OpenTextのホームページ。
ソリューション

エージェント型アプリケーションセキュリティ

Find what rules-based analysis can’t with Fortify Agentic Analyzer

お問い合わせ
Dashboard view of Fortify Agentic Analyzer on a computer

概要

Fortify Agentic Analyzerがエージェント型AIを活用して複雑な脆弱性を発見する様子をご覧ください

Fortify Agentic Analyzer機能は、AIエージェントを使用してセキュリティレビュー担当者のように脆弱性を推論し、OpenText™ Fortify™ SASTの検出結果と照合して重複を排除したうえで、その結果をFortify Software Security CenterおよびOpenText™ Fortify™ on Demand内のチームのワークフローに取り込みます。

主なメリット

既存のFortifyワークフローを離れることなく、ルールベースの分析では見逃される脆弱性を検出します。

  • Find the critical flaws rules-based analysis can’t reach

    エージェント型分析は、10言語にわたり、実際の重大なCVE 12件のうち10件を検出します。その大半はCVSS 9.0以上と評価された、追跡すべき汚染データパスが存在しないロジックや認可のバグです。

  • Manage all your findings in one place

    検出結果は、ルールベースのSAST結果と照合して重複が排除され、Fortifyのカテゴリにマッピングされたうえで、Fortify Software Security CenterおよびFortify on Demandに表示されます。 別のツールや、別のトリアージキューは必要ありません。

  • Add agentic depth with no new SKU

    Fortify Agentic Analyzerは、既存のFortify SASTライセンスに含まれています。 サポートされている任意のプロバイダーから独自のLLMを持ち込むことができ、お支払いはプロバイダーへの利用料金のみです。

ビジネスへの影響

  • Logic and authorization flaw detection

    追跡できるデータの痕跡が残らない欠陥もあります。 メッセージ文字列がハードコードされたパスワードと誤認されるような誤検知を解消し、ルールベースの分析では追跡できないロジックや認可の欠陥を明らかにします。

  • 高リスクアプリをより深く網羅

    SASTを日々の迅速な第一防衛線として維持しながら、ペネトレーションテストをスケジュールするのと同じように、重要なアプリでエージェント型分析を定期的に実行してください。

  • Net-new findings only

    チームは、SASTがすでに検出した問題を再トリアージすることに時間を浪費しています。 SASTの結果を渡せば、Fortify Agentic Analyzerがそれらを除外するため、チームは純粋に新規の項目のみをレビューできます。

  • One system of record

    検出結果はFortifyの分類体系に基づいてFortify Software Security CenterおよびFortify on Demandに取り込まれ、SARIF形式でエクスポートされるため、AIエージェントによる結果をアプリケーションセキュリティプログラムの他の結果と並べて管理できます。

  • スキャンコスト管理

    独自のLLMを使用することで、支出を管理できます。 実行ごとのコスト上限を設定し、各ステージのモデルと分析の強度を選択して、重要なアプリではより詳細に、その他ではより軽めに分析してください。

ソリューションの構成要素を探る

製品

OpenText brings agentic and rules-based analysis together in one application security program. Fortify Agentic Analyzer (included with SAST) finds what rules-based analysis can’t; Fortify SAST provides fast, deterministic coverage; and Fortify on Demand delivers it as SaaS.

プロフェッショナルサービス

OpenTextは、エンドツーエンドのソリューション導入と包括的なテクノロジーサービスを組み合わせて、システムの改善を支援します。

Resources

  • Agentic AST is the category Gartner defines for AI-agent-driven code analysis. Rather than matching rules or tracing a data path, AI agents reason about your source code the way an expert reviewer would, following logic and intent to find vulnerabilities rules-based analysis can't reach. Fortify Agentic Analyzer applies this to your codebase to uncover flawed authorization design, business-logic weaknesses, and subtle injection and persistence patterns. It complements Fortify SAST, which runs a suite of deterministic analyzers fast enough to use on every build.

  • No. It complements SAST, it does not replace it. Fortify SAST stays your fast, broad, deterministic first line of defense on every build, covering a wide range of weakness classes. Fortify Agentic Analyzer adds a deeper, agentic pass you run selectively on higher-risk applications, the way you would schedule a penetration test. Used together, they cover ground neither reaches alone.

  • Yes. It is included under your existing Fortify SAST license at no additional charge. If an application is licensed for SAST analysis, you can analyze it with agentic analysis too, whether you connect through Fortify Software Security Center or Fortify on Demand. You bring your own LLM and pay your provider for usage: there is no separate SKU and no fixed AI surcharge from OpenText.

  • The flaws that turn on logic and intent rather than a traceable data path: broken authorization and authentication design, business-logic weaknesses, and subtle injection and persistence patterns. In a published study across 10 languages, Fortify Agentic Analyzer found 10 of 12 real-world CVEs, most rated CVSS 9.0 or higher, all disclosed after the analysis model's training cutoff, so the results reflect reasoning about the code rather than recall of a known bug.

  • You bring your own. Fortify Agentic Analyzer works with a wide set of LLM providers, connected through your own API key or a supported subscription, so you control model choice and cost. Usage is billed by your provider, not by OpenText. You can select the model and effort level for each stage of a scan to balance depth against spend.

  • They are distinct Fortify capabilities. Fortify Agentic Analyzer finds vulnerabilities rules-based analysis can't reach. Fortify Remediation Aviator triages findings and generates fixes to speed remediation. Fortify Agentic Analyzer does not require Remediation Aviator (which is an add-on). Fortify Agentic Analyzer is included with Fortify SAST.

  • Findings appear in Fortify Software Security Center and Fortify on Demand, reported in the Fortify taxonomy alongside your SAST, DAST, and SCA results, so agentic findings live in the same system of record your team already uses. Findings are deduplicated against your existing SAST results, so you review only what's net-new, and output is also available as SARIF for downstream tools.

  • Because you bring your own LLM, you control the spend. Set a per-run cost cap, choose the model and effort level for each stage, and run agentic analysis where it earns its keep: deeper on your critical applications, lighter elsewhere. There is no fixed AI surcharge from OpenText on top of your provider usage.

    Fortify Agentic Analyzer

    Watch the demo

    Fortify SAST

    Read the data sheet

    Fortify SAST

    Read the data sheet

    お問い合わせはこちら

    脚注