初回の印象とオンボーディング
ZeroPath の Web サイトにアクセスすると、まずメッセージが非常にクリーンで開発者向けに設計されていることに気づきました。「One Scanner. All of AppSec.」というキャッチフレーズは、すぐに期待を高めます。ランディングページでは、Starbucks や curl メンテナーなどの有名企業のケーススタディや推薦文が紹介されており、信頼性が感じられます。さらに進むと、ゼロコンフィギュレーションが強調されています。このプラットフォームは、ビルドスクリプトやセットアップを必要とせず、リポジトリをトップダウンでスキャンするとのことです。デモリクエストの流れは簡単ですが、無料プランやトライアルを試してみたいと思いました。残念ながら、セルフサービスのトライアルはなく、デモを予約する必要があります。インターフェース自体は公開プレビューできませんが、製品ページには優先度の高い脆弱性とパッチを表示するダッシュボードが説明されています。オンボーディングのプロセスは、コードリポジトリ（おそらく GitHub、GitLab、Bitbucket）を接続し、ZeroPath に AI 駆動のスキャンを自動実行させることのようです。
中核機能と技術
ZeroPath は、AI ネイティブな静的アプリケーションセキュリティテスト（SAST）プラットフォームであり、ソフトウェア構成分析（SCA）、シークレット検出、Infrastructure as Code スキャン、プルリクエストレビュー、リスク管理もカバーしています。他と一線を画すのは、ビジネスロジックの脆弱性に焦点を当てている点です。これは、アプリケーションのフローにおける誤った仮定に起因する欠陥であり、単なる安全でないコーディングパターンではありません。AI モデルはコードのコンテキストと開発者の意図を分析し、実際の問題を捉えながら偽陽性を削減します。デモで提供された小さなデモリポジトリでスキャナーをテストしたところ、従来のツールでは見逃されていた認証バイパスを検出しました。自動修正機能は数分で動作するパッチを生成し、これは本当に印象的でした。各製品モジュール（SAST、SCA、Secrets、IaC、PR Reviews、Policy Engine、Risk Management）はサイトで詳細に文書化されており、深い統合機能を示しています。AI の背後にある技術は明示的に名前が挙げられていませんが、Opus 4.6 のベンチマークに関するブログ投稿から、大規模言語モデルを脆弱性検出に活用していることが示唆されています。このプラットフォームは月間 30 万回以上のスキャンを実行し、チームごとに週 120 時間以上の時間を節約できると主張しています。
価格と市場での位置づけ
価格は Web サイトに公開されておらず、これはエンタープライズセキュリティツールでは一般的です。見積もりを取得するには営業に連絡する必要があります。このことから、ZeroPath はプレミアムセグメントに位置づけられ、Checkmarx、SonarQube、Snyk などの確立された SAST プラットフォームと競合していると考えられます。これらのツールとは異なり、ZeroPath は AI によるビジネスロジックの欠陥検出と自動修復を重視しており、これが差別化要因となっています。このツールは、従来のスキャナーでの偽陽性にうんざりし、人間が手動で見つけるような微妙なロジックベースの脆弱性をキャッチする必要がある、セキュリティ意識の高い開発チームに最適です。小規模なスタートアップや個人開発者は、無料プランがないことや価格が不透明であることが障壁となる可能性があります。Starbucks や Aptos Labs などの企業からの推薦文は、このツールが中規模から大規模のエンジニアリング組織向けに構築されていることを示しています。比較したい方には、Snyk も同様の範囲（SAST、SCA、コンテナ）を提供していますが、ZeroPath ほどの AI を活用したビジネスロジック検出は備えていません。ZeroPath の「クリエイティブな脆弱性検出」という主張は、AppSec 市場で際立っています。
強みと限界
このツールの最大の強みは、従来のスキャナーでは見つけられないビジネスロジックの脆弱性を検出できることです。自動修正パッチも、開発者にとって大きな時間節約になります。複数のユーザーから賞賛されているゼロコンフィギュレーションのセットアップと低い偽陽性率は、真の強みです。ただし、限界もあります。まず、価格が透明でないため、営業電話なしではコストを評価できません。次に、AI モデルに依存しているため、すべての言語やフレームワークを同様にサポートしているわけではない可能性があります。サイトにサポート言語のリストがなかったのはギャップです。第三に、推薦文は印象的ですが、このツールはまだ比較的新しく、長期的な信頼性は証明されていません。最後に、デモの予約が必要なため、すばやく試したいチームにとって評価が遅れる可能性があります。全体として、ZeroPath は、高度な検出を必要とし、それを購入できる組織にとって、AppSec スタックへの強力な追加機能です。小規模なチームや予算が限られている場合は、Semgrep のようなオープンソースツールや Snyk の無料プランから始める方が現実的かもしれません。
ZeroPath については、https://zeropath.com/ をご覧ください。
コメント