Aikidoはコード、クラウド、ランタイムの保護を一元化するアプリケーションセキュリティプラットフォームです。
AIコードレビュー、ソース分析、AI侵入テストは開発の異なる段階を扱い、利用権限や課金条件もそれぞれ異なります。
AutoFixはIDEのインライン差分、CI/PRの提案、手動または毎日生成するプルリクエストを通じ、依存関係、アプリコード、コードによるインフラ、コンテナ、侵入テストの指摘に対してレビュー可能な修正を提案します。
依存関係のAutoFixは修正済みの最小バージョンを優先し、通常はパッチかマイナー更新です。メジャー更新になるのは、より低いバージョンでは問題が直らない場合です。
Cloud Discoveryは複数アカウントのリソース、リスク、設定ミスを探索します。Cloud Inventoryは資産をマッピングし、カスタムCSPMルールは危険な設定を指摘します。
Zen Firewallはアプリコードに直接組み込み、アプリと同じサーバーで動作します。記載された制御は危険な入力、インジェクションとパストラバーサル攻撃、ルート・ユーザー別のレート制限、ボットや既知の攻撃者などの悪意ある通信、国別アクセス、外向き通信の監視を含みます。
AikidoはDeep Reviewの例として、あるユーザーの注文を別のユーザーに見せるPRを挙げています。アプリは動き続け、SASTでは既知の危険なパターンが見つからない場合があります。
既存アプリが顧客同士を分離しているか確信できない場合、AI Code Analysisが既存ソースを調べます。
Attack Surface Monitoringは古いログインページやプロキシ変更で露出した管理APIなど、到達可能な資産を検出します。Quick Scanは既知ドメインの露出を継続検査します。
AikidoはGitHub、GitLab、Bitbucket、Azure DevOps、オンプレミスのソース管理環境を通じて接続します。IDEの利用経路にはVisual Studio、VS Code、JetBrains IDEs、Cursor、Windsurf、Kiro、Google Antigravity、Eclipseがあります。
ローカルスキャナー文書にはAzure DevOps Server、Bitbucket Pipelines、Bamboo、CircleCI、GitHub Actions、GitLab Self-Managed、Jenkins、TeamCityのCI/CD設定と、Linux、Mac、Windowsの設定ガイドがあります。
MCP設定はClaude Code、Cursor、Codex CLI、Gemini CLI、JetBrains AI、GitHub Copilot、Mistral Vibe、OpenCode、Devin向けに公開されています。API Authorization and Rate Limitingの文書もあります。
SASTはファイル間とファイル内の汚染追跡を区別します。ファイル間分析はJavaScript、TypeScript、PHP、.NET/C#、Java、Rust、Go、Ruby、Python、Scala、C/C++、Visual Basic、ファイル内分析はSwift、Android、Kotlin、Dart、Elixir、Apex、Clojureが記載されています。
Zenの対応ランタイムはNode.js、Python、PHP、Java、.NET Core and Framework、Ruby、Golangで、Golangはbeta表記です。
2026年10月28日に取得した米ドル価格は、有料プランごとに10ユーザーが基準です。年払い価格は年間総額で、源泉税、輸入税、売上税、VAT、その他の地方税を含みません。
| プラン | 月払い | 年払い | 含まれるユーザー数 |
|---|---|---|---|
| Developer | $0 | $0 | 2 |
| Basic | $350/月 | $3,780/年 | 10 |
| Pro | $700/月 | $7,560/年 | 10 |
| Advanced | $1,050/月 | $11,340/年 | 10 |
Developerはクレジットカード不要で、再スキャンは3日ごとと記載されています。プランカードの枠は公正利用条件に従います。ダッシュはVMスケーリンググループ枠の記載がないことを示します。
