AI コーディングツールの中でセキュリティチェック
Cyfendo は、エージェントが書いたコードに、攻撃者に悪用され得るセキュリティ上の問題がないかをチェックします。隔離されたサンドボックスで、安全なテスト攻撃によって問題を実証できた場合にだけ報告し、エージェントに修正手順を渡します。依頼があれば、テスト済みのパッチも渡します。
セットアップガイド
お使いのアプリを選ぶ
各ガイドは 1〜2 分で完了し、すべての操作を示して、最後に簡単なテストで締めくくります。
アプリビルダー
コーディングエージェントとエディタ
セットアップの方法
どのアプリでも 3 つの手順
ガイドでは、お使いのアプリに合わせて各手順を説明しています。ここでは、すべてに共通する内容を紹介します。
Cyfendo をアプリに追加
Replit、Cursor、VS Code はワンクリックです。Lovable、Bolt、v0 ではサーバー URL を貼り付けます。Devin Desktop と Antigravity では設定ファイルに追加します。Claude Code と Codex ではコマンドを 1 つ実行します。
ログインして「Allow」をクリック
アプリが、ブラウザで Cyfendo を開きます。Cyfendo を初めて使う場合は、「Continue with Google」を選ぶと、同じ手順で無料アカウントを作成できます。アプリがツールの呼び出しのたびに確認を求める場合は、Cyfendo のツールを確認なしで実行できるようにして、チェックが承認で止まらないようにしてください。
エージェントにチェックのタイミングを伝える
短い指示を、プロジェクトのルールに貼り付けます(Lovable と Bolt では Knowledge、v0 では Instructions、そのほかでは replit.md、AGENTS.md、CLAUDE.md)。すると、エージェントがリスクのある変更を自動でチェックします。
仕組み
エージェントが作り、Cyfendo がチェックする
一度だけ接続
Cyfendo を、お使いのアプリビルダーまたはコーディングエージェントに追加して、ログインします。所要時間は 1〜2 分です。
エージェントがリスクのある変更をチェック
ログイン、データアクセス、決済、アップロード、API ルートに関わるタスクが完了すると、エージェントは Cyfendo にチェックを 1 回依頼します。影響のない変更は、ただちにスキップされます。
実証された問題がチャットに届く
チェックは、エージェントが作業を続けている間、バックグラウンドで実行されます。Cyfendo は隔離されたサンドボックスで安全な攻撃を試し、実証された問題だけが、それぞれ分かりやすい修正手順とともにチャットに届きます。エージェントは、テスト済みのパッチを依頼することもできます。
ツール
エージェントができること
cyfendo_check_changes完了したタスクで変更されたファイルのチェックを開始し、すぐに戻ります。チェック自体はバックグラウンドで実行されます。セキュリティに影響し得ない変更はスキップします。Cyfendo が安全なテスト攻撃で実証した問題だけを、それぞれ分かりやすい修正手順とともに報告します。
cyfendo_scan_project悪用の確認を伴うフルスキャンを実行し、サードパーティのパッケージを公開されているアドバイザリと突き合わせて監査します。接続した後、公開する前に使ってください。
cyfendo_get_resultsチェック、スキャン、検証、修正の進捗または結果を取得します。完了した結果は、エージェントの次の Cyfendo 呼び出しでも届きます。
cyfendo_generate_fix確認された問題に対して、現在のコードに合わせたパッチを作成し、攻撃を再現してテストします。
cyfendo_get_fix修正手順を返します。テスト済みの差分が作成されている場合は、それも返します。エージェントは、適用する前にその変更を表示します。
cyfendo_verify_fix元の攻撃を更新後のコードに対して再現し、修正が有効かどうかを確認します。
cyfendo_status接続中のアカウント、まだ未解決の確認済みの問題、実行中のチェック、完了した結果、最新の依存関係の監査を表示します。エージェントは、リクエストのたびに最初にこれを呼び出します。
そのほかのアプリ
ほかの AI ツールを使っていますか?
Cyfendo は、URL でカスタムコネクタを追加できる AI アプリやコーディングエージェントであれば、どれでも使えます。サーバー URL、または以下のような設定を追加し、アプリから求められたら Cyfendo にログインしてください。
https://mcp.cyfendo.com/mcp
{
"mcpServers": {
"cyfendo": {
"url": "https://mcp.cyfendo.com/mcp"
}
}
}
代わりに API キーを使う
アプリが OAuth でログインできない場合は、Settings → Developer にある Cyfendo の API キーを、Authorization: Bearer <key> または X-Cyfendo-Api-Key ヘッダーとして送信してください。これはあなた自身のアクセス権を持つため、可能な場合は OAuth を優先してください。
チームのワークスペースを使う
ログイン画面でワークスペースを選びます。API キーを使う場合は、X-Cyfendo-Workspace-Id も送信してください。送信しない場合は、デフォルトのワークスペースが使われます。
プライベートリポジトリをスキャンする
Settings → Git connections で、読み取り専用のトークンを使って一度だけ接続します。
FAQ
ご質問
Cyfendo のアカウントは必要ですか?
