NECは9月2日、フロンティアAIを活用し、脆弱性の検出から対処までをワンストップで支援する自律型マネージドサービス「BluStellar Intelligent Managed Service」を発表した。9月末から金融機関、製造業、流通サービス業を対象に提供を開始し、3年間で売上高300億円を目指す。

あわせて、高性能AIなどが発見する未公開脆弱性を分析し、対応優先度の判定や仮想パッチ生成までを支援するセキュリティ向けAI技術「cotomi Security for Industry」も発表した。

  • 「BluStellar Intelligent Managed Service」のイメージ

    「BluStellar Intelligent Managed Service」のイメージ

フロンティアAIで攻撃速度が上昇、「人が脅威を追う」運用に限界

NEC 執行役 Corporate EVPの木村哲彦氏は、フロンティアAIの登場によって、脆弱性検知の速度や網羅性が高まり、脆弱性の発見から攻撃実行までが自動化されつつある現状を説明した。

木村氏によると、企業側では「対応猶予の消失」「攻撃規模の爆発的増加」「脆弱性対応の負荷限界」「外部AI利用に伴う情報管理」という4つの課題が顕在化しているという。

「資産の把握やリスクベースでの優先順位付け、対処の高速化・自動化など、これまでも必要とされながら先送りされてきた課題への対応が、フロンティアAIによって一段と重要になっています」(木村氏)

  • フロンティアAIの登場による現状を説明する木村氏

    フロンティアAIの登場による現状を説明する木村氏

また、2026年5月には金融庁と日本銀行が、フロンティアAIによる脅威変化を踏まえ、金融機関などに短期的な対策を要請した。

要求事項には「フロンティアAIへの対応を経営課題として扱うこと」「優先的に守るサービスやシステムを特定すること」「技術的負債の解消」「パッチ適用プロセスのリスクベース運用」などが含まれており、NECは、こうした対応は金融業界だけでなく、今後ほかの業界にも広がると考えているという。

このような時代背景を受けて同社が描くのは、人が脅威を追いかけ続けるのではなく、IT基盤そのものが継続的に変化を把握し、AIが影響や優先度を分析し、統制された形で修復を進める運用モデルである。

AI時代におけるセキュリティ対策としては、従来の「定期診断」「専門家による個別判断」「手作業による修復」から、「常時把握」「AIによる影響・優先度分析」「統制された自動修復」へ移行し、自律的・持続的なIT基盤そのものに変え続ける必要があるという見解を示した。

  • AI時代のセキュリティ対策

    AI時代のセキュリティ対策

資産発見から対処まで10フェーズ、AIと専門家を組み合わせて支援

続いて登壇したマネージドサービスビジネス統括部長の嶋村寿氏は、フロンティアAIを活用し、IT/ネットワーク資産の発見から脆弱性の検出、リスク分析、優先順位付け、対応策の立案・対処、運用改善までをワンストップで支援する自律型マネージドサービスとして「BluStellar Intelligent Managed Service」を紹介した。

同サービスは、資産情報、脆弱性情報、業務影響をAIを用いて統合的に分析し、顧客ごとに優先して対処すべきリスクを特定するとともに、対応策の提案から対処までをワンストップで支援するもの。

さらに、AIを活用して脆弱性対応状況やシステム運用データを継続的に分析し、リスク評価や改善施策の立案を通じて運用改善サイクルを継続的に回すことで、脅威に先回りして備えるサイバーレジリエンスを実現するという。

嶋村氏は、同サービスにおいて、脆弱性対応に必要なプロセスをNIST SP 800やCIS Controlsなどの業界標準フレームワークを基に10フェーズへ分類し、企業の成熟度に応じて段階的に提供することを説明した。

「10フェーズは、資産発見、構成管理、脆弱性情報収集、脆弱性検出、CMDBとの突合、優先順位付け・防御策立案、起票・割当、修復、適用確認、報告・改善で構成します。サービスは『IT/ネットワーク資産管理サービス』『脆弱性管理サービス』『脆弱性対処サービス』の3つに分け、必要な部分だけを導入することもできる仕組みです」(嶋村氏)

  • 「BluStellar Intelligent Managed Service」の概要を説明する嶋村氏

    「BluStellar Intelligent Managed Service」の概要を説明する嶋村氏

嶋村氏は同サービスの特徴として「AIによる自律化と人による判断を組み合わせる点」を挙げた。NEC独自のセキュリティ向けAI技術に加え、Anthropic、OpenAI、GoogleなどのAI技術や、Cisco、Oracle、Red Hat、ServiceNowなどのパートナー製品・サービスを組み合わせる。AIが既知・未公開の脆弱性を分析し、対応優先度や対処方針、緩和策を提示しつつ、必要に応じてNECの専門家が判断を支援する。 

