コーディング支援ツールや生成AIの活用が進み、ソフトウェア開発はこれまでにないスピードで進化しています。また、自動車業界ではSDV（Software Defined Vehicle）の進展に伴い、インフォテインメントシステムやOTA（Over-The-Air）アップデート、車両管理サービスなど、車両を取り巻くソフトウェアやクラウドサービスが急速に拡大しています。

こうした領域では、従来の車載ソフトウェアで主流だったC/C++に加え、Java、JavaScript/TypeScript、Python、Goなど、Webアプリケーションやクラウドサービスで利用されてきた開発言語やアーキテクチャも広く活用されるようになっています。その結果、認証・認可、アクセス制御、API連携といったアプリケーションレベルのセキュリティ課題への対応がこれまで以上に重要になっています。

近年、SASTやSBOM活用によるOSS脆弱性管理などの取り組みが進み、ソースコードやソフトウェアサプライチェーン上のリスクを可視化する環境は大きく前進しました。しかし、認証・認可の不備や権限制御の欠陥、ビジネスロジック上の問題など、複数の処理や機能の関係性から生じる脆弱性は、従来のルールベース解析では十分に発見できない場合があります。

本講演では、AI推論型SAST「DryRun Security」を題材に、AIがコードの文脈や処理の意図を理解しながら脆弱性を検出する新しいアプローチをご紹介します。従来のSASTやOSS脆弱性管理を補完する手法として、認証・認可やビジネスロジックに潜むリスクへの新たな対応方法を考察します。