Harness、脆弱性スキャン、修正、バーチャルパッチにまたがるセキュリティエージェントを提供開始

Why it matters

Bansal is trying to make Harness the control plane for both shipping and securing software. The advantage depends on whether its agents produce reliable fixes, not simply more findings.

Jyoti Bansal (@jyotibansalsf)のHarnessは、ソフトウェアを出荷する際に使用する同じパイプラインに脆弱性スキャン、トリアージ、修復、および一時的な本番保護を移行する、AI支援のセキュリティツールのパッケージを8月19日に発表した。

このリリースは、Bansalが2025年3月のAPIセキュリティスタートアップ Traceable との合併を製品上の優位性に変えようとする、これまでで最も明確な試みだ。Harnessはすでに顧客のデプロイワークフローを掌握している。新しいセキュリティエージェント群は、その位置を利用して脆弱性を検出から提案されたコード修正まで追跡し、開発者が恒久的な修復をレビューする間に本番を保護するよう設計されている。

Harnessは、AI SAST、LLM Scan Orchestration、Triage Agent、Remediation Agent、Zero-Day Agent、virtual patching の6つの機能がプラットフォームの一部として利用可能だと述べている。Harnessはこのリリースに公表された顧客実績を添付していないため、迅速な修復や誤検知の削減に関する主張は、現時点では同社提供の性能主張にとどまる。

Bansalのセキュリティ合併がパイプラインに到達

Bansalは2017年にAppDynamicsをCiscoに$3.7 billionで売却した後、Harnessを立ち上げた（売却は予定されていた新規株式公開の前日に行われた）。IIT Delhiのコンピュータサイエンス卒業である彼は、アプリケーションパフォーマンスソフトウェアの構築に長年携わったが、顧客からはコードを安全に本番に投入することが依然として遅く、社内ツールに依存しているという声を聞いていた。

Harnessは継続的デリバリーから始まり、デプロイとロールバックを自動化した。Bansalは後にSanjay Nagarajと共にTraceableを共同創業し、現代アプリケーションをつなぐAPIを保護した。両プロダクトはソフトウェアリスクに対して逆方向からアプローチしていた：Harnessはコードがどのように本番へ向かうかを知り、Traceableはシステム稼働後のアプリケーションとAPIの振る舞いを観察していた。

HarnessとTraceableは2025年2月10日に最終合併契約を発表し、2025年3月4日付で合併を完了した。これによりTraceableのAPIセキュリティ機能がHarnessに取り込まれた。Traceableの共同創業者Sanjay Nagarajは統合後の会社にアプリケーションセキュリティエンジニアリングのリーダーとして参加した。Rahul Soodは、Pindropで最高プロダクト責任者を務め、Palo Alto Networks、Google、Meta、SAPで幹部を務めた経歴を持ち、現在そのポートフォリオを率いている。

8月のリリースは合併の仮説をワークフローに変換する。Harnessは、脆弱性を特定するシステムがリポジトリ、パイプライン、アーティファクト、デプロイ制御も見ることができれば、セキュリティ所見はより有用になると賭けている。そのコンテキストは、脆弱なコードが到達可能かどうか、どのアプリケーションが露出しているか、提案された修正をどこに適用すべきかを判断するのに役立つ。

Harnessはこの戦略を、2025年12月の$240 millionのシリーズE（ポストマネー評価額$5.5 billion）で強化した。Goldman Sachsが$200 millionのプライマリ投資を主導し、IVP、Menlo Ventures、BansalのUnusual Venturesが関連する$40 millionの従業員テンダーオファーに参加した。この資金調達によりBansalは、Harnessを元の継続的デリバリ市場を越えて拡大し続ける余地を得た。

発見からデプロイまでの一つの経路

AI SASTは決定論的な静的解析を、ノイズの多い所見を抑制し、不正な直接オブジェクト参照のような認可の欠陥（アプリケーションが他ユーザーのデータやリソースを不適切に公開してしまうケース）を検出することを目的としたAIレイヤーと組み合わせる。LLM Scan Orchestrationは顧客が自前のモデルベースのスキャナを接続し、その結果をHarnessの既存のセキュリティワークフローに取り込めるようにする。

Triage Agentは悪用可能性に基づいて所見をランク付けする。Remediation Agentは提案された修正を作成して検証し、開発者がレビューできるようにプルリクエストを開く。Zero-Day Agentは新たに公開された脆弱性を監視し、それを顧客のパイプラインやアーティファクトにマッピングして提案修正を準備する。Virtual patchingは即時のコード変更を必要とせず、一時的な保護レイヤーを追加してエンジニアに恒久的な修復を完了する時間を稼ぐ。

SoodはHarnessの発表で、Harnessはエージェントを「セキュリティを配信パイプラインそのもののファーストクラスの要素にする」ために構築したと述べた。Harnessは、統合されたワークフローにより発見からデプロイまでの距離を数週間から数時間に短縮できると主張している。その成果は独立したベンチマークによってまだ立証されておらず、リリースは既にどれだけの顧客が新しいエージェントを稼働させているかを特定していない。

人間による承認は修復フローの中心に残る。Harness自身の開発者向けドキュメントは、AI生成の提案は無効である可能性があり、脆弱性を修復できない場合や他の問題を引き起こす可能性があると警告している。Remediation Agent のプルリクエストモデルはその制約を反映している：Harnessは診断とコード生成を自動化する一方で、マージの判断はエンジニアに委ねる。顧客はアプリケーションセキュリティのデモをリクエストして詳細を学ぶことができる。

アプリケーションセキュリティ市場にはすでにエージェントがある

Harnessが到来した市場では、セキュリティベンダーが2026年にかけてスキャナにエージェントを付与してきた。Snykは2026年3月にAgent SecurityとEvo AI-SPMを立ち上げ、発見、リスクインテリジェンス、ポリシー実行のためのエージェントを含めた。Snykはまた、所見から提案修復を生成するAgent Fixも提供している。

Endor Labsは2026年3月にAURIを導入し、コーディングエージェントや開発者ツールの内部にセキュリティインテリジェンスを組み込んだ。ApiiroのGuardian Agentは、アプリケーションに入る前に不安全または非準拠のコードを止めることに焦点を当てている。

Harnessの差別化点は、検出後の経路の広さだ。Bansalはコードをスキャンし、所見を優先順位付けし、修正を準備し、プルリクエストを開き、保護が本番に到達する方法を制御できる単一システムを売り込んでいる。この戦略は、Harnessのエージェントがエンジニアが信頼できる修正を生成できれば、セキュリティ製品とデリバリ製品間の引き渡しを減らす。

今回のローンチはまた、Harnessが7月21日にリリースしたAgent DLCセキュリティ制御に続くもので、これはAIエージェントが使用するモデル、ツール、プロンプト、APIを管理する。これら二つのリリースは合わせて、Bansalの元々のソフトウェアデリバリに関する仮説をセキュリティへと拡張する：価値ある層はコードの周囲、すなわち組織が何を動かすか、何を止めるか、誰が変更を承認するかを決める場所にある。

それがTraceable合併の背後にある大きな賭けだ。Bansalはほぼ10年をかけて本番ソフトウェアを取り巻くシステムを組み上げてきた。新しいセキュリティエージェントは、顧客がそれらのシステムを一元管理し続ける理由をHarnessにもう一つ与えるが、同時に機械生成の修復が人間のレビューに耐えられることをHarnessが証明する責任を課すことになる。