45%
AI生成コードの少なくとも1つにセキュリティ上の欠陥が含まれています。
Veracode、100以上のLLMにわたる400万以上のスキャンの分析（2025年）。
先進的なチームがすでに利用中
なぜ今なのか
あなたがまだツールを持っていない脅威 — 今のところは。
このページのすべての数字は引用されています。私たちは新しいカテゴリーにいるため、計算が重要です。
~20%
AIが提案するインポートのうち、存在しないパッケージを参照しています。攻撃者はすでにそれらを登録しています。
Slopsquatting研究、2025～2026年。
46%
Copilot対応リポジトリで出荷される新規コードのうち、AIが作成したものです。
GitHub Copilot使用状況テレメトリー、2025年。
35
単月で開示されたAI起因のCVE — 2ヶ月前の6件から増加。
Georgia Tech Vibe Security Radar、2026年3月。
機能
5つの機能。1つのインストール。
実際のスクリーンショット、実際の状態ラベル。現在出荷されている以上の機能を謳うことはありません。
生成の瞬間に脆弱性を阻止します。
SASTはコミット時に実行されます。SCAはプルリクエスト時に実行されます。その頃には、安全でないコードはすでに書かれ、疲れた人間によってレビューされ、マージされています。Vibeコーディングはどちらよりも速く動きます。
-
Cursor、Claude Code、VS Code、Windsurf、Zedに拡張機能としてインストールされます。 -
提案をリアルタイムで介入します — ハードコードされたシークレット、RLSオフパターン、CORSワイルドカード、上位15のCWEをブロックします。 -
提案またはプロンプトを書き換えます。デバイス上で実行されるため、コードがラップトップから離れることはありません。
Stripeキーを出荷していたはずのコミットが、今ではシークレットマネージャーへの参照を出荷します — 開発者の操作は不要です。
MCPサーバーをサプライチェーンとして扱う唯一のレイヤー。
現在使用しているすべてのIDEは、リポジトリ、チケット、チャットに対してほぼルートアクセス権を持つMCPサーバーに接続しています。MCPマーケットプレイスはすでに汚染されています。ほとんどのチームは、開発者がインストールしたMCPをリストアップできません。
-
開発者、リポジトリ、組織ごとにすべてのMCPサーバーを継続的にインベントリ化。 -
ツールの説明文をスキャンして、インジェクションや「ラグプル」パターンを検出。承認後に動作を変更するMCPにフラグを立てます。 -
MCPの実行をサンドボックス化し、呼び出しをレート制限し、CVE 2026-30615のような脆弱性が発生した場合に自動的にパッチを適用します。
1週間の監査で、チームは通常、セキュリティ組織が把握していたよりも3～5倍多くのMCPがインストールされていることを発見します。
攻撃者が登録する前に、存在しないパッケージをキャッチします。
モデルは、公開されたことのないパッケージを自信を持ってインポートします。攻撃者はこの傾向を監視し、数時間以内にその名前を登録します。次にアシスタントがそれを提案したときには、悪意のあるものになっています。
-
すべてのnpm、PyPI、Cargo、Goのインポートを、実際のレジストリに対してリアルタイムで検証します。 -
過去30日以内に公開された、人気ライブラリに似た名前のパッケージ（タイポスクワッティング＋スロップスクワッティング）にフラグを立てます。 -
インポートされた関数が実際のライブラリのAPIと一致しない場合を検出します。これは幻覚コードの兆候です。
Plexicusは、モデルが最も頻繁に幻覚を起こすパッケージ名の独自データベースを維持しています。毎週、より賢くなっています。
SASTでは見えない欠陥、実際にデータを漏洩させる欠陥。
過去12ヶ月間の最大のvibe codingインシデントはSQLインジェクションではありませんでした。それらは認可の問題でした：行レベルセキュリティの無効化、BOLA（壊れたオブジェクトレベル認可）、現在のユーザーを確認し忘れたエンドポイント。SASTはこれらすべてを見逃します。
-
Supabase、Postgres RLS、Firebaseルールに対する到達可能性分析 — どのポリシーが実際に適用されているかをマッピングします。 -
Plexicusペンテストエージェント（Strix）によるBOLA / IDORのための誘導ファジング。 -
フローシミュレーション：ユーザーAはユーザーBのデータに到達できますか？もしそうなら、単なるアラートではなく、実証コード（PoC）を取得します。
典型的なSupabaseバックエンドのAI生成アプリでは、Plexicusは初日にSASTツールが決してフラグを立てない認可の欠陥を明らかにします。
すべてのコード行にその起源を署名します。
EU AI Act、Cyber Resilience Act、DORA、NIS2 — すべてが同じ質問に収束しています：出荷されたコードのどの行が、どのモデルによって、どのプロンプトで、どの日付に書かれたのか？今日、誰もこれに答えることができません。
-
