DockerとAikidoが連携強化、脆弱性スキャンの「ノイズ」を自動削減する新機能を提供開始
要点
-
DockerとセキュリティプラットフォームのAikidoが連携し、Docker Hardened Images向けの脆弱性スキャン機能を強化した。
-
脆弱性情報の標準仕様である「VEX」に対応し、Dockerが「悪用不可能」と検証した脆弱性を自動的に検出キューから除外する。
-
distrolessイメージなどの検出が難しかった構成に対しても、署名付きSBOMを活用することで高精度なスキャンを実現する。
-
この統合により、開発チームは実質的な対応が不要なアラート処理から解放され、本当に対処すべき脆弱性に集中できる。
-
開発者向けのセキュリティプラットフォームを展開するAikidoは2026年6月11日、Dockerと共同で、セキュリティを強化したコンテナイメージ群「Docker Hardened Images（DHI）」を対象とした脆弱性スキャン機能の強化を発表した。本機能には、脆弱性の悪用可能性情報を伝達するための標準仕様「VEX（Vulnerability Exploitability eXchange）」のサポートが組み込まれており、Dockerによって「悪用不可能」と確認された脆弱性が自動的にトリアージのキューから除外される。これにより、開発者がセキュリティの警告対応に費やす時間を大幅に削減できるという。
背景：急増する脆弱性情報とトリアージの負担
AIによるコード生成の一般化に伴い、ソフトウェアが生成される速度は向上し、それに比例して依存関係や脆弱性の管理負担も急増している。これに対し、Docker社は不要なパッケージを排除し攻撃対象領域を最小化したDHIを提供してきたが、OSパッケージやシェルを搭載しない「distrolessイメージ（最小限のファイルのみで構成されたコンテナイメージ）」では、従来のパッケージスキャナーが誤検知を起こしやすく、正確な検出が困難という課題があった。
統合によって実現する技術的な仕組み
今回の統合は、DHIに同梱されている署名付きの「SBOM（ソフトウェア部品表。ライブラリなどの構成要素を一覧化したリスト）」と「VEXアテステーション（検証証明）」を活用する。Aikidoがこれらのデータを自動で読み取ることで、以下のプロセスが実行される。
- 検出: メタデータから対象がDHIベースイメージであるかを識別。
- カタログ化: ファイルシステムのスキャンの代わりに、同梱された署名済み「SPDX 2.3」SBOMからコンポーネント情報を取得。SBOMはコンテナの標準仕様を策定する「OCI（Open Container Initiative）」規格に準拠した方法などで取得される。
- マッチング: コンポーネントをPURL経由でDocker OSV（脆弱性データベース）等のフィードと照合。
- VEXの適用: Dockerが公開する「OpenVEX」情報を読み込み、解決済みや影響なしとされたアラートを自動で抑制。
4つのVEXステータスとその動作
検出された脆弱性には、Dockerの検証に基づく以下のVEXステータスが付与される。
- Fixed（修正済み）: 対象イメージ内で既にパッチが適用されている状態。
- Not Affected（影響なし）: 脆弱性は存在するが、当該環境では悪用不可能であるとDockerが検証済みの状態。Aikidoはこれらを自動的に非表示にする。
- Under Investigation（調査中）: 影響についてDockerが評価中の段階。
- Affected（影響あり）: 脆弱性が該当し、修正手段が未提供の状態。
開発チームへのメリットとコンプライアンス対応
Aikidoは、トリアージ（優先順位付け）が不要な脆弱性を自動で除外するため、開発チームは本当に対処すべき脆弱性にのみ集中できる。一方で、監査やコンプライアンスに必要な「OpenVEX」の生データは保持される。
例えば、あるライブラリの脆弱性について、Dockerが「影響なし」と判断した場合、Aikidoはこれをトリアージ画面から排除しつつ、監査時にはその理由や証明データを提示できる。これは、FedRAMP（米政府機関向けクラウドセキュリティ基準）やSOC 2（セキュリティ内部統制の評価報告書）といった厳格なセキュリティ監査を受ける企業にとっても大きなメリットとなる。
導入手順とイベント情報
本機能は、AikidoのアカウントとDHIへのアクセス権、読み取り専用のDocker Hubトークンを用意し、Aikido上で連携設定を行うだけで自動的に適用される。なお、両社は本機能の詳細を紹介するウェビナーを2026年6月25日に開催する予定である。