TinyVulnはIDE拡張で、依存関係や設定ミスに焦点を当てた高速ローカル脆弱性スキャナーを提供します。問題点をエディタ内に分かりやすく表示し、具体的な修正手順をワンクリックで提案します。重いCIツールが不要になり、開発者の作業フローで問題を早期に防げます。
大規模向けのCI脆弱性ツールは重くてノイズが多く、小規模コードベースには不向きです。開発後の大量アラートや対処チケットが発生しがちで、現場の負担になります。ローカルで動き、誤検知を抑えた信頼できるスキャナーが必要です。
保存時にpackageファイル、Dockerfile、一般的な設定ファイルをスキャンし、誤検知を抑えた保守的なルールセットで問題を抽出します。エディタ内に短いアクションパネルを出し、理由、変更箇所、ワンクリックの修正を提示します。CI用の簡易レポート出力も可能ですが、主眼は開発者の手元で問題を止めることです。
サムは新しい依存関係を追加してエディタを保存すると、TinyVulnがpackage.jsonをスキャンし、トランジティブライブラリに中程度のリスクがあると黄色のバッジで表示する。「トランジティブ脆弱性 — ロックファイルで更新（ワンクリック）」のボタンを押すと、拡張機能がロックファイルを更新し、変更内容を説明するコメントを追加する。サムはローカルでテストを実行してコミットし、プッシュする。レビュアーはPRでTinyVulnの小さなレポートとコミットを確認でき、別途セキュリティチケットを起こす必要はなかった。エディタ内で早期に対処できたため、午後丸ごとの手戻りを回避できた。
パースペクティブ: Making invisible work more visible
作成日時: 2025/11/22 11:47:03