Rubrikは、Anthropicの「Mythos Preview」を使って約1カ月間自社コードを点検した結果、レビュー要員を増やすのではなく、セキュリティレビュー体制そのものを見直した。自動化する工程と人が担う工程を切り分け直し、自動修正の適用も一部の脆弱性に絞った。
SiliconANGLEが13日、Rubrikの共同創業者兼最高技術責任者（CTO）、アービンド・ニトラカシャフ氏のブログ投稿を引用して報じた。
Rubrikは6月、Anthropicの「Project Glasswing」に参加し、「Mythos Preview」を導入した。
同社は、エンジニアと情報セキュリティ担当者による専任チームを編成。検証ではモデル本体そのものより、モデルを運用するための周辺ソフトウェア層である「ハーネス」の構築に多くの時間を投じた。ハーネスは、モデルがツールを呼び出す接点を管理し、事業面やセキュリティ面の文脈も反映する役割を担う。
点検は、リポジトリ全体と全ファイルを対象に広く実施した。特定の問題領域をあらかじめ決め打ちするのではなく、初回の点検で把握したパターンを基に対象範囲を絞り込み、再確認を進めたという。
同社が特に重視したのは、「どこまでを自動化しないか」の判断だった。信頼性が高く、適用範囲が明確な一部の脆弱性に限って自動修正を適用し、それ以外は構造化した対応計画と追加の文脈情報を付けたうえで、エンジニアが直接修正した。
Rubrikは今回の点検で確認した脆弱性の件数や修正の速度、公開時期については、現時点で明らかにしていない。
著者について
Chi-gyu Hwang
delight@d-today.co.kr