Orbit Tracer

インテリジェントなセキュリティ修復のための Orbit Tracer セキュリティエージェント

AI と Orbit のナレッジグラフを使用して、コードベース全体のセキュリティ脆弱性分析、リスク評価、修復を自動化

---

問題

セキュリティチームは重大な課題に直面しています:脆弱性の発見は速い。しかし修正には永遠に時間がかかる。

Manual vulnerability remediation workflow:
1. SAST scan finds vulnerability         (~5 minutes)
2. Security engineer analyzes impact     (~2 hours)
3. Developer creates fix                 (~1 hour)
4. Code review and approval              (~30 minutes)
5. Merge and deploy                      (~30 minutes)

Total: 4+ hours per vulnerability

複数のコードベースにまたがる数百もの検出結果がある中、チームは手作業に追われ、その間にセキュリティリスクは累積していきます。

---

解決策

Orbit Tracer はセキュリティ修復の時間を数時間から 45 秒 に変えます。

Orbit Tracer automated workflow:
Finding → Blast Radius Analysis → Risk Scoring → MR Creation

45 seconds. End of story.

GitLab の Orbit ナレッジグラフ と Claude エージェント を活用して、Orbit Tracer は以下を実現します:

• ✅ コードベース全体にわたる脆弱性の影響分析(3ホップトレース)
• ✅ リスクのインテリジェントなスコアリング(ビジネスコンテキスト付き 1〜10)
• ✅ 安全なコード代替案の自動生成
• ✅ 完全な修復内容を含むマージリクエストの作成
• ✅ 人間の制御を維持(HITL 承認ゲート)

結果: 99.8% の時間削減。100% の人的監視。

---

Orbit Tracer が他と違う理由

アプローチ	手動	SAST のみ	Orbit Tracer
脆弱性の検出	数時間	数分	数分
影響の把握	数時間	なし	数秒 (Orbit)
修正の生成	数時間	なし	数秒 (Claude)
MR の作成	手動	なし	自動
人の承認	手動	N/A	✅ 必須
合計時間	4 時間以上	30 分以上	45 秒

---

利用可能なエージェント

Orbit Tracer には 2 つの補完的なセキュリティエージェントが含まれています:

1. Orbit Tracer(自動化パイプライン) - v1.yml

完全自動化されたセキュリティ修復ワークフロー

• SAST から脆弱性を自動検出
• Orbit ナレッジグラフをクエリしてブラスト半径を分析
• Claude エージェントでリスクをスコアリング
• 修正を含むマージリクエストを作成
• 使用タイミング: 完全自動化を希望する場合
• エージェント: .agents/flows/orbit-tracer/v1.yml

2. Orbit Tracer セキュリティエージェント ⭐

セキュリティチーム向けの対話型セキュリティ分析エージェント

• 脆弱性の影響について質問可能
• ブラスト半径分析を即座に取得
• 影響を受けるサービスとコード所有者を特定
• コードベース全体のリスクを把握
• オンデマンドで修復 MR をリクエスト
• 使用タイミング: 脆弱性を調査・理解したい場合
• エージェントにアクセス: https://gitlab.com/explore/ai-catalog/agents/1011797/

対話型エージェントをお試しください: セキュリティ検出結果について質問すると、ブラスト半径、影響を受けるサービス、リスクスコアリングを確認できます!

---

仕組み

6 ステップのインテリジェント修復パイプライン

STEP 1: Get Finding
        Extract vulnerability from GitLab SAST scan
               ↓
STEP 2: Query Orbit Knowledge Graph
        3-hop dependency tracing → Blast radius analysis
               ↓
STEP 3: Analyze Risk with Claude Agent
        Risk scoring (1-10) + Business impact assessment
               ↓
STEP 4: Check Approval Threshold (Human-In-The-Loop)
        Critical findings require human approval
               ↓
STEP 5: Draft Secure Code
        Claude generates remediation in detected language
               ↓
STEP 6: Create Merge Request
        GitLab MR with secure code, description, labels

---

主な機能

🧠 インテリジェント分析

• Orbit 統合: 3ホップの依存関係トレースにより完全なブラスト半径を把握
• リスクスコアリング: SLA 適用付き 1〜10 スケール(重要: 4 時間〜低: 1 か月)
• コンテキスト認識: 影響を受けるサービス、ファイル、チームを把握

⚡ 圧倒的な速さ

• 45 秒: 検出 → 分析 → コード生成 → MR 作成
• 99.8% 高速化: 手動の 4 時間プロセスと比較
• ボトルネックなし: 人の承認ゲートを除き完全自動化

🛡️ セキュリティ第一

• GDPR 準拠: PII を保護し、コンプライアンス違反を追跡
• PCI-DSS 対応: 決済データ保護を内蔵
• HIPAA 対応: 医療データ取り扱いに準拠
• OWASP 10 ケース: 主要な脆弱性を完全カバー

