JA EN
shiichan

AWS Security Agent に脅威モデリングと Claude Code プラグインが来たよ！

AWS Blog ★★★ Markdown で見る
#aws#security#ai#devops

こんにちは、しぃちゃんだよ！ 今日はセキュリティ大好きなみんなにうれしいニュース！ アプリを開発しながら脅威を先回りで見つけてくれる「AWS Security Agent」が、いっきに賢くなったんだよ。IDE から呼び出せる Claude Code プラグインまで用意されたって聞いて、しぃちゃんもワクワクしちゃった！

AWS Blog aws.amazon.com

なにが発表されたの？

AWS の公式ブログ（AWS Blog）で、AWS Security Agent の新機能がまとめて発表されたよ。AWS Security Agent は re:Invent 2025 でプレビュー公開された「フロンティアエージェント」で、開発ライフサイクル全体を通じてアプリを守ってくれる存在なの（今は AWS Continuum の一部になってるよ）。

今回のアップデートはお客さんのフィードバックを受けて追加された 3 本立て！

  • 脅威モデリング（プレビュー）
  • コードレビューのアップデート（プレビュー）
  • Kiro power ・ Claude Code プラグイン・ MCP 連携

順番に見ていくね！

今までどうだったの？

Security Agent はこれまで、アプリに合わせたオンデマンドのペネトレーションテスト（侵入テスト）が得意だったの。しかも見つけたリスクは「本当に悪用できるか」を実際に検証してから報告してくれる、堅実なタイプだよ。プレビュー以降、このペネトレーションテストは一般提供（GA）になって、リポジトリ全体を深く読み解くコードレビューもプレビューで登場していたんだ。

でも「設計の段階でも脅威を洗い出したい」「使い慣れた IDE の中でそのまま回したい」という声があって、今回そこを埋める機能がまとめて追加された、という流れなの。

これで何が変わるの？

いちばん大きいのは、Security Agent が設計・開発・デプロイの 3 つの時間軸をひとつのエージェントでカバーするようになったこと。

  • 設計時（design-time）: 設計レビューと脅威モデリング（プレビュー）
  • 開発時（development-time）: コードレビュー（プレビュー）
  • デプロイ時（deployment-time）: ペネトレーションテスト（GA）

これまで別々のツールでやっていた「設計を見直す→コードを直す→本番前に叩く」が、ひとつの流れでつながるようになったんだよ。しかも Kiro や Claude Code、MCP 対応の IDE から直接呼べるから、ツールを行ったり来たりしなくていいのがうれしいところ！

深く潜ってみよう

脅威モデリング（プレビュー）

設計ドキュメントやソースコードを読み込んで、データフロー・アーキテクチャ・信頼境界（trust boundary）といったアプリの全体像を組み立ててくれるよ。そのうえで、どんな攻撃者がいて、どんな攻撃経路があって、弱点がどこにありそうかを洗い出し、STRIDE フレームワークに沿って対策込みで脅威を整理してくれるの。対応の優先順位まで付けてくれるから、どこから手を付ければいいか迷わないね。コンソールで「Enable threat model」を選んでリポジトリをつなぐだけで始められるよ。

コードレビューのアップデート（プレビュー）

ここは連携先がぐっと増えたのが目玉！ これまでの GitHub に加えて GitLab と Bitbucket に対応して、しかも SaaS 版と自前ホスト版の両方が OK。さらに Confluence をつなげば、社内ドキュメントをレビューの文脈として参照してくれるの。

分析は単なるパターンマッチじゃなくて、プルリクエストごと・リポジトリ全体に対して「推論ベース」で深く読むタイプだよ。組織のセキュリティ要件や一般的なリスクと突き合わせて、他のツールが見逃すような複雑な脆弱性を狙い撃ちしてくれるの。見つけた問題は、修正コミットと直し方のガイドを GitHub / GitLab / Bitbucket のワークフローにそのまま返してくれるよ。しかも指摘は模擬環境（simulated environment）で実際に悪用できることを確かめてから出してくれるから、誤検知に振り回されにくいのがいいところ！

セキュリティ要件パック

設計レビューとコードレビューの両方で、コンプライアンス要件を継続的にチェックできるマネージドなパックも用意されたよ。

  • AWS Well-Architected Framework
  • NIST CSF
  • PCI DSS
  • AWS のベストプラクティス
  • 社内ドキュメントや Confluence から取り込んだ独自要件

指摘はぜんぶコンプライアンスの状態にひも付くから、開発しながら監査に備えられるんだね。

Kiro power ・ Claude Code プラグイン・ MCP

そして開発者にうれしいのが IDE 連携！ Kiro power と Claude Code プラグインが追加されて、オープンな MCP 連携を使えばどんな AI IDE からでも呼べるようになったよ。Kiro power は AWS Security Agent の MCP サーバーを使っていて、話しかけるだけで動くの。例えばこんな感じ：

  • 「Set up AWS Security Agent」でセットアップ（Agent Space の作成・選択まで案内してくれる）
  • 「Run a full security scan on this repo」でリポジトリ全体をスキャン
  • 「help me remediate my findings」で指摘をローカルに落として、いちばん深刻なものから修正セッションを提案
  • 「Build a threat model for this application」で脅威モデルを生成（結果は .security-agent/threat_model.md に保存されるよ）

Kiro のターンが終わったあとに差分スキャンを走らせるか判定する Agent hook も入っていて、いつもの IDE やツールのまま直しを進められるのがポイント。Claude Code 向けには「AWS Agents for DevSecOps」というプラグインとして提供されているよ（AWS DevOps Agent と AWS Security Agent の両方に対応）。

使えるところ・お値段

これらの機能は AWS Security Agent が使える AWS の商用リージョンで提供されるよ。リージョンごとの提供状況は「AWS Capabilities by Region」で確認してね。うれしいことに 2 か月の無料トライアルも用意されているから、気になる人はコンソールから試せるよ。

まとめ

  • AWS Security Agent に脅威モデリング（プレビュー）とコードレビューのアップデート（プレビュー）、IDE 連携が追加されたよ
  • 脅威モデリングは STRIDE で設計・コードから脅威を洗い出し、優先順位まで付けてくれる
  • コードレビューは GitHub / GitLab / Bitbucket（SaaS・自前ホスト両対応）と Confluence に対応、模擬環境で悪用を検証してから修正コミットを返す
  • AWS Well-Architected / NIST CSF / PCI DSS などのセキュリティ要件パックで監査対応もラクに
  • Kiro power と Claude Code プラグイン（AWS Agents for DevSecOps）、MCP で IDE から直接実行、2 か月の無料トライアルつき

設計からデプロイまでセキュリティを地続きにしたい開発・セキュリティチームに、とくに刺さる発表だと思うよ！

関連記事