Codename MDASH(コードネーム・エムダッシュ)とは
Codename MDASHとは、Microsoft Defender内で提供される、複数のAIモデルと専門AIエージェントを使ってソースコードの脆弱性（攻撃に悪用されうる欠陥）を探すプレビュー段階のスキャナーです。見つける、本当に悪用できるかを確かめる、重複をまとめる、直し方を示すまでを多段階で支援します。
Microsoftは2026年5月12日にこの仕組みを公表しました。公式FAQ（2026年7月15日更新）によると、社外では一部の顧客が試す非公開のプレビューの段階で、参加には対象となるMicrosoft Defender XDRの契約が前提です。なお、同じ綴りのMDASHは、文部科学省の数理・データサイエンス・AI教育プログラム認定制度の呼び名でもあり、大学などの教育課程を認定する別の制度です。
どうやって脆弱性を絞り込む？
最初に、呼び出し関係やコードの複雑さから、危険が潜みやすいファイルや関数の優先順位を付けます。次に動くのは、不正な命令の紛れ込み（インジェクション）、メモリの扱いの誤り、認証のすり抜けなど、狙う欠陥の種類ごとに役割を分けた100を超える専門エージェント。複数の大規模言語モデルを使って調査する構成です。
候補が見つかると、外部から入ったデータがどこへ流れるかをたどる解析（テイント解析）で裏づけ、検証役の別のエージェントたちが「本当に届くか、悪用できるか」を賛否に分かれて検討。欠陥の種類によっては、実際にその欠陥を起こす入力を作って動かし、存在を証明する工程もあります。最後に、同じ原因の指摘を1つにまとめます。多数決だけでなく、役割分担、機械的なコード解析、実際に動かす確認を重ねる仕組みです。
従来の静的解析と何が違う？
従来の静的解析は、プログラムを動かさずにコードを読み、あらかじめ決めた型に当てはまる問題を探す方法が中心です。これに対してCodename MDASHは、複数のファイルや処理の分岐をまたいでたどらないと見つからない深い欠陥を、AIに筋道を立てて追わせます。公式FAQは、静的解析や人のレビューを置き換えるものではなく、その上に一層を足すものだと説明しています。
Codename MDASH自体は読み取り専用で、コードを書き換えたり修正を反映したりはしません。修正案が欲しいときは、開発者が手元でDefender CLIとGitHub Copilotを使い、本流とは別の作業用ブランチに案を作らせる別の手順です。その案もコードレビューと、既存の機能が壊れていないかを確かめる再テストを通し、担当者が承認してから取り込みます。
導入前に何を確認する？
まず、コードはどこで処理されるのでしょうか。公式FAQによると、ソースコードとスキャン結果はDefender XDRの契約環境と同じ地域に暗号化して保存され、AIによる解析は顧客が接続時に指定した地域で動きます。2026年8月26日更新の公式ドキュメントが挙げる提供地域は米国、欧州、英国、オーストラリア、インド、スイス、アラブ首長国連邦で、日本は含まれていません。また、AIの解析は毎回同じ結果になるとは限らず時間もかかるため、公式は開発の自動処理に組み込む場合も、そこで処理を止めて合否を決める関門ではなく、後から確かめるレビューに向くとしています。スキャン対象と修正権限を分け、まず限定したリポジトリで精度と運用負荷を測るのが安全な試し方でしょう。
Topic最初の成果はWindowsの中核部分から
Codename MDASHに関するよくある質問
- Microsoft製以外のAIモデルも使われますか？
- はい。Windowsの公式ブログは、主要な第三者のAI脆弱性発見モデルを含む複数のモデルを使うと説明しています。使うモデルは顧客がMicrosoft Foundryで利用設定したものから選び、モデルごとの使用量も確認できます。独自のモデルやエージェントの持ち込みには、2026年7月15日更新の公式FAQ時点では対応していません。
- Codename MDASHはどのプログラミング言語に対応しますか？
- Microsoftは主要なプログラミング言語を広く扱い、特にC、C++、Java、C#向けの専門エージェントを調整済みと説明しています。実際のリポジトリで対応範囲と検出品質を試してください。
- 一度にどれくらいの規模のコードを調べられますか？
- 2026年7月15日更新の公式FAQでは、非公開プレビューの段階の目安として、1つのリポジトリあたり約256MB、1つの契約環境（テナント）で同時に1件のスキャンとされています。品質を守るため意図的に処理量を絞っているとの説明で、条件は変わる可能性があります。
