AI Review
AI Reviewは、スキャン完了後にセキュリティフィンディングを自動的に分析し、Critical、High、Mediumの深刻度を持つissueが該当する場合にfalse positiveとしてマークします。これにより、AppSecおよびDevSecOpsチームの手動トリアージ時間を削減します。
前提条件
AI Reviewを使用する前に:
- IntegrationでSource Control integration（GitHubまたはGitLab）が設定済みであること。
- 対象repositoryでAI Reviewが有効化されていること（以下のAI Reviewの有効化を参照）。
- AI Review有効化後に少なくとも1回のスキャンが完了していること。
AI Reviewの有効化
スキャンのトリガー方法に応じて、AI Reviewを有効化する方法が2つあります。
| トリガー | 有効化場所 |
|---|---|
| CI/CDパイプライン（DevSecOps） | Integration → View Config → DevSecOps AI Reviewセクション |
| ポータルからの手動スキャン | Add AssetまたはRescan時に表示されるポップアップ |
Integration → View ConfigでのAI Review有効化
CI/CDパイプラインからスキャンが実行される場合に、特定のrepositoryのAI Reviewを管理する方法です。
- サイドバーでIntegrationを選択します。
- 右上のドロップダウンからチームを選択します。
- ステータスがConfiguredのSource Control integration（GitHubまたはGitLab）を見つけ、View Configをクリックします。
- DevSecOps AI Reviewセクションまでスクロールします。
- Not Applying AI Reviewパネルで、Search by repositoryを使用して対象repositoryを検索します。
- 1つまたは複数のrepositoryを選択し、>をクリックしてApplying AI Reviewパネルに移動します。
- Save Changesをクリックします。トースト通知が表示されます: "Changes saved successfully."
repositoryのAI Reviewを無効化するには: Applying AI Reviewパネルでrepositoryを選択し、**<**をクリックして、Save Changesをクリックします。
Add Asset / RescanポップアップでのAI Review有効化
ポータルから手動でスキャンをトリガーする場合の方法です。
- Workspace画面でAdd AssetまたはRescanをクリックします。
- Add assets to WorkspaceまたはRescan assetsというタイトルのポップアップが表示されます。
- 次のオプションのいずれかを選択します:
- Enable AI Review（デフォルトで選択済み）— AIがCode AnalysisおよびSecret Scanningのフィンディングを自動的にレビューし、false positiveをフィルタリングします。
- Skip for now — AI Reviewを有効化せずに処理を続行します。後でView Configから有効化できます（上記参照）。
- Add assetsまたはRescanをクリックして確認します。
CancelボタンまたはXアイコンをクリックすると、アクションとAI Review設定の変更の両方がキャンセルされます。
スキャン後のAI Reviewステータスの確認
スキャン完了後、AI Reviewが自動的に開始されます。ステータスはスキャンのメタデータ行（スキャンタイプ、スキャンID、タイムスタンプと同じ行）にインラインで表示されます。
| ステータス | 意味 |
|---|---|
AI Review: In Progress（スピナー） | AIがこのスキャンのフィンディングを分析中 |
AI Review: Success | 分析が正常に完了 |
AI Review: Failed | 分析中にエラーが発生 |
ステータスを確認するには:
- Workspaceに移動し、アセットを選択して、Code AnalysisまたはSecret Scanningタブを開きます。
- スキャンのメタデータ行でAI Reviewのステータスを確認します。
- ステータスが
AI Review: Failedの場合、テキストにカーソルを合わせてエラーのツールチップを表示します。
AI Reviewのステータスが表示されない場合は、repositoryでAI Reviewが有効になっているか確認してください。
false positiveとしてフラグ付けされたissueの確認
AI ReviewがissueをFalse Positiveと判定すると、そのissueは自動的にIgnored AIステータスに設定され、Statusカラムに特徴的なバッジが表示されます。
- Workspaceに移動し、アセットを選択して、Code AnalysisまたはSecret Scanningタブを開きます。
- Statusカラムで、次の表示を持つissueを確認します:
- Ignoredバッジ（グレー）とAIバッジ（青）が同じ行に表示
- バッジの下にFalse Positiveラベル
- repositoryでAI Reviewが有効な場合、テーブル上部にヘルプテキストが表示されます: "AI Review automatically marks False Positives on Critical, High, and Medium findings. Findings flagged as False Positive are shown in the Status column."
AIバッジは、AIによる自動のfalse positiveと手動で設定されたIgnoredステータス（False Positive、Accepted Risk、Other）を区別します。
Issue DetailでのAI分析詳細の確認
AIによってfalse positiveと判定された各issueについて、Issue DetailのActivityセクションに完全なAI分析が記録されます。
- Issue Listで、StatusカラムにAIバッジがあるissueをクリックします。
- Issue Detailポップアップが開きます。Activityパネルまでスクロールします。
- AI Reviewエントリを確認します:
- Label:
Ignored - Subtitle:
Ignored as False Positive by AI Review - Timestamp: AIが分析を完了した日時
- Reasoning: AIのfalse positive判断の理由
- Label:
AI ReviewエントリはRead-onlyで、編集または削除はできません。
AIによってフラグ付けされたissueの再オープン
AIの判断に同意できない場合は、issueをOpenステータスに戻して手動で確認できます。
- Issue ListでAIバッジがあるissueをクリックしてIssue Detailを開きます。
- Change Statusをクリックします。
- Reopenを選択します。
- アクションを確認します。
issueはOpenステータスに戻り、StatusカラムからAIバッジが消えます。
再オープン後もActivityセクションのAI ReviewエントリはHistoryとして保持されます。AI Reviewは再オープン後に自動的に再実行されません。issueは次回のスキャンで再度分析されます。
重要な注意事項
- AI ReviewはSource Control（GitHubおよびGitLab）のみに適用されます。Code AnalysisおよびSecret Scanningのフィンディングが対象です。
- AI ReviewはCritical、High、Mediumの深刻度を持つissueのみを分析します。LowおよびInfoの深刻度のissueは分析されず、AIバッジも表示されません。
- AI Reviewは、スキャン実行前にすでにIgnored状態にあるissueをスキップします。Open状態のissueのみが分析されます。
- AIが生成する分析理由は自動的に生成され、実行ごとに異なる場合があります。
- AI Reviewは最新のスキャン結果を反映します。新しいissueは次回のスキャンで分析されます。