KubeCon Europe 2026、膨大なSBOMを可視化するGUACの創始者KusariのTim Miller氏にインタビュー

KubeCon Europe 2026から、KusariのCEO兼共同創業者であるTim Miller氏のインタビューをお届けする。Kusariについては、2024年にもパリで開催されたKubeCon Europe 2024でCTOのMichael Lieberman氏にインタビューを行っている。Kusariはソフトウェア開発のライフサイクルで生成されるSBOMの依存関係を可視化するGUACをGoogle、Red Hatとともに開発し、公開した企業としても知られている。パリでのインタビューは以下の記事を参照して欲しい。

●参考：KubeCon Europe 2024にて、グラフを用いてSBOMを可視化するGUACのコントリビューターにインタビュー

KusariはあなたとCTOのMichael Liebermanが創立した会社ということですが、Kusariを設立した経緯を教えてください。

インタビューに応えるKusariのCEO、Tim Miller氏

Miller：Michaelとは同じ会社で働いていた時からの付き合いですね。実際にはもう一人、Parth Patelという人物がいます。Michaelと私はヘッジファンドや日本のMUFGなどの金融業界で働いていて、ソフトウェアの中に何が含まれているのかがわからないという不満を抱いていて、Parthも防衛のための業界で働いていた時に同じような考えを持っていたということから始まります。食品や機械などは中身が何で構成されているのか？ を明記するためのBOM（Bill of Material）が存在しますが、ソフトウェアにはそれがなかったというところが始まりでした。ソフトウェアのBOMつまりSBOMなしでは、使っているソフトウェアに脆弱性があるのかどうかもわからないという状態だったわけです。そこからSBOMが注目されてきて、今ではSBOMがアメリカ政府関係機関や組織において調達の要件になりつつありますが、実際にはやってみるとまだ理解がされていないと感じています。

それはどういうことですか？

Miller：つまりSBOMが必要なのはわかるが、それは自動車を運転する時に「必ずシートベルトをしないといけない」というのに近い認識があるということです。つまりシートベルトをする意味はわかるが、でも通常はその効果がわからない、だからなんでSBOMを作っているのか？ その効果を理解できないということですね。これは企業のサイズやIT資産の大きさによっても変わってくるので、この理解がすべてではないということは言っておきます。つまりスタートアップなどの小さな企業は持っているソフトウェアの規模も小さく、開発のスピードも速く自社のソフトウェアが何で構成されているのか？ を改めて見直す必要性は少ないんです。でも企業が大きくなり組織ごとに多くのソフトウェアを使うようになると、多種多様なソフトウェアが入り乱れてくるわけです。そうなるとどこかでソフトウェアに脆弱性が発見された時にその脆弱性が自社のITに関係するのか？ を認識しないといけなくなります。そうするとソフトウェアの構成目録であるSBOMで確認するしかないということになります。企業のサイズによって、大きく意味合いが変わってくるということです。これは私とMichaelが銀行で働いていた時に感じた課題でもあったわけです。

SBOMだけだと単なるデータでしかなく、しかも実際には大量のデータが生成されてきて、人間でその中身を理解するのが難しいというところからGUACが出てきたということですか？

Miller：そうですね。何千行もあるSBOMをマニュアルで確認するのは非常に効率が悪いので、SBOMに含まれているソフトウェアの依存関係などを可視化するのがGUACです。GUACのGraph for Understanding Artifact Compositionという名前からもわかるように、グラフデータベースを使ってソフトウェアの生成物の中身を確認するツールになります。

KusariはGUACの創始者でもありますが、実際にはKusariはどうやってビジネスをやっているんですか？ ソフトウェアのライセンスとサービスですか？

Miller：我々はオープンソースによるセキュリティが最良の選択だと思っているのでソフトウェアはオープンソースを使っています。ただし企業は何かしなければいけないとは思っていてもどうやって始めたらいいのかわからないという状態の時に始め方やプロジェクトの進め方をKusariのエンジニアがアドバイスするという形ですね。なのでサービスとして利用してもらう形になります。

そうするとプロフェッショナルなコンサルタントみたいな人間が必要になるわけですね。Kusariの社員は何人で構成されているんですか？

Miller：今は15名です（注：2026年3月末の数値）。実は来週からセールスリードを行う人材が入社してくれることになっているので我々はとても喜んでいるんです。これまで私もMichaelもエンジニアとして働いてきたため、セールス的な活動については経験がなかったのです。

KusariはSBOMとGUACを使って企業がソフトウェア開発サイクルを回す際にどこにどんな脆弱性があるのか？ を可視化するというのが提供する価値ということになりますが、競合となるベンダーは？

Miller：完全に同じ領域で競合する企業は今のところ存在しないと思います。セキュリティツールを提供する企業がSBOM関連の機能として可視化を行うことなどはありますが、それぞれKusariの提供する機能にマッチアップする形ではないと思います。Kusariを使うユーザーはKusariを入れてスイッチをオンにしたらどんどん脆弱性が見つかってそれを潰していくということで、効果を実感するという経験をしていると思います。

生成AIを使ってコードを生成するというのが今の流行ですが、Kusariも生成AIを使っていますか？

Miller：非常に限られた使い方で利用しています。生成AIが出てきたことでコードを書くという仕事は高速化されましたが、Kusariでは我々が持っているデータやコードベースを生成AIが使うことで、より洗練されたコードを作ることができるのか？ ということを試しています。

Kusariにとってのチャレンジはなんですか？

Miller：一つの大きなチャレンジはKusariとしてのコーポレートアイデンティティをどうするのか？ という問題です。具体的な話をしますと、今回KubeCon Europeにおいてさまざまな人たちと話す中で必ず出てくる話題がCRAです。アムステルダムではブースを訪れる人でCRAを口にしない人はいませんでした。しかしこれがアメリカになるとどうやらアメリカ人はCRAのことなど知らないか知っていても話題にはならないテーマという扱いなのです。なのでKusariはCRAに対応するためのソリューションであるということを強力にアピールしたほうが良いのか、アメリカのように特に気にしてないという風に振る舞えば良いのか？という問題があります。これは少し悩ましい問題ですね。

Kusariのブースで撮影。GUACのキャラクターはアボカドだ

（注：CRA（Cyber Resilience Act）とはEUで成立したソフトウェアの安全性を保つための法律。2024年10月から発効）

社員15名という規模では難しいかもしれませんが、アメリカやヨーロッパ以外での展開は？ 日本市場やより大きな市場として中国がありますが。日本ではパートナーを使って市場に参入するという方法は海外のITベンダーにおいては良く採用される方法ですが。

Miller：それについてもまだ検討しているという段階ですね。あなたが言うように日本ではパートナーを作って活動するというのも方法としてはありだと思います。中国についても検討しているという状態だと思ってください。

近年は欧米のITベンチャーが、日本語を使った社名やプロダクト名を採用することやモチーフとして可愛いイラストをキャラクターとして使うことがトレンドとなっている。Ederaのキャラクターはピンクのウーパールーパーだ。Kusariも社名は日本語（鎖）から採用したと説明しているし、GUACのキャラクターがアボカドなのもGuacamole（グアカモレ）というアボカドを使ったメキシコ料理のディップソースがアメリカでは非常にポピュラーだからだろう。そういう意味ではトレンドに乗っている勢いのある企業がKusariである。まだ15名という規模からどこまでSBOMとGUACが浸透していくのか、引き続き注目していきたい。

●公式サイト：https://www.kusari.dev/

●GUAC公式ページ：https://guac.sh/guac/