Devinの安全な活用の壁と自動化 - Devinの組織運用 開発現場での活用とガバナンス

https://findy.connpass.com/event/396823/

Transcript

1. 1 Devinの安全な活⽤の壁と⾃動化 Devinの組織運⽤ - 開発現場での活⽤とガバナンス 株式会社メルカリ Hiroki Akamatsu
2. 2 ⾃⼰紹介 Hiroki Akamatsu @hi120ki 株式会社メルカリAI Security Team所属 • 外部AIツールのセキュリティ対策実装 • 安全なAI利⽤⽅法やガイドライン策定 • 社内のAIの取り組みのセキュリティ確保 • Platform(クラウド‧GitHub等)整備 • 社内LiteLLM‧n8n‧Devin‧Claude等整備
3. 3 Devinとエージェントハーネス 世界初の完全⾃律型AIソフトウェアエンジニア
4. 4 Devinとエージェントハーネス • コーディングのための仮想実⾏環境 ◦ テストの実⾏ ◦ ブラウザでのプレビュー • マルチエージェント • PlaybookやKnowledge‧Wikiによるコンテキスト補助 • SSOや監査ログ • 利⽤量モニタリング → Devinは「エージェントハーネス」の先取り
5. 5 エージェントハーネスのセキュリティ エージェントハーネスの⾃作のハードル → Devinを導⼊ ⼤規模な組織での利⽤には壁 安全な利⽤ + 管理コスト削減
6. 6 Devin Enterprise 複数の権限‧業務‧監査要件 1. Okta SSO 2. 監査ログ 3. チームごとの環境‧権限分離
7. 7 チームごとの環境‧権限分離 単⼀Organizationで運⽤してしまうと 同⼀Organization内で全Sessionを閲覧可 → 他の業務内容が⾒えてしまう Session内でクラウドの個⼈権限設定 (aws login) → 他チームの権限を利⽤可に 多数のメンバーに対する⼤規模な権限付与 → 1開発者のアカウント侵害での影響が⼤
8. 8 Devin Enterprise 3つの運⽤の壁 複数チームの管理の難しさ 権限‧メンバー管理 シークレット管理 APIキーの管理
9. 9 Web UIからAPIによる⾃動管理へ Devin Enterprise APIの拡張 APIによる⾃動化が実現可能
10. 10 Web UIからAPIによる⾃動管理へ セキュリティ対策 1. Devin Secretの安全な管理 2. クラウド接続キーの安全な運⽤ 3. 社内エージェントのためのAPIキー配布 → 詳細を解説
11. 11 1. Devin Secretの安全な管理 Devinに設定する認証情報 • パッケージレジストリ • チケット管理 • ナレッジマネジメント
12. 12 1. Devin Secretの安全な管理 付与されたDevin Secret → セッション内で⾃由にアクセス可 流出リスクが⾼い → スコープ制限 + 定期的なローテーション 利⽤チームの対応負荷を下げ中央管理する仕組み
13. 13 1. Devin Secretの安全な管理 WebUIでの操作ではなくActionsによる⾃動化
14. 14 2. クラウド接続キーの安全な運⽤ クラウドのテスト環境‧リソースアクセス (1) 個⼈の認証情報共有 → 意図しない権限共有でNG (2) アクセスキー等 → ⻑期間有効 ベストプラクティス違反
15. 15 2. クラウド接続キーの安全な運⽤ DevinにはWorkload Identityの機能なし → 何らかの認証情報の受け渡しが必須 各Organizationごとに個別の権限を安全に → 組織ポリシーでキーの有効期限を短期化 ＋ ⾃動化で頻繁なローテーション
16. 16 2. クラウド接続キーの安全な運⽤ Actionsによる⾃動化で安全な認証情報の共有
17. 17 3. 社内エージェントのためのAPIキー配布 コンテキストの効率化の鍵 Devin Wikiへのアクセス管理
18. 18 3. 社内エージェントのためのAPIキー配布 IaCでガバナンスの効いたアクセス管理
19. 19 さいごに Devinの公式機能 + 独⾃のセキュリティ対策が必要 → 不⾜を補う⾃動運⽤を維持管理 認証情報に関するエージェントハーネス管理の ベストプラクティスの実践