| プラン | リポジトリ / イメージ | ドメイン / クラウドアカウント | VMスケーリンググループ | 月間AI AutoFix回数 | 月間保護リクエスト |
|---|---|---|---|---|---|
| Developer | 10 / 2 | 1 / 1 | — | 10 | 250k |
| Basic | 100 / 50 | 3 / 3 | — | 無制限 | 10M |
| Pro | 200 / 100 | 10 / 10 | 30 | 無制限 | 20M |
| Advanced | 500 / 200 | 20 / 20 | 100 | 無制限 | 50M |
Aikido Maxは見積もり制の追加オプションで、Deep Reviewを含む全AI機能に月間無制限のクレジットを提供し、公正利用条件が適用されます。
Aikidoの1クレジットは$1 USDです。条件を満たす有効なProとAdvancedワークスペースには、暦月ごとにそれぞれ100、200クレジットを無料付与する場合があります。DeveloperとBasicにはこの補充はありません。購入分と無料分は有効期限のない共通のウォレット残高となります。利用のない月は無料補充がない場合もありますが、既存残高は残ります。
購入は1取引500クレジット以上です。カードまたは請求書で支払えますが、請求書払いは有料顧客のみで、支払い完了後にクレジットが追加されます。
管理者はワークスペースの機能別支出上限を設定でき、リセット周期は機能によって異なります。上限に達すると、リセットまでAikidoはクレジットを消費する処理をスキップします。
Deep Reviewはプルリクエスト1件1クレジットで、同じPRの追加レビューは別料金なしです。残高が尽きるとレビューをスキップし、月間上限に達すると次の暦月まで有料レビューをスキップします。
Standard Pentestは4000クレジットで、1アプリと主要APIを制限時間内に評価します。Rightsized Pentestsは接続したリポジトリで攻撃ベクトルを把握し、安全性に関わるテスト範囲を定め、開始前に総額を確定します。Rightsizedは$50–$30,000+と表示し、リポジトリ、エンドポイント、役割から範囲を決めます。
Continuous Pentestingは起動するエージェントごとに10クレジットの従量制です。年換算の推定には過去30日のGit活動を使います。Aikidoは設定したデプロイや定期実行を確認しますが、安全性に関わる変更のときだけエージェントを起動するため、実額は推定だけでなく起動数に依存します。初回テストの指摘は修正の迂回確認を含め最長6か月再テストできます。
初の全体評価はクレジットの事前購入なしで未払いクレジットを使って開始できます。HighとCriticalの指摘は支払いまでぼかされ、大規模な評価では少なくとも1件をプレビューで公開します。未払い残高の支払いまたは免除後に、報告書と再テストを利用できます。再度この制度を使う前に未払い残高を全額支払う必要があります。
条件は未払いクレジットがなく、テストが8000クレジット以下、有効な非デモのリポジトリが1つ以上、有効なテストアカウントが2つ以上あり、ユーザーまたはワークスペース管理者が業務用メールを持つことです。個人メールは対象外です。
免除にはすべての条件を満たす必要があります。ワークスペース初の全体評価、Run now, pay laterの利用、推奨以上の範囲のRightsized Pentest、十分に検査できる正しい設定、HighやCriticalの指摘なく完了することです。無課金条件からは推奨未満の範囲、2回目の実行と再テスト、Continuous Pentesting、狭い機能・エンドポイントのテスト、ユーザー不足やアプリの文脈不足など不完全な設定を除きます。MediumやLowでもExploit Furtherが利用可能なのに使わず、合理的にHighやCriticalの深刻度に至り得た場合、免除されないことがあります。この条件は深刻度に関するもので、権限昇格だけではありません。
公開MSAは現期間と同じ期間の自動更新を定め、期間満了での解約には暦日で30日以上前の書面通知が必要です。Aikidoの未是正の重大違反以外で解約する場合、顧客は残期間の料金を負担します。その違反による解約では、前払未使用料金が比例配分で返金されます。
