Zenn
Open11

[2025年版] OSSのセキュリティツールの継続開発のためGitHubスポンサーを募集します！

4su_para4su_para

今後の開発予定

  • 作っているSASTとlintの自動修正機能(現在beta版)の実装をやっていく

    • ここにLLM使えないか模索しています

  • OWASPのCI/CD top10にlintを完全準拠

  • 英語でブログを書く

  • 自動修正してくれるGitHub Appsを作成して3rd party appとしていろんなリポジトリに導入できるようにする。これで手元にインストールする必要はなくなる。

    • ただ手元に入れるメリットもたくさんある

  • プロジェクトごとにGitHub Actionsで実行できるようテンプレのymlを配布できるようにしておく。（これを使い回すだけでセルフホストで都度立てれるのでbotを動かすのに費用がかからない）

  • 一度プロジェクトに入れたらcommitの都度差分を自動でactionsをうごかすしlintとcommit botのコンボで指摘と自動修正し続ける。

  • 2026年のBlackHat USAとDEFCON demolabsに展示を目指す

  • ここまでいったら企業にセールスとかやる

4su_para4su_para

代表的な成果としてBlackHat Arsenalに採択されております

The World's Premier Technical Cybersecurity Conference Series とあるようにDEFCONと並んで世界有数のセキュリティカンファレンスのシリーズです。毎年4月にアジア（シンガポール🇸🇬）, 8月にUSA（ラスベガス🇺🇸）, 12月にEurope（ロンドン🇬🇧）が開催されています。

https://www.blackhat.com/

sisakulint - - CI-Friendly static linter with SAST, semantic analysis for GitHub Actions,Black Hat Asia 2025 | Arsenal Schedule

https://www.blackhat.com/asia-25/arsenal/schedule/#sisakulint---ci-friendly-static-linter-with-sast-semantic-analysis-for-github-actions-43229

4su_para4su_para

コンパイラやその他、静的解析などのツールチェーンは簡単にインストールして無料で使用できることが今では当然のこととされており、多くの人々はこれらの「無料ツール」の背後にいる個人についてあまり考えないかもしれません。

ちなみにコンパイラやインタプリタは正常系の言語処理系ですが、lintやSASTは異常系の言語処理系であり、そもそものスコープの策定や解析経路が多岐に渡るがゆえに処理プロセス周りにOSがやっていそうな機能を模倣したシステムプログラミングも導入することによる解析の高速化を実現していたり、LL構文解析とは別のtokenizerの実装のために多段式のパーサーと構文木を準備しつつもすべてのルール検査を1shot実行できるなど、lintの内部構造としてはかなり特異な実装になっています。コンパイラの10倍くらいは難易度の高い開発にチャレンジしております。

4su_para4su_para

また、最近はLLM技術のセキュリティ応用に目を光らせております。

特に

  • 一定量のログをベクトルDBに読み込ませてRAGを使ってインシデントの痕跡を探索する
  • MITRE ATT&CKのような理論とユーザー入力の事象をマッピングさせる推論をさせる

のようなインシデントレスポンスの文脈にLLMを組み込ませるための実践的で誰でも使えるOSSを複数開発していこうと考えております。

4su_para4su_para

この分野の成果としては、セキュリティアナリスト向けのカンファレンスであるJSAC2025

https://jsac.jpcert.or.jp/

のLTセッションにて、Introduction to MITRE ATT&CK utilization tools by multiple LLM agents and RAGと題しまして 複数のLLM agentとRAGを用いてMITRE ATT&CKフレームワークを利活用する方法を紹介したことが挙げられます。

また、PoCとして作成したOSSであるdisarmBotをOSSとして公開しております。

https://github.com/ultra-supara/disarmBot

このツールはハッカソンで賞金10万円相当を獲得した経験があるだけでなく、某経済安保研究所からも取材を受けており、さらには実用化も決まっております。

（取材記事：後日掲載）

このように技術者以外への社会実装も関心を持っております。

4su_para4su_para

今後のOSS作成予定

Chromensics（作り直し）
mac OS向けのChromeのフォレンジックツールでパスワードマネージャーに保存したcredentialとか認証済みcookie, クレジットカードデータのダンプができるツールです。

DFIR trail Bot（仮, 新規）
disarmBotの亜種でインシデントレスポンスの自動化をLLMで行うツールです。主にcloudtrailのログなどを対象にすることを考えていますが、どのログでも解析できるようにする予定です。

penetBot（仮, 新規）
disarmBotの亜種でクラウドのペネトレーションテストもしくは、プラットフォーム診断の省力化をLLMで行うツールです。

4su_para4su_para

GitHubスポンサーですが

https://github.com/sponsors/ultra-supara

キリよく最低, 年$10からの寄付を受け付けます。以下のオプションもつけます。

  • 年$30 以上の寄付：SWAGとして全員にOSSグッズのステッカーを配布

  • 年$100 以上の寄付：SWAGとして全員にOSSグッズのステッカー, Tシャツを配布

  • 年$200 以上の寄付：SWAGとして全員にOSSグッズのステッカー, Tシャツ, パーカーを配布

学生の方が