🌍 言語非依存

• 7 以上の言語: Python、JavaScript、Go、Java、C#、C/C++、Rust
• 拡張可能: パターン例を提供することで新しい言語を追加可能
• 汎用パターン: セキュリティ原則はすべての言語に適用

✅ 人的制御

• HITL ゲート: 重要度の高い検出結果には人の承認が必要
• リスクベース: 高リスクの変更のみ承認が必要
• 透過性: すべての MR に明確な修復説明を記載

---

10 のテストケース

Orbit Tracer は主要な脆弱性タイプをすべて検出・修復します:

#	脆弱性	リスク	検出	ステータス
TC-01	SQL インジェクション	🔴 9/10	データベースクエリ	✅
TC-02	コマンドインジェクション	🔴 10/10	OS コマンド	✅
TC-03	ハードコードされたシークレット	🟡 8/10	認証情報パターン	✅
TC-04	安全でないデシリアライゼーション	🔴 9/10	シリアライゼーション呼び出し	✅
TC-05	パストラバーサル	🟡 7/10	ファイル操作	✅
TC-06	脆弱な暗号化	🟡 6/10	ハッシュアルゴリズム	✅
TC-07	XXE 攻撃	🔴 8/10	XML パース	✅
TC-08	安全でないファイル操作	🔴 8/10	ファイル抽出	✅
TC-09	IDOR	🟡 7/10	アクセスチェック	✅
TC-10	安全でないロギング	🟢 5/10	ログステートメント	✅

すべてのテストケースには、学習とテスト用の脆弱なコードと安全なコードの両方が含まれています。

---

クイックスタート

1. Orbit Tracer に脆弱性について質問する

Question: "Which services are affected by the SQL Injection 
in database/user_service.py?"

Response:
✅ Affected services: Auth module, Payment processor, Admin dashboard
✅ Blast radius: 12 files across 3 services
✅ Risk score: 9/10 (CRITICAL)
✅ Teams notified: @database-team, @security-team

2. インテリジェントなリスク分析を取得する

Question: "What's the business impact if we don't fix 
the Command Injection?"

Response:
✅ Risk: Remote Code Execution on entire system
✅ Compliance: GDPR violation (4% revenue fine)
✅ Timeline: CRITICAL (fix in 4 hours)
✅ Proposed fix: Use subprocess.run() with arg list

3. マージリクエストの自動作成

Question: "Create a merge request to fix the XXE vulnerability"

Response:
✅ MR Created: security/fix-xxe-attack-#12345
✅ Secure Code: defusedxml implementation
✅ Status: ⏳ Awaiting human approval
✅ Link: https://gitlab.com/.../merge_requests/xyz

---

技術スタック

コアテクノロジー

• GitLab Duo Agent: AI 搭載セキュリティエージェント
• Orbit API: ブラスト半径分析のためのナレッジグラフ
• Claude Agent: インテリジェントなリスク評価とコード生成
• GitLab SAST: 脆弱性検出

対応言語

✅ Python        ✅ Go             ✅ Rust
✅ JavaScript    ✅ Java           ✅ Ruby
✅ TypeScript    ✅ C#/.NET        ✅ PHP
(Extensible to all languages)

コンプライアンスフレームワーク

✅ GDPR (EU)              ✅ PCI-DSS (Payment Cards)
✅ HIPAA (Healthcare)     ✅ SOC 2 (Coming)

---

セキュリティポリシー

Orbit Tracer は SKILL.md を通じて組織全体のセキュリティ標準を適用します:

• 8 つの脆弱性カテゴリ: インジェクション、認証、データ、デシリアライゼーション、暗号、パスセキュリティ
• 7 つの修復パターン: すべての言語に対応する汎用パターン
• リスクスコアリング: SLA 適用付き 1〜10 スケール
• エスカレーションルール: 重要度の高い検出結果を CISO に自動エスカレーション
• コンプライアンスチェック: GDPR、PCI-DSS、HIPAA を内蔵

結果: 組織全体で一貫したセキュリティ判断を実現。

---

パフォーマンス指標

Manual Security Remediation:
├─ Vulnerability detection:  ~5 min
├─ Impact analysis:         ~2 hours
├─ Code generation:         ~1 hour
├─ Code review:             ~30 min
└─ Deploy:                  ~30 min
    Total: 4+ HOURS per finding

Orbit Tracer:
├─ Vulnerability detection: ~5 min (SAST)
├─ Impact analysis:         ~5 sec  (Orbit)
├─ Code generation:         ~10 sec (Claude)
├─ MR creation:             ~5 sec  (GitLab)
└─ Human approval:          ~30 min (required)
    Total: 45 SECONDS (automated portion)

TIME SAVED: 99.8% ⚡

---

プロジェクト構成