はい。無料のアカウントです。アプリから接続すると、「Continue with Google」でアカウントが作成され、そのまま「Allow」の画面に進みます。メールアドレスで登録した場合は、先にメールアドレスを確認してから、アプリからもう一度接続を開始してください。
どのアプリが Cyfendo に対応していますか?
URL でカスタムコネクタを追加できる AI アプリやコーディングエージェントであれば、どれでも対応します。これらのガイドでは、Lovable、Bolt、Replit、v0、Cursor、Devin Desktop(旧 Windsurf)、Claude Code、GitHub Copilot を使う VS Code、OpenAI Codex、Google Antigravity を、手順を追って説明しています。
Cyfendo は私のコードを変更しますか?
いいえ。Cyfendo は、アプリが送信したコードを読み取るだけです。修正は、あなたが承認した後に、アプリのエージェントが適用します。
Cyfendo はチャットで何を報告しますか?
確認された問題: 隔離されたサンドボックスで、安全なテスト攻撃によって実証されたものだけです。実証できなかった、可能性のある問題は、代わりに Cyfendo のダッシュボードに一覧表示されます。フルスキャンの後は、サードパーティのパッケージに対して公開された緊急のアドバイザリについても、エージェントがお知らせすることがあります。それらは Cyfendo がテストしたものではないため、確認された問題とは分けて扱われます。
Cyfendo はアプリのパッケージをチェックしますか?
はい。フルスキャンで行います。サードパーティのパッケージと、それらに影響する公開されたアドバイザリを一覧にし、その後は毎日チェックを続けます。エージェントには最も緊急度の高いものが、それぞれ修正されるバージョンとともに伝えられます。すべてのアドバイザリは、Cyfendo のスキャンの Dependencies ページで確認できます。最も完全な一覧を得るには、リポジトリを接続してください。アップロードされたファイルには、通常ロックファイルが含まれないためです。タスクで変更されたファイルのチェックでは、この監査はスキップされます。
なぜチェックがスキップされたと表示されたのですか?
スタイル、テキスト、画像、テスト、レイアウトのみのコンポーネントの変更は、Cyfendo がテストする脆弱性を持ち込むことがないため、ただちにスキップされます。
なぜチェックがまだ実行中と表示されるのですか?
攻撃の実証には数分かかるため、チェックの実行中もエージェントは作業を続けます。結果は、エージェントの次の Cyfendo 呼び出しで届き、チェック番号と、その後にコードが変更されたかどうかが付記されます。チェックが完了すると、Cyfendo が通知します。
エージェントはいつ Cyfendo を実行しますか?
ログイン、データアクセス、決済、アップロード、API ルート、シークレットに関わるタスクが終わるたびに 1 回実行し、公開の準備をしていると伝えたときにフルスキャンを実行します。また、リクエストのたびに最初に、完了した結果を取得します。
フルスキャンは、どのようにプロジェクト全体を見るのですか?
アプリが GitHub と同期しており、そのリポジトリを Cyfendo で接続している場合(Settings → Integrations → Git)、Cyfendo はリポジトリを直接読み取ります。接続していない場合や、Cyfendo がリポジトリを読み取れない場合は、エージェントがソースファイルを最大 50 ファイルずつに分けてアップロードし、最後の分が届いた時点でスキャンが始まります。
Cyfendo は、プロジェクトをどのように区別していますか?
各プロジェクトには、最初にチェックされるときに固有の Cyfendo プロジェクト ID(例: lovable-expense-tracker-k7q2xm)が発行されます。エージェントがそれをプロジェクトのルートの cyfendo.json に保存し、呼び出しのたびに送信するため、同じ名前のプロジェクトであっても、結果がプロジェクト間で混ざることはありません。Cyfendo のダッシュボードでも、プロジェクトは同じ ID で表示されます。プロジェクトをリミックスまたはコピーした場合は、コピー側の cyfendo.json を削除して、独自の ID が発行されるようにしてください。
Cyfendo は修正を書いてくれますか?
検出事項ごとに分かりやすい修正手順が付き、ほとんどのエージェントは修正を自分で書きます。エージェントは、Cyfendo にパッチの作成を依頼し、元の攻撃に対してテストすることもできます。
ログインの代わりに API キーを使えますか?
はい。Settings → Developer にある Cyfendo の API キーを、ベアラートークンとして、または X-Cyfendo-Api-Key ヘッダーとして使用します。このキーは、あなたと同じアクセス権をアプリに与えます。アプリが対応している場合は、OAuth を優先してください。
アプリの接続を解除するには、どうすればよいですか?
Settings → Connected apps → Disconnect の順に操作します。アプリは、ただちにアクセスできなくなります。アプリが API キーを使っている場合は、Settings → Developer でそのキーを削除してください。