なぜLegacy Dragonはシングルバイナリなのか：ネットワークが届かない場所でCOBOLを解析する

レガシー資産は「閉域であること」を選べるわけではない

いまだにCOBOL、JCL、PL/Iを本番環境で動かしている組織は、偶然そうしているのではありません。これらのシステムは、「書き直す」ことがスプリントではなく複数年がかりのプロジェクトになってしまうようなコンプライアンス体制の下に置かれているからこそ、動き続けているのです。米国会計検査院（GAO）が2025年2月に公表した報告書（GAO-25-107795）によれば、各連邦機関は2025会計年度の連邦IT投資のうち約79パーセントを、近代化ではなく既存システムの運用・保守に充てる計画だったとされています。GAOが近代化の必要性が最も高いと指摘した11の連邦レガシーシステムのうち、8つが古い言語で書かれており、財務省が選定した2つのシステムはいずれもCOBOLとアセンブリ言語コードで動いています。

銀行業界も似た状況です。Reutersが2015年に発表し、それ以降より厳密な再調査が行われていないために業界全体がいまだに参照点として引用し続けている推計では、本番稼働中のCOBOLコードはおよそ2200億行にのぼり、世界の銀行システムの43パーセント、ATM取引の95パーセントを支えているとされています。今日の正確な数字が何であれ、事実の輪郭は変わっていません——COBOL資産が最も大きい業種、すなわち銀行、保険、政府機関は、そのコードに何が触れてよいかについて最も厳格なルールを持つ業種でもあるのです。

エアギャップは「好み」ではなく「調達要件」である

これこそ、汎用的な開発者向けツールが見落としがちな部分です。npm installや言語サーバーのダウンロード、あるいはクラウドAPIへの外部呼び出しを前提とするパーサーは、こうした環境では単に不便というだけでは済みません。セキュリティレビューが始まる前の段階で、しばしば失格の理由になります。今年発表されたエアギャップ環境・規制業界向け導入に関する解説記事は、その運用実態を明確に述べています——真にエアギャップされた環境では、依存関係の更新もパッチ適用もすべて手作業で検証され、承認された物理メディア経由でギャップの向こう側へ転送され、隔離ネットワークへ再導入されなければなりません。この審査サイクルを、規制業界の組織は分単位ではなく週単位で計測しています。依存関係のツリーが深いツールは、インターネットに到達できないと動かなくなるリスクを抱えるだけではありません。そのツールが本番コードの近くに置かれることを許可される前に、セキュリティチームが検証しなければならない対象のリストを長くしてしまうのです。

2026年は、その警戒が正しかったことを繰り返し証明した年だった

これはアーキテクチャ上の判断を後付けで正当化するための仮想的なリスクではありません。2026年は、npmエコシステムにとって特に厳しい一年でした。2026年3月、侵害されたメンテナーアカウントによって、最も広く使われているJavaScript製HTTPライブラリの一つであるaxiosがマルウェア配布の経路に変わり、CISA（米国サイバーセキュリティ・インフラセキュリティ庁）が公式のアラートを発行するほど深刻な事態となりました。その数週間後には汚染されたnode-ipcのリリースが続き、6月には攻撃者が侵害されたGitHub認証情報を使って@redhat-cloud-servicesネームスペース内の32個のパッケージに悪意あるコードを送り込みました。この傾向を追跡しているセキュリティ研究者たち（ZscalerのThreatLabzなど）は、npmとPyPIのエコシステム、さらにその下流に位置するマネージドサービスプロバイダーを標的とする、複数の異なる——中には国家と関連づけられているものもある——攻撃グループを現在も特定し続けています。

これは特殊な話ではありません。今日ほぼすべてのモダンなWeb系開発者ツールが依存しているJavaScriptパッケージエコシステムの主流そのものの話です。本番稼働中のCOBOLに対して何を実行してよいかを判断する銀行や連邦機関にとって、「このツールはどれだけの推移的依存関係を引き込んでいて、そのすべてを誰が監査しているのか」という問いは、被害妄想ではありません。今年の見出しそのものです。

シングルバイナリが実際にもたらすもの

これが、Legacy Dragonが後付けではなく最初から前提として設計している環境です。Legacy Dragonはシングルバイナリとして提供され、COBOL、JCL、PL/I、VB6、VB.NET、PowerBuilder、Assembly、SQL/DB2、CICS、REXXという10のメインフレーム時代の言語を解析します。インストールが必要なパッケージマネージャーのツリーも、到達すべきクラウドエンドポイントも、セキュリティチームが承認前に6段階の推移的パッケージを追いかけなければならないランタイム依存チェーンもありません。Shift-JIS、EBCDIC、DBCSといった、実際にこのコードで使われているエンコーディングにも対応しています。メインフレーム資産はUTF-8を前提に書かれたわけではなく、構文解析にたどり着く前にエンコーディングでつまずくパーサーは、それを最も必要としている現場では役に立たないからです。

これはセキュリティの話に見せかけたパフォーマンス最適化ではありません。この製品カテゴリを実際に購入する人たちへの直接的な回答です。GAOの報告書とReutersの銀行業界推計が描き出しているのとまさに同じ種類の機関に属するチームにとって、コード解析ツールのソフトウェア部品表（SBOM）は、そのツールが解析対象とするコードそのものと同じくらい注意深く読まれます。より小さく自己完結したアーティファクトであることは、単に出荷しやすいというだけではありません——この近代化作業が実際に行われなければならない、まさにその現場で「イエス」と言ってもらいやすくなる、ということなのです。

---

レガシー近代化プロジェクトに取り組んでいて、Legacy Dragonがあなたのコードベースをどう扱うか見てみたい方は、解決しようとしているパーシングのボトルネックについての記事もあわせてご覧ください。dragon.aitytech.comから試すか、[email protected]までご連絡ください。