Krisp がセキュリティコードレビューに Hacktron を選んだ理由

「Hacktron は、影響が明確で修正方法も示された、実際に悪用可能なセキュリティ問題に集中しています。」

「公開前の PR から価値の高い検出結果を安定して見つけてくれるので、トリアージに費やす時間が減り、本当のリスクの修正により多くの時間を使えます。」

Davit Karapetyan
プロダクトセキュリティエンジニア

Krisp について

Krisp は、ノイズキャンセリング、アクセント変換、リアルタイム文字起こし、AI による会議の要約で個人と企業を支援する、リアルタイム Voice AI プラットフォームです。同社の製品は、世界中のコンタクトセンター、会議ツール、Voice AI の開発者向けプラットフォームで使われています。

2 億台を超えるデバイスに導入され、毎月 800 億分以上の音声会話を処理する Krisp は、グローバルな規模で事業を展開しています。そのため、セキュリティは Krisp とその顧客にとって極めて重要な優先事項です。

課題：AI 時代の開発スピードに見合うセキュリティ

多くのセキュリティチームと同様に、Krisp も大量のアラートを生成する従来の SAST ツールに頼っていました。その大半は悪用可能なものではありませんでした。本当のリスクはノイズに埋もれ、トリアージそのものが時間のかかる一つのワークフローになっていました。

エンジニアリングチームがソフトウェア開発のスピードを上げるために AI を活用し始めるなか、Krisp には、エンジニアリングチームのスピードを落としたり、コードの出荷方法を変えさせたりすることなく、開発プロセスの早い段階で意味のある脆弱性を特定する方法が必要でした。

ソリューション：AI ネイティブなセキュリティワークフローを SDLC に

Krisp は Hacktron Review を GitHub のワークフローに直接統合し、エンジニアのこれまでの働き方を変えることなく、プルリクエストのレビュープロセスにセキュリティを組み込みました。

Hacktron は、コードの変更を切り離してスキャンするのではなく、アプリケーション固有の脅威モデルとコードベース全体のコンテキストを使って各プルリクエストをレビューします。変更がアプリケーション全体の中でどう位置づけられるかを理解することで、Hacktron はそれが実際に悪用可能かどうかを推論し、従来のパターンベースのスキャナーが見つけるようには設計されていない、ビジネスロジックの欠陥、崩れたセキュリティ上の前提、複数ステップにわたる脆弱性を提示できます。

検出結果は影響を受けるコードにインラインで投稿され、問題の再現手順、到達可能性のトレース、修正ガイダンスが含まれます。Krisp のエンジニアは、アラートが本物かどうかを議論する代わりに、数分で悪用可能性を確認できます。

結果：より強固なセキュリティと、より少ないノイズ

導入から最初の 4 週間で、Hacktron は、Krisp がいくつもの脆弱性を本番環境に到達する前に特定して対処するのを支援しました。対処までの期間は、問題の検出から平均 8 日以内でした。

Krisp のセキュリティチームは、GitHub のトリアージコメント、Hacktron MCP、Hacktron API を使って、1 週間で 300 件を超える検出結果をトリアージしました。誤検知やリスク受容にはそれぞれ理由が記録され、Krisp のコードベースに対する Hacktron の脅威モデルに直接反映されました。このフィードバックによって、Hacktron は時間とともに Krisp のアーキテクチャ、セキュリティ制御、リスク許容度をより深く理解し、誤検知を減らして検出結果の質を高めていきます。

Krisp のような複雑なシステムでは、セキュリティのゲートやプリミティブが複数のリポジトリやアプリケーションにまたがることがよくあります。Hacktron Review は、自らの分析と Krisp のチームからの直接のフィードバックを組み合わせることで、Krisp の制御への理解を継続的に深めながら、高い S/N 比の実現を支援してきました。