概要
ShopifyはAIエージェント「River」を用いて、脆弱性の検知のみならず、依存関係の更新、パッチ適用、CIの修正、そしてマージ後の最終検証までを自律的に実行するセキュリティワークフローを構築した。
詳細内容
Shopifyのエンジニアリングチームが開発したAIエージェント「River」は、Slackを通じて脆弱性の修正プロセスを自動化します。従来のツールが検知やパッチの提案に留まっていたのに対し、RiverはShopifyのモノレポ環境で開発者と同じツールや規約を用いて動作し、修正を「マージ」して「完了」させるまでを担います。具体的には、依存関係の更新に伴うロックファイルの競合解消や、CIの失敗に対する修正を自律的に行います。導入後11日間で依存関係のバックログが70%削減され、セキュリティ関連のマージ成功率は10%から80%へと劇的に向上しました。Riverは全ての判断を自動化するのではなく、リスク判断やプロダクトの文脈が必要な場合には、それまでの調査経緯を含めた詳細なコンテキストを添えて人間に引き継ぐよう設計されています。この記事では、編集前の状態再検証、SHAに基づいた証跡管理、そして意図的な人間へのハンドオフという、実用的なエージェント構築の3つの原則を提示しています。