Chainguardが$356Mを調達した日、脆弱性対策は「後始末」から「作らない」に変わった

Chainguardは、オープンソースソフトウェアをソースコードからビルドし、既知の脆弱性(CVE)をほぼ含まない状態でコンテナイメージ・仮想マシン・言語ライブラリとして配布するソフトウェアサプライチェーンセキュリティ企業だ。

スキャンで問題を見つけて後から直す運用ではなく、そもそも脆弱性が混入しにくい配布物をソースから作り直す点を売り物にする。

ソースから作り直す。

Chainguardが選んだ答えはそれだけだが、その一言にコンテナ時代の設計思想が詰まっている。

共同創業者でCTOのMatt Mooreは、スキャナは何が問題かを教えてくれるだけで何も直してはくれない、だから自分たちは原因そのものに手を付けたと述べている。出典

スキャンして直す、という限界

従来のコンテナセキュリティは、配布されたイメージをスキャンし、検出したCVEをトリアージしてチケットを起票し、翌週また同じことを繰り返す運用だった。

Matt Mooreはこれを症状の管理と呼び、スキャナは問題を指すだけで修復はしないと書いている。出典

しかもイメージは汎用ディストリビューション由来のパッケージを大量に抱え、その多くは実行時に使われない。

使わないコードに脆弱性が残り続ける構造そのものが問題だった。

2021年、GoogleのコンテナOSSを作っていた3人

2021年、Dan Lorenc、Ville Aikas、Matt Mooreらがワシントン州KirklandでChainguardを創業した。

3人はGoogleでdistroless、Sigstore、ko、kaniko、Knative、Tektonといったコンテナ基盤のOSSを主導してきた顔ぶれで、世界がopen sourceの上で動いていることと、そのopen sourceを誰も保証できていないことを内側から見てきた。出典

SolarWindsが空気を変えた

Matt Mooreは、もし1年早く同じ製品で創業していたら資金調達は難しかっただろうと振り返る。

業界がサプライチェーンに関心を持ったのは、SolarWindsのSUNBURST攻撃がビルドシステムの侵害を現実のものとして見せてからだった。出典

攻撃者は正規の署名付きアップデートにマルウェアを混ぜて数千組織へ配った。

理論として知られていた問題が、実務の最優先課題に変わった瞬間である。

Wolfiという土台

Chainguardは2022年にLinux undistro「Wolfi」を公開した。

カーネルを持たず、apkパッケージとビルド時SBOMを標準で備え、すべてのパッケージをソースからビルドする。出典

パッケージの粒度を細かく保つことで、必要なものだけを入れる設計が成り立つ。

この土台の上で、常時リビルドとパッチ適用を回すChainguard Factoryが動いている。

2025年4月時点で13,000以上のパッケージとGitリポジトリをビルドし、1,400本のコンテナイメージを供給していた。出典

資金調達ではなく、供給網の組み替え

Dan Lorencは、開発とセキュリティの優先順位を揃えるより良い方法があることを顧客と業界に示してきた、開発者が本来の仕事に集中できる脆弱性のない土台を用意することが目的だと述べている。出典

数字もその主張を裏づけた。

2024年7月のSeries Cで$140Mを調達し、評価額は$1.12B、累計調達は$256Mになった。出典

2025年4月のSeries Dでは$356Mを調達して評価額$3.5B。

Kleiner PerkinsとIVPがリードし、Salesforce VenturesとDatadog Venturesが新たに参加した。

同時に売上が$5Mから$40Mへ伸び、コンテナイメージは400本から1,400本へ増えたと会社は説明している。出典

5年で見えた次の問い

2025年10月にはGeneral CatalystのCustomer Value Fundから$280Mのgrowth financingを受け、累計調達額は$892Mに達した。出典

2026年6月には初回のGartner Magic Quadrant for Software Supply Chain SecurityでLeaderに選ばれた。