無料カードは「永久無料」としていますが、MSAは無料版に最低・保証期間を設けず、Aikidoが理由を問わずいつでも終了できるとしています。
Snykはコード、オープンソース依存関係、コンテナ、コードによるインフラ、API/web DAST、シークレットの製品を掲載しており、開発者向けスキャナーの範囲で比較できます。
SonarQubeはコード検証、品質、安全性を扱い、SonarQube for IDEは即時分析とコーディング指針を提供します。SonarQube Cloudは完全マネージドSaaS、SonarQube Serverは顧客の境界内で自己管理します。
対象は明示指定し、顧客の所有物か適法なテスト許可が必要です。第三者の対象には当事者の明示許可が必要です。アプリテストは、双方が書面で明示的に別途合意しない限り、実ユーザーデータがなく実業務を危険にさらさない非本番・ステージング・テスト環境が標準です。Network Pentestsは対象範囲で明示選択した本番環境を含められ、その高いサービス影響リスクを認識する必要があります。
Credential-Based Testingは任意で、範囲設定での明示選択または書面の許可が必要です。初期・弱い認証情報や、顧客、ドメイン、ユーザーに関係すると思われる流出済み認証情報を扱う場合があります。許可は対象、ポータル、認証情報の種類で限定・撤回でき、商業上合理的な時間内の停止が約束されます。顧客には関連権利と個人データ処理の根拠が必要です。付属書はアカウントロック、警告、パスワードリセット等の影響も認めています。
AutoFix GitHub AppはCode、PRs、Workflowsの読み書きとChecks、Actionsの読み取り権限を求めます。この書き込み可能な修正経路は、標準スキャン連携の最小限の読み取り専用権限と異なります。
Aikidoはリポジトリ分析に新しいコンテナを使い、終了時に分析データを消去するとしています。例外としてAutoFixは対象ファイルの元と修正後の差分を保存し、AutoTriaged SASTの指摘の呼び出しツリーは最長2週間保持します。
リポジトリデータ文書はEU、US、US Gov、ME、AUのアプリインスタンスと、それぞれの地域への保存を記載しています。
AikidoはAI操作を推論専用とし、データは保持・再利用せずメモリで一時処理し、少量の匿名化コード片が正確なトリアージと修正に役立つ場合があるとしています。SAST、IaC、コンテナのAutoFixでは必要最小限のコード片だけを暗号化経路でAWS Bedrockへ送信し、AikidoもAWS Bedrockもそのコードで学習・微調整しないとしています。これらの事業者の説明は指定の処理範囲に関するものです。
プライバシーポリシーは個人データを欧州と米国に置き、顧客関係の期間中と終了後も運用、履歴、保管のためサービスデータを保持します。Aikido管理下の個人データは確認済みの請求後に削除される場合があります。
侵入テストの活動と指摘は記録されます。テストデータは結果提供やサービス改善に使われ得ますが、認証情報テストの認証情報と他の個人データはDPAにより結果提供に限られます。生のテストデータは追加質問への対応や請求に対する防御のため一定期間保存後に削除され、引用条項に固定期間はありません。Aikidoは最終報告書の保管用コピーを保持する場合があります。
MSAはコンテンツ、リポジトリ、コードベース、コンテナ、クラウド基盤の顧客所有権を保ちつつ、義務履行、契約上の権利行使、法的要件や許可に必要な処理を認めます。解約後30日間は元の形式のコンテンツと利用分析を取得でき、200日以内のコンテンツ消去を定めます。その間の保持はバックアップ提供に限定されます。
いいえ。Aikidoによれば、リポジトリのアクセスを提供すると、アプリのロジック、役割、データフローの文脈が大きく改善し、検査が深まり指摘の精度が高まります。
初回評価を完了し、安全性に関わる変更を特定するリポジトリを接続する必要があります。設定後、Aikidoはアプリの変更に合わせて対象を絞った侵入テストを実行できます。
APIトークンの設定はサーバー間通信にOAuth Client Credentialsを使います。まずワークスペース管理者がアクセストークン取得用のクライアント認証情報を作成します。
MCP権限はワークスペース管理者が管理し、MCPツール全体の全ユーザーに適用します。問題一覧は既にアクセス権がある問題に限られ、指摘の無視も既存の役割権限に従います。
