Socketは悪意あるパッケージをインストール前に止め、$60M調達で$1B評価に達した

Socketは、オープンソース依存パッケージの挙動を解析し、悪意あるパッケージをインストール前に検知・ブロックするソフトウェアサプライチェーンセキュリティ基盤である。出典

「悪意ある依存を、公開前の検査ではなく挙動で見つける」という賭け

Socketの創業者Feross Aboukhadijehは、オープンソースの依存パッケージを公開後の脆弱性リストで追うのではなく、その振る舞いの変化をリアルタイムで見るべきだと主張してきた。

彼は2022年のローンチ記事で「Socket detects and blocks supply chain attacks before they strike」と述べ、既知のCVEを待つ検査は構造的に遅れると指摘した。出典

WebTorrentの作者がセキュリティへ移った理由

AboukhadijehはWebTorrentやStandardJSの作者として知られ、これらのプロジェクトは月間10億回を超えるダウンロードを持つ。

Node.js FoundationのboardとStanford大学での講義を通じて、オープンソースのリスクがコミュニティの信頼に依存していることを理解した。出典

2021年、彼はSocketを創業した。

オープンソースの供給網攻撃がevent-streamやua-parser-jsのような事件で現実の被害を出し始めた時期である。

チームは「オープンソースはすべて悪意があるかもしれない」という前提から、パッケージの中身を機械的に解析する方向を選んだ。出典

7か月のbetaから一般公開へ

Socketは7か月間のclosed betaを経て、2022年3月1日に一般公開された。

この時点でSocketが打ち出した差別化は、既知の脆弱性を報告するスキャナの一覧に加わることではなく、悪意あるパッケージを到達前に止めることだった。出典

機能を積み上げる成長

その後Socketは、インストール時に悪意あるパッケージを遮断するSocket Firewall、リポジトリのPRを検査するSocket for GitHub、到達可能性分析やCertified Patchesへと製品群を広げた。出典

2026年5月20日、SocketはThrive Capitalがリードする$60MのSeries Cを$1B評価で調達したと発表した。

累計調達額は$125Mになる。

Aboukhadijehはこの発表で「This is the moment we've been working toward since we started Socket」と述べ、AIがコード生成量を増やしたことで供給網の防御がより重要になったと説明した。出典

数字が示す現在地

Series Bを完了した2024年10月時点の7,500社から、Socketの導入組織は27,000社超へ増えた。

1.5Mのリポジトリを保護し、月間11.6Mコミットを守り、毎週10,000件を超える供給網攻撃をブロックしている。出典

Axiosのnpmパッケージが侵害された際、Socketの検知は6分で悪意ある依存を特定し、24時間で2,000社以上が遮断のためにSocketへ登録した。出典

結び

Socketの物語は、セキュリティ製品を経営層向けのレポートから開発者の作業導線へ移した話である。

検査の後追いではなくインストール前のブロックを選び、無料のFirewallで生態系全体を守りながら、企業向けの到達可能性分析で収益化する。

AIがコードを書く時代に、依存の信頼をどう担保するかという問いへの一つの答えになっている。

開発チームは、AIが生成したコードが読んだことのないオープンソース依存を取り込む状況に直面している。

Socketはこの痛点に対し、依存パッケージの振る舞いを解析して悪意あるものをインストール前にブロックする。出典

Series C発表時点で27,000社超が導入し、1.5Mリポジトリ・月間11.6Mコミットを保護、毎週10,000件超の攻撃をブロックしている。出典

示唆は、セキュリティの価値が「検知の速さ」だけでなく「開発フローを止めないこと」で測られるという点である。

Socket Firewallが無償で配られる設計は、導入障壁を下げながら検知データを集める循環を狙っている。出典

検知の実績そのものが参入障壁になる。

毎週10,000件超の攻撃を観測する立場は、新しい攻撃パターンのデータを最も早く得られる。出典

加えて、悪意あるパッケージの判定ロジックと特許、主要AI企業での採用実績が、後発ベンダーの追随を難しくしている。出典

中程度のネットワーク効果を持つ。

導入組織が増えるほど観測される攻撃データが増え、検知精度が上がる循環がある。出典

ただし効果はユーザー同士の直接的なつながりではなく、攻撃データの集積に依存するため、単純なSNS型より弱い。出典

AIで大規模にコードを書く企業のセキュリティチームとプラットフォームエンジニアが主対象。

Anthropic、xAI、Replit、Cursor、Vercel、Figma、Gusto、Mercado Libreなどが導入している。出典

個人開発者やオープンソースプロジェクトは無償枠で利用できる。出典

第一に、公開後のCVEではなく依存の挙動を監視する検査方式を初期から選んだこと。出典

第二に、創業者Aboukhadijehのオープンソースでの知名度と、Anthropic・Vercel・FigmaなどAI時代の主要企業が早期に採用したこと。出典

第三に、Firewallを無償提供して生態系の防御を広げつつ、到達可能性分析やCertified Patchesを企業向けに有償化した二段構えの製品構成である。出典

ARRや売上高は公開情報から確認できず、$1B評価と$125Mの累計調達額以外の収益性は不明である。

成長の大部分はSeries C発表の数字に依存している。出典

供給網攻撃の検知は攻撃側とのいたちごっこであり、誤検知が開発速度を損なえば解約につながる。

到達可能性分析による誤検知削減も、動的言語では精度が課題として残る。出典

成長はオープンソースコミュニティと技術ブログを入口に、無償のFirewallとGitHub連携で開発者へ配布し、チーム・Business・Enterpriseへ課金する流れで設計されている。出典

Series Cの資金はFirewallの強化、Certified Patchesの拡大、ブラウザ拡張やMCPサーバーなどインストール地点への防護拡張に充てる計画である。出典

主要チャネル: open source community, free tier / product-led, technical blog, conference & podcast, enterprise sales

セキュリティ製品は、買う人ではなく使う人の作業を止めない設計にしたときに普及しやすい。

Socketは検査レポートではなく、インストール前のブロックという形で開発導線に組み込まれ、無償で配られることで防御網を広げた。出典

日本企業では、外部委託やOSS利用の稟議がセキュリティ部門と開発部門に分かれやすい。

まずGitHub連携とFirewallを無償枠で試し、誤検知とトリアージ工数の削減を測ってから企業向けの到達可能性分析を検討する進め方が現実的である。出典