Amazon Web Services（AWS）は、AnthropicとOpenAIのAIコーディングツールに脆弱性管理サービス「AWS Continuum」を統合する。コード上で見つかった脆弱性を顧客の実行環境と突き合わせ、対応の優先順位付けや修正案の提示まで行う。SiliconANGLEが5日（現地時間）に報じた。

対応するのは、Anthropicの「Claude Code」、OpenAIの「Codex」、AWSのエージェント型開発環境「Kiro」。各ツールで検出した結果はContinuumに送られ、Continuumが顧客のクラウド環境全体を踏まえて脆弱性の重要度を判断し、推奨される対応策を示す。

Continuumは、アカウント設定や認証情報、IAMポリシー、ネットワーク構成、インターネットへの公開状況などを総合的に分析する。これにより、開発者が実際に優先して確認すべき問題かどうかを見極める。本番環境にデプロイされないコード上の不具合よりも、外部に公開された経路に存在する脆弱性を重く評価する仕組みだ。

さらに、サンドボックス上で実際に機能するエクスプロイトを生成し、脆弱性が現実に悪用可能かどうかを検証することで、誤検知の削減にもつなげるという。

AWSは、既存コードと新規コードでContinuumの適用方法を分ける。すでにデプロイ済みのコードについては、稼働中の資産を基準に脆弱性を点検する。一方、新規コードには、作成段階でセキュリティ検証を反映した提案を行う。

チェット・カプール氏（AWSの検索・セキュリティ・オブザーバビリティ担当バイスプレジデント）は、フロンティアモデルの欠陥検出能力が高まるにつれ、課題はモデルそのものではなく運用面に移っていると説明した。AWSはこの構造を「エージェント・チーム・ループ」と呼んでいる。

このエージェント・チーム・ループは、作業内容に応じて最適なモデルを選びつつ、顧客アカウントとの接続を維持するオーケストレーション層だという。

AWSは6月、ニューヨークで開催したAWS SummitでContinuumを公開した。Continuumは特定のモデルに依存せず、工程ごとに最適なフロンティアモデルを呼び出して利用する仕組みとしている。

また、Skyhawk Securityは7月末、Continuumの検出結果を顧客クラウド環境のデジタルツインに対する模擬攻撃に活用し、攻撃者が実際に悪用できる脆弱性かどうかに基づいて優先順位を付けていると明らかにした。コード脆弱性向けのAWS Continuumは、現時点では限定プレビューで、利用には別途申請が必要だ。