Matt Mooreは5年を振り返り、AIエージェントとコーディングツールが人間の確認より速くコードと依存関係を増やす以上、信頼は機械の速度で動く必要があると書いている。出典

スキャンの外側から始まった会社は、いま供給網そのものを組み替える側へ回ろうとしている。

Chainguardの痛みは「脆弱性対応に時間を取られる」ことにある。

スキャナは問題を指摘するが修復はしないため、プラットフォームチームは検出、トリアージ、パッチ、再検証を延々と繰り返す。出典

Chainguardは配布物そのものをソースからビルドし直し、CVEを生みにくい形で置き換えることで、この運用コストを構造的に減らす。出典

特に規制産業では監査可能なSBOMと署名が要件になり、置き換えの意思決定が進みやすい。

参入障壁は技術とエコシステムの両方にある。

Wolfi、apko、melangeなどソースからビルドする基盤を自前で持ち、Sigstore署名とSLSA provenanceを標準にしてきた蓄積は簡単には複製できない。

加えてCVE修復SLAという契約上の約束が、単なるツールとの差になる。出典

ネットワーク効果は弱い。

顧客が増えてもビルド基盤の品質は自動では上がらず、OSSコミュニティと自社のエンジニアリング投資が主な駆動力になる。

ただしWolfiやSigstoreなど上流OSSの採用が広がれば、間接的に信頼が積み上がる点はある。出典

規制産業や大規模プラットフォームでコンテナを大量運用するプラットフォームエンジニアリングとセキュリティの責任者。

FedRAMPやCMMC、FIPS、STIGへの対応が求められ、脆弱性対応の工数を開発に戻したい組織が中心。出典

再現できる要因は3つある。

第一に、SolarWinds以降に高まった規制と調達の需要を、CVE削減率という測定しやすい指標に翻訳したこと。

第二に、WolfiやSigstoreといった自前のビルド基盤を先に作ったことで、後発が同じSLAを真似しにくくしたこと。

第三に、開発者の既存ワークフローを変えずに置き換えられる形(drop-in)を選び、セキュリティ都合の摩擦を最小化したことだ。出典

公表された失敗は限定的だが、リスクは明確だ。

売上は2025年4月時点で$40Mと、$892Mの調達額に対して小さく、成長期待が valuations に先行している。

ゼロCVEはビルド時点の保証であり、導入後の設定や依存の追加で脆弱性は入り得る。

また大企業のレジストリや既存スキャナとの棲み分けが曖昧になれば、置き換えの意思決定が長引く可能性がある。出典

成長はオープンソースコミュニティと開発者向けドキュメントから入り、エンタープライズ契約で収益化する形だ。

WolfiやSigstoreなどOSSへの貢献が技術的な信頼を作り、Chainguard Academyやブログが検索と学習の入口になる。

2024年から2025年にかけてはSeries CとSeries Dで大型調達を重ね、コンテナからライブラリ、VM、CI/CDへ対象を広げて契約単価を引き上げた。出典

主要チャネル: content_blog, open_source_community, developer_relations, events, enterprise_sales

セキュリティ製品は「見つける」より「発生させない」ほうが説明しやすい。

Chainguardはスキャン結果の山を片付ける運用を、ソースから作り直す設計に置き換えることで、開発チームの協力を得やすくした。

加えて、規制の締め切りや監査が購入の引き金になる領域では、技術的な正しさと同じくらい、SLAや来歴といった監査可能な形に落とし込むことが導入を決める。出典

日本では金融・公共・製造の基幹系でサプライチェーン対策の要求が強まっており、SBOM提出や脆弱性対応SLAを求める調達が増えている。

Chainguard型のモデルは、国内のSIerやクラウド事業者が「検証済みイメージの供給元」として再パッケージする形と相性がよい。

一方、日本語のドキュメントと国内サポート体制がないと、監査対応の説明コストが導入の壁になりやすい。出典