日本サイバーセキュリティは10月20日、WebサイトやWebアプリケーション、スマホアプリ向けの脆弱性診断サービス「SHIELD SCANNER AI」の提供を開始したと発表した。同サービスは、診断用AIとエージェント基盤を活用し、有資格のセキュリティエンジニアによる手動診断やツール診断と組み合わせることで、攻撃者の視点でシステムの弱点を発見するという。

AIで診断結果を深掘りし、攻撃経路を探索

SHIELD SCANNER AIは、日本サイバーセキュリティが提供する脆弱性診断サービス「SHIELD SCANNER」の上位サービスに位置付けられるもの。有資格のセキュリティエンジニアが診断用AIとエージェント基盤を操作し、ツール診断や手動診断と組み合わせてシステムの弱点を探す。

ツール診断では、既知の脆弱性や設定不備を網羅的に洗い出す。セキュリティエンジニアによる手動診断では、ツールで発見しにくい認証・認可や業務ロジックの不備などを検証する。

  • SHIELD SCANNER AI

    サービスのイメージ

AI診断は、ツール診断と手動診断で得た結果の深掘りや、見落とされやすい攻撃経路の探索を担う。同社は、攻撃者と同水準のAIを使用し、攻撃者の視点から弱点を調べるとしている。

有資格エンジニアがAIへの指示と結果の検証を担当

同サービスでは、情報処理安全確保支援士やCEH（認定ホワイトハッカー）などの資格を持つセキュリティエンジニアが、診断で蓄積したノウハウを基にAIへ指示を出す。AIが示した結果についてはエンジニアが精査し、AIの出力をそのまま顧客へ納品することはないとしている。

診