すべてのコードブロックは生成時にタグ付けされます：人間 vs AI、モデル名、プロンプトハッシュ、タイムスタンプ。 -
SPDX / CycloneDX拡張形式でAIBOMをエクスポート — 監査対応済み。 -
CISOダッシュボード：本番コードの何％がAI生成か、どのモデルによるか、モデルごとのリスクプロファイルは何か。
次のDORA、NIS2、またはAI Act監査のために単一のPDFをエクスポートします。監査人は質問をやめます。
プラットフォーム
単なるCursorプラグインではありません。AppSecプラットフォームです。
Vibe Coding Securityは完全なPlexicus ASPMプラットフォーム上で動作します。1つの契約でコード、依存関係、シークレット、インフラストラクチャ、API、エージェント駆動のペンテストをカバーします — 最後は、あなたのためにPRを開くCodex Remedium修復エージェントによって統合されます。
SAST SCA シークレット IaC DAST Strixペンテストエージェント
ASPM
すべてのコードにわたるアプリケーションセキュリティポスチャ管理。
Learn moreCSPM
すべてのランタイムに対するクラウドセキュリティポスチャ管理。
Learn moreコンテナセキュリティ
コンテナスタックのイメージ、レジストリ、ランタイムセキュリティ。
Learn moreすでにPlexicusのお客様ですか？Vibe Coding Securityはモジュールとして利用可能です。再オンボーディングやセカンドダッシュボードは不要です。
統合
開発者がすでに作業している場所で機能します。
ワンインストールで、チームがすでに使用しているすべてのIDEとリポジトリに対応。移行は不要です。
IDEとコーディングアシスタント
Cursor 
Claude Code 
Copilot 
Codex 
Kiro 
Lovable 
v0 
Antigravity リポジトリとCI
証拠
研究、トラッカー、チーム。
研究レポート
Vibe Coding Securityの現状 — 2026
私たちは、オープンソースプロジェクト全体で数千のAI生成コミットを分析しました。45%が少なくとも1つの欠陥を抱えて出荷されています。モデル別、言語別、CWE別の完全な内訳はこちら。
レポートをダウンロードライブトラッカー
今月検出されたMCP脅威
毎週更新されるライブカウンター：新たに開示されたMCP CVE、ポイズニングを検出したマーケットプレイス、Plexicusのお客様が回避したラグプルインシデント。
トラッカーを見るお客様の声
AIエージェントが脆弱性の修正を自動生成できることで、私たちのワークフローが変わりました。
David Wilson
HuMaIND セキュリティ責任者
FAQ
よくある質問
Vibe Coding Securityとは何ですか？
Vibe Coding Securityは、Cursor、Claude Code、Copilot、自律エージェントなどのAIコーディングツールによって生成されたコード向けに構築されたAppSecカテゴリです。IDEガードレール、MCPセキュリティスキャン、幻覚パッケージ検出、認可分析、AIコードの来歴（AIBOM）を組み合わせています。
従来のSASTとどう違うのですか？
従来のSASTはコミットまたはPR時に実行されます。つまり、安全でないコードがすでに作成されレビューされた後です。PlexicusはIDE内のプロンプト/提案ループで介入するため、悪いパターンがリポジトリに取り込まれることはありません。
どのIDEとコーディングアシスタントがサポートされていますか？
現在、Cursor、Claude Code、VS Code、Windsurf、Zedがサポートされています。JetBrainsは近日対応予定です。すべてPlexicus拡張機能で動作し、オフラインでも使用可能です。コードがラップトップから外部に出ることはありません。
AIBOMとは何ですか？
AI部品表（AI Bill of Materials）です。どのコード行が、どのモデルによって、どのプロンプトで、いつ書かれたかを示す署名付きマニフェストです。DORA、NIS2、EU AI Actが繰り返し求めるコンプライアンスの問いに答えます。
既存のAppSecツールを置き換える必要がありますか？
いいえ。Vibe Coding Securityは、完全なPlexicus ASPMプラットフォームの上に構築されたモジュールです。既存のSAST/SCAと併用するか、Plexicusエンジンに置き換えるかは、お客様次第です。
無料で始められますか？
はい。開発者3名までは無料で、クレジットカードは不要です。5つの機能すべてが必要になったら、Teamプランにアップグレードしてください。
スロップスカッティング検出はどのように機能しますか？
AIアシスタントが提案するすべてのインポートは、実際のパッケージレジストリに対してリアルタイムでチェックされます。パッケージが存在しない場合、過去30日以内に不審な名前で公開された場合、またはそのAPIがインポートされた関数と一致しない場合、Plexicusはそれをブロックし、修正を提案します。
