AIとホワイトハッカーで脆弱性対策、GMOの新サービスが提供開始
AIによる脆弱性検査が進む一方、設計や運用に潜む問題まで自動で見つけるのは容易ではありません。GMOサイバーセキュリティ byイエラエは、独自のAI基盤とホワイトハッカーを組み合わせた「AIホワイトハッカー ペネトレーションテスト」の提供を開始しました。本記事では、サービスの背景と検査・対策の仕組みを紹介します。
ARCHETYP Staffingでは現在クリエイターを募集しています。
エンジニア、デザイナー、ディレクター以外に、生成AI人材など幅広い職種を募集していますのでぜひチェックしてみてください！
AIとホワイトハッカーで脆弱性を調べる仕組み
フロンティアAIの登場により、ソフトウェアの脆弱性を発見し、解析・検証する作業の自動化が進んでいます。GMOサイバーセキュリティ byイエラエは、脆弱性の発見や解析の自動化が進む一方、それを悪用するサイバー攻撃のスピードも大きく変化していると説明しています。
ただし、AIだけですべての脆弱性を発見できるわけではありません。システム固有の業務手順に関わる欠陥や、複数の弱点を組み合わせて成立する攻撃、設計と実際の運用のずれから生じる問題などは、使用するモデルや検査環境によって見落とされる場合があります。既知の診断項目に分類されていない新しい攻撃手法も、条件がそろわなければ発見が難しいとされています。
「AIホワイトハッカー ペネトレーションテスト」は、同社のAI基盤「AIホワイトハッカー byGMO」と、ホワイトハッカーによる手動検査を組み合わせたサービスです。ペネトレーションテストとは、実際の攻撃を想定してシステムへの侵入を試み、悪用できる弱点や攻撃経路がないかを確認する検査を指します。
AI基盤が未公表のものを含む脆弱性を広く検査したうえで、ホワイトハッカーがAIでは検出しにくい脆弱性や新しい攻撃手法、誤検出が起きやすい領域を精査します。AIの探索能力に、ホワイトハッカーの知見を反映した独自の検証ロジックを組み合わせ、脆弱性を高速に検出しながら、検出精度と再現性を高める仕組みです。
対象となるのは、企業や組織が社外に公開しているサーバー、基幹システム、ソフトウェア製品です。同社はAI基盤を使った検証により、フロンティアAIモデル「Claude Mythos Preview」が発見したとされる複数のゼロデイ脆弱性を検出したとしています。なお、本サービスはAnthropic社および他社の特定のサービスと提携・関連するものではありません。
また、同社は同様の検証基盤を用いて、Microsoft Windows 11のゼロデイ脆弱性2件を発見し、「Pwn2Own Berlin 2026」で特権昇格攻撃を実証しました。ゼロデイ脆弱性は、修正プログラムが提供されていない段階で悪用される可能性があるため、早期発見に加えて、検出後の迅速な判断も重要になります。
検出した脆弱性を優先順位付けし、対策まで支援
脆弱性診断では、問題を見つけるだけでなく、どの脆弱性から対応するかを判断する必要があります。AIを使った検査では多くの候補を検出できる一方、実際には危険性がないものまで問題として示す「誤検出（フォールスポジティブ）」が発生する場合があります。検出結果をすべて同じ重要度で扱うと、確認や修正の工数が増え、危険度の高い問題への対応が遅れる可能性があります。
本サービスでは、対象システムごとに攻撃が成立する可能性や経路を検討し、脆弱性の危険度や影響を評価したうえで、対応の必要性や優先順位を決めるトリアージを実施します。
また、対策すべきと判断された未公表の脆弱性が見つかった場合には、修正プログラムが公開・適用されるまでの応急対応も支援。
必要に応じて、WAFやEDRで利用できるカスタムシグネチャも提供されます。WAFはWebアプリケーションへの攻撃を検知・防御する仕組みで、EDRはPCやサーバーなどの端末を監視し、脅威の検知・調査・対応を行う仕組みです。カスタムシグネチャは、組織固有の脅威や要件に合わせて作成・追加する、不正通信や攻撃を検知するためのルールを指します。
本サービスは、AIの進化や脅威の変化に合わせて検査方法を更新する継続サービスとして設計されています。AIに十分任せられるようになった検査項目は順次AIへ移し、ホワイトハッカーは設計や業務ロジック、複数の弱点を組み合わせた攻撃の検証、トリアージなど、より高度な判断が必要な領域へ注力する方針です。また、ホワイトハッカーが得た知見をAI基盤へ反映し、検査精度を継続的に高めるとしています。
料金は300万円から（税別）で、提供内容によって変動します。本サービスは「AIホワイトハッカー byGMO」を活用した初のサービスであり、同社は今後、同じAI基盤を使ったサービスをシリーズとして展開する予定です。本サービスは、脆弱性の検出だけで終わらず、優先順位付けや対策案の提示、修正プログラムが適用されるまでの応急対応を一つの流れで支援します。AIによって検出できる脆弱性が増えるほど、結果を精査し、対応の優先順位まで示す仕組みが実務上の重要性を増すと考えられます。
まとめ
いかがだったでしょうか？
「AIホワイトハッカー ペネトレーションテスト」は、AIによる広範囲な検査と、ホワイトハッカーによる精査を組み合わせたサービスです。また、脆弱性の発見に加え、優先順位付けや対策案の提示、修正プログラムが適用されるまでの応急対応も支援します。
AIに任せられる検査が増える一方、設計や実際の運用を踏まえた判断には、引き続き人の知見が必要です。AIと人が得意な領域を分担し、検出結果の精査から対応の優先順位付けまでを行うことが、重要な脆弱性を見落とさず、具体的な対策につなげるうえで重要になるでしょう。