AWSの脆弱性対策「Continuum」、OpenAI CodexとClaude Codeに対応

統合発表の概要

AWSは8月のBlack Hat USA 2026で、コード脆弱性対策プラットフォーム「Continuum」を、AnthropicのClaude CodeとOpenAIのCodexに直接統合すると発表した。さらに、AWS自身が提供する開発環境「Kiro IDE」にも対応する。これにより、開発者がどのAIモデルを使ってコードを書いても、その場でAWSのセキュリティツールを利用できるようになる。

同時に、AWSは2月に開始したセキュリティマーケットプレイス「Security Hub Extended」を拡張し、サプライチェーン保護に特化した10番目のカテゴリを追加した。ここではChainguardとSocketがパートナーとして参加する。これらの発表は、AWSがAI時代のエンタープライズ開発におけるセキュリティ基盤（コントロールプレーン）を目指す意欲的な動きとみられる。

脆弱性急増の背景

AWSがこうした動きを急ぐ背景には、AIモデルによる脆弱性発見能力の飛躍的な向上がある。Anthropicが4月に発表した「Claude Mythos Preview」は、テスト中に主要なOSやブラウザで数千の未知のゼロデイ脆弱性を特定したという。その99%以上はまだ修正されておらず、脆弱性が発見されてから悪用されるまでの時間は、2018年の771日から2024年には4時間未満、2026年末には1時間未満に短縮されると予測されている。

AWSのChet Kapoor副社長は、CISO（最高情報セキュリティ責任者）が抱える脆弱性のバックログが「5倍に増えた」と指摘する。従来の人手によるトリアージでは対応しきれない状況になっており、自動化されたセキュリティ対策の必要性が高まっている。AWSはこの課題を「自律的セキュリティ」というビジョンで解決しようとしている。

Continuumの4段階の仕組み

Continuumは、「agent-team loop architecture」と呼ばれる仕組みで動作する。これは、タスクごとに最適なAIモデルを選択し、顧客の環境に接続して、検証済みの安全なコードを提供するオーケストレーション基盤だ。Kapoor氏によると、処理は4つのフェーズに分かれる。

最初のDiscoveryでは、複数のフロンティアAIモデルを使ってコードをスキャンし、既存の脆弱性バックログを取り込む。次にPrioritizationで、各発見を顧客の環境やビジネスリスクに照らして優先順位付けする。Kapoor氏はこれを「最大の価値の一つ」と話す。続くValidationでは、隔離されたサンドボックスで再現可能なエクスプロイトを構築し、実際に悪用可能かを確認。最後のフェーズでは、修正コードの生成と適用が行われるとみられる。

AWSの戦略と課題

今回の発表は、AWSがモデルを自社で持つのではなく、競合他社のAIモデルを受け入れつつ、セキュリティ層を自社が掌握する戦略の表れといえる。クラウドインフラ市場はSynergy Research Groupによると四半期あたり1430億ドルを超えており、セキュリティ基盤の提供は大きな商業的可能性を秘めている。

一方で、Continuumが対応するのは現時点でClaude Code、Codex、Kiro IDEに限られる。また、未知の脆弱性を自動で修正する仕組みは、誤検知や意図しない挙動を引き起こすリスクも伴う。実際の運用では、人間のセキュリティ担当者との役割分担や、他社のセキュリティツールとの連携が課題になるだろう。