また、NEC自身を最初の顧客とする「クライアントゼロ」で得た運用ノウハウも反映するのも特徴的だ。嶋村氏は「NECが約30年、6000社以上の運用・アウトソーシングで培った標準プロセスとAIエージェントを組み合わせることで、資産管理から脆弱性対処までを一体化する」と説明した。

今後は、プロアクティブな脆弱性検知やAIエージェントによる防御策立案・対処を順次実装する予定で、2026年下期には脆弱性対策の対象範囲拡大や検知から対処までの高速化、2027年度には防御策の自動化やマネージドサービスの高度化などを進める計画としている。

「cotomi Security for Industry」で未公開脆弱性を分析、攻撃ルートから優先度判定

最後に登壇したセキュアシステムプラットフォーム研究所長 兼 NECセキュリティ 取締役執行役員常務の藤田範人氏は、高性能AIやフロンティアAIが発見する未公開脆弱性、いわゆる「Pre-CVE」への対応を支援する技術として「cotomi Security for Industry」を開発したことを説明した。

  • 「cotomi Security for Industry」の概要を説明する藤田氏

    「cotomi Security for Industry」の概要を説明する藤田氏

一般に公開済みの脆弱性にはCVEが付与され、種類や深刻度などの情報が整理されている一方で、高性能AIが新たに発見した未公開脆弱性には、攻撃経路や影響などの情報が十分に付与されていない場合がある。

cotomi Security for Industryは、こうしたPre-CVEを取り込み、攻撃経路、権限昇格、メモリ窃取などの情報を自動分類し、対応優先度を判断するために必要な情報を付与することが可能だ。

  • cotomi Security for Industryの画面イメージ

    cotomi Security for Industryの画面イメージ

同技術の特徴として、優先度判定において、米国CISAが示すBOD26-04をベースに、機器がインターネットへ露出しているか、実際の悪用事例があるか、攻撃を自動化できるかといった情報を評価するという点がある。

これに加えてNECでは、個々の脆弱性だけを見るのではなく、複数の脆弱性を組み合わせた場合に重要資産まで到達できる攻撃ルートが成立するかも分析する。単体では優先度が低い脆弱性でも、組み合わせによって重大な攻撃につながる場合には優先順位を引き上げる判断を行うという。 

  • 重要資産への攻撃経路のイメージと脆弱性対応の優先順位付けのイメージ

    重要資産への攻撃経路のイメージと脆弱性対応の優先順位付けのイメージ

NECは、こうしたリスク分析によって、限られた人的リソースを本当に対応が必要な脆弱性へ集中させることを狙っていくという。

仮想パッチを自動生成、9月末には高性能AIによるコード診断も開始

cotomi Security for Industryのもう1つの特徴が、正式なパッチをすぐに適用できない場合に備えた「仮想パッチ」の生成である。対応優先度の高い脆弱性について、AIが脆弱性を悪用する攻撃コードや攻撃パケットを推定し、WAFやIDS/IPSで攻撃通信を遮断するためのルールを生成・提示する。

藤田氏は「すでに稼働しているシステムでは、脆弱性が見つかっても直ちにソースコードを修正できない場合がある」と説明。その場合、ネットワークレベルで攻撃パケットなどを検知・遮断する仮想パッチを暫定策として用い、恒久対応までのリスクを抑える。AIは脆弱性情報から攻撃方法を推定したうえで、遮断に必要なルールを自動生成する。

NECは今後、脆弱性管理サービスのメニューとして「Threat-Driven Security Assessment」と「CyIOCシステムリスク診断」を展開する。

「Threat-Driven Security Assessment」は、AnthropicやOpenAIなどの高性能AIを利用してソースコードを診断するサービスで、NECの専門家によるレビューと従来のSASTを組み合わせて診断範囲を補完する。9月末からサービスを開始し、2026年12月末以降には国内クラウド限定環境やZDR契約などの選択肢も提供する予定だ。

最後にNECは「BluStellar Intelligent Managed Service」をまず金融、製造、流通サービス業へ展開し、3年間で300億円の売上高を目指していく。将来的には、AIによる診断・判断に人が関与する現在の運用から、より自動化の範囲を広げ、検知、分析、対策立案、修復を継続的に回す「自ら守り続けるIT基盤」の実現を目指す構えだ。