Vercel Security Review がパブリックベータ、プッシュごとに自動審査

何が発表されたか

• Vercelが11月3日、Security Review をProおよびEnterpriseチーム向けのパブリックベータとして提供開始した。
• 接続済みGitHubリポジトリへのプッシュごと（本番ブランチへの直接プッシュ・強制プッシュも含む）にソースコードを審査する。
• 所見は Vulnerabilities ダッシュボードに表示され、プロジェクト・環境・ブランチ・コミットに加えて概要、修正案、重大度が付く。重大度はAIによる判定。
• 対象コミットにGitHubチェックが追加され、プルリクエストにはレビューコメントとして所見が投稿される。パブリックリポジトリでは詳細はダッシュボード内に留まる。
• 所見をVercel Agentに渡すと修正案とPRを作成する。マージには承認が必要。CLI（v65.10.0以降）の vercel security vulnerabilities からコーディングエージェントで修正したり、Markdown/JSONでコピーすることもできる。
• セキュリティポリシーは自然言語で記述でき、チーム単位（Agent設定）とプロジェクト単位（Security設定）で設定できる。

開発者への影響

• CI上の静的解析を別途用意していない小規模案件でも、プッシュ単位の一次審査が入るようになる。制作会社が複数クライアントのリポジトリを抱えている場合、見落としの保険としては使いやすい。
• ただしVercel自身が「セキュリティ監査ではなく、ランタイム検査やペネトレーションテストは行わない」と明記している。脆弱性がないことの保証にはならないので、クライアントへの説明では「自動レビュー」の範囲に留めるべき。
• 自然言語ポリシーが効くのは実務的に大きい。「外部APIキーをクライアントサイドに出さない」「顧客データを含むログを出力しない」といった案件固有のルールを、追加のlint実装なしに審査条件へ落とせる。

利用条件

Pro / Enterprise チームが対象。チームのAgent設定から有効化する。課金はVercel Agentレートで、プロバイダー推論費用をマークアップなしの実トークン単価、加えてVercel Token Rateとして入力・キャッシュ・出力それぞれ100万トークンあたり0.25ドル。レビュー自体は2026年11月10日まで無料で、Vercel Agentによる修正はAgentレートで課金される。コストはプッシュ頻度とコード変更量に比例する。