Cyfendo CLI：macOSやLinuxのターミナルまたはCI/CDパイプラインからcyfendo scan .を実行します。

無料プランには、保護対象プロジェクト1件について、最大10,000行の保護対象コード（LOC）と月5回のセキュリティスキャンが含まれます。登録に必要なのは業務用メールアドレスだけで、クレジットカードや請求情報は不要です。

保護対象LOCは、有効なアプリケーションのソースコード行数を表します。実行文、ロジックファイル、設定をカウントします。空行、空白、コメント（単一行、ブロック、docstring）は自動的に除外します。さらに、依存関係（node_modules/、vendor/、.venv/）、ミニファイされたバンドル（.min.js）、build/distディレクトリ、テストフィクスチャ、バイナリも自動的に除外されます。

アップロードが10,000の保護対象LOCの上限を超えた場合、コードは保留中のアップロードとしてワークスペースに安全にステージングされます。Cyfendoは計算した正確なLOC数を報告し、明確な選択肢を提示します。十分な容量のあるプラン（最大100K LOCで$99/月のStarterから）にアップグレードするか、スキャンするより小さなサブディレクトリを選択してください。お客様の指示なしに、コードが破棄されたり部分的にスキャンされたりすることはありません。

はい。あらゆる自動アプリケーションセキュリティテストツールと同様に、誤検知が発生する可能性はあります。Cyfendoは、ソースからセンシティブなシンクまでのASTデータフローの到達可能性を検証し、欠陥の候補を隔離されたサンドボックスでテストすることで、トリアージのノイズを最小限に抑えるよう設計されています。すべての検出事項にソースからシンクまでの完全な証明が付くため、チームは検出事項をすばやく検証できます。

クラウドスキャンでは、ソースコードは一時的で隔離されたサンドボックス（gVisor/microVM）内で処理されます。サンドボックスは必要に応じて作成され、スキャン完了後ただちに消去されます。当社のエンタープライズグレードのゼロデータ保持（ZDR）ポリシーのもと、お客様のコードが公開または共有のAIモデルのトレーニングやファインチューニングに使用されることはありません。転送中のすべてのデータはTLS 1.3で暗号化され、検出事項はAES-256暗号化を使用して保存されます。

厳格なデータ主権のために、Cyfendo CLIのPrivate Scanモード（cyfendo scan --private .）は、AST解析とルール評価をローカルで実行し、Cyfendoにコードを一切送信しません。ローカル推論（Ollama/vLLM）と組み合わせると、コードはお客様の環境から一切外に出ません。外部モデルのAPIを設定した場合、CLIはお客様のエンタープライズ契約条件に基づいてプロバイダーと直接通信します。

無料プランには、検出事項の完全な詳細、深刻度ランキング、証拠パス、実行可能な修復手順に加え、サンプルパッチの限定評価が含まれます。すべての検出事項を対象とする、レビュー可能なパッチの自動生成は、有料プラン（Starter、Growth、Scale）に含まれます。

いいえ。Cyfendoがお客様のリポジトリにコードを自動でコミットまたはマージすることはありません。生成されたパッチは、開発者がレビュー、テスト、承認できるよう、Unified形式のGit差分として提示されます。コード変更の全権限は常に開発者が持ちます。

2分で開始

コードのセキュリティ脆弱性をスキャン。

ソースコードの実際の欠陥を発見し、ソースからシンクまでの証拠で到達可能性を検証し、レビュー可能な修復ガイダンスを評価できます。

無料で開始
10,000の保護対象LOCを含む • 月5回のセキュリティスキャン • クレジットカード不要