Secrets AutoTriage

原文（出典）

このページは Aikido 公式ドキュメント「Secrets AutoTriage Denoising」の日本語訳です。機械翻訳を含むため、正確な情報は原文をご参照ください。（翻訳更新日: 2026/07/09）

Secrets AutoTriageは、シークレットスキャンからのノイズを削減し、実際に危険な露出シークレットに集中できるようにします。まず誤検知を除外しようと試み、次に検出結果が本物である場合は、露出したシークレットがどれほど危険かによってランク付けを行うことでこれを実現します。

ノート

Secrets AutoTriageは、Aikidoがコード内で検出したシークレットに対して動作します。スキャン対象そのものを変更するのではなく、検出結果のフィルタリングと優先順位付けの方法のみを変更します。この機能はPro PlanとAdvanced Planでのみ利用可能です。

Secrets AutoTriageの有効化

Secrets AutoTriageはデフォルトでは有効になっていません。ワークスペース管理者のみが、ワークスペース設定からこれをオンにできます。

Triage設定を開く

Settings → Triage に移動します。

Secrets AutoTriageを有効にする

Secret Noise Reductionの下で、Secrets AI Triageのトグルをオンにします。有効にすると、Aikidoは次回のスキャン時からシークレットの検出結果にAutoTriageを適用します。

Secrets AutoTriageとは何か（そして何ではないか）

Secrets AutoTriage自体はスキャナーではありません。シークレットスキャンの下流に位置し、マッチが本物の、露出したシークレットであるかどうか、そしてもしそうであれば、その露出がどれほどリスクが高いかを判定します。

大部分の検出結果に対して、Aikidoは Aikido が定義したルールと有効性チェックに基づいてtriageを行います。より曖昧なケースについては、Aikidoは周辺のコードコンテキストを使用して、マッチが本物のシークレットなのか、プレースホルダー、例、テスト値なのかを判断します。

Secrets AutoTriageの仕組み

Triage前の誤検知フィルタリング

シークレットがフィードに到達する前に、Aikidoはシークレットに見えるが実際にはそうではないマッチを除外します。これには以下が含まれます。

• テストファイル、モックデータ、設定例のスキップ
• 本物のシークレットと同じフォーマットを共有するプレースホルダーや例の値の認識
• ワークスペースのSecret Keyword Filterを適用し、既知の安全なキーワードを含む行を除外
• コードコメントによる除外と.aikidoファイルによる除外の尊重

これらの手順だけでも、シークレットアラートのかなりの部分が抑制されます。

注意

本物らしく見えるシークレットの中には、パターンだけでは本物と区別できないものもあります。判断に迷う場合、Aikidoは実際の露出を隠してしまうことを避けるため、レビューできるよう検出結果を残します。

有効性と権限のチェック

マッチが本物のシークレットのように見える場合、AikidoのLive Secret Detectionが、そのシークレットがまだ有効かどうかを検証し、付与されているアクセス範囲を調べます。AutoTriageはこれらのシグナルを使って優先度を調整します。

• 期限切れまたはローテーション済みのシークレットは、もはやリスクをもたらさないため優先度が下げられます
• 読み取り専用のスコープは、書き込みや削除アクセスよりも優先度が低く設定されます
• 書き込み/削除スコープを持つアクティブなシークレットは、即座の対応のために優先度が引き上げられます

Secrets AutoTriageが考慮するシグナル

Secrets AutoTriageは設計上、コンテキストを重視します。実際には、以下のような事項を考慮します。

• マッチがアクティブか、期限切れか、既にローテーション済みか
• アクティブなシークレットが付与する権限の範囲
• ファイルがテスト、モック、例、ドキュメントファイルなのか、それとも本番コードなのか
• 値がプレースホルダーや例なのか、実際の認証情報なのか
• シークレットが解錠するシステムの機密性

Triage済みシークレットの解決

シークレットが本物の露出であると確認された場合は、できるだけ早くローテーションしてください。コードからシークレットを削除するだけでは不十分です。gitの履歴に残り続けるためです。露出したシークレットのクリーンアップとローテーションに関するガイダンスは、Resolving Malware and Leaked Secret Issuesを参照してください。

AutoTriageが誤検知だと思われるものにフラグを立てた場合は、UIで課題を無視する、コードコメントで無視する、またはワークスペース全体のSecret Keyword Filterを追加できます。