国内通信大手KDDIは、KDDI総合研究所とラックの技術・知見を活用した「AI脆弱性管理ソリューション」の提供を開始した。
ネットワークからソフトウエアまで横断的に診断し、企業のリスク評価と対策の優先順位付けを支援する。
3層を横断診断、AIが設定不備やコードの弱点を抽出
2026年10月28日に提供を開始した同サービスは、ネットワーク・インフラ、OSなどのシステム基盤、アプリケーションの3層を横断的に診断する仕組みだ。
各層の診断結果を組み合わせることで、単独の診断では把握しにくいシステム内部への侵入経路を可視化する。
リスクの発見だけでなく、設定変更やシステム改修を含む対処までKDDIグループが支援する。
外部からの侵入経路を調べる「DiaForce by ラック」は、公開資産やポート情報を攻撃者の視点で確認する。
ラックが蓄積した診断実績と脅威情報を活用し、海外拠点や子会社を含めて潜在的な攻撃対象を洗い出す。
「AIネットワークコンフィグ診断」では、ファイアウォールなどの設定をAIが解析する。
過剰な通信許可、多要素認証の未設定、サポート終了機器などのリスクを抽出し、専門家が結果を評価して改善策を提案する。
さらに「AIソフトウエア診断」は、複数のAIエージェントがソースコードを分析する。
KDDI総合研究所の独自制御技術を採用し、OWASP Benchmarkで他社AI製品と同等以上の検出性能を確認したという。
脅威情報を踏まえた脆弱性の優先順位付けも自動化する。
また、国内外の本社・拠点・子会社・取引先企業も対象とし、KDDIの営業・サポート網を活用して同一水準のセキュリティー管理を提供する。
サプライチェーン全体で継続的なリスク管理を実現する狙いだ。
背景には、VPN機器などの設定不備を突く侵入と、増え続ける脆弱性への対応負荷がある。
同社はこうした課題に対し、攻撃対象領域を継続的に把握・評価し、改善を繰り返すCTEM（※）の考え方を採用した。
なお、「AIネットワークコンフィグ診断」については、12月28日まで無償トライアルを受け付ける。対象は1企業につきネットワーク機器1台、1回までとなる。
※CTEM：Continuous Threat Exposure Managementの略。組織が攻撃を受け得る領域を継続的に把握し、脆弱性や設定不備などを評価して、対処の優先順位付けと改善を繰り返すセキュリティー管理の考え方。
脆弱性管理の省力化に期待、AI診断後の運用が鍵
今回の取り組みは、検出した脆弱性を網羅的に修正する発想から、実際の侵入可能性と業務への影響を踏まえて対策を選ぶ運用への転換を後押ししそうだ。
特に、セキュリティー担当者や予算が限られる企業では、対応順序を整理できる効果が期待される。
ネットワーク設定とソースコードの診断結果を組み合わせることにも意義がある。
単体では深刻度を判断しにくい問題でも、外部公開状況や侵入経路との関係を確認できれば、改修の必要性を説明しやすくなるだろう。
一方、AIが提示する評価は、そのまま対策の正解を保証するものではない。
システム固有の業務要件を踏まえた専門家の判断や、誤検出の精査、修正後の再確認が欠かせない。
継続運用には、資産情報の更新や各拠点との責任分担も必要になる。
今後は、診断結果を実際の改善活動につなげ、対策の効果を継続的に検証できるかが重要になる。
AIによる分析の効率化だけでなく、現場の運用負荷を抑えながら改善サイクルを定着させることが、企業全体のセキュリティー強化を左右すると考えられる。
関連記事：
NTT-AT、「AIハイブリッドWeb診断サービス」提供開始 フロンティアAIと専門家で脆弱性診断
Microsoftが新セキュリティAI「MAI-Cyber-1-Flash」発表 脆弱性管理を高速・低コスト化
NTTデータとNTTドコモビジネス、フロンティアAI活用のサイバーリスク対応サービス開始 脆弱性対策を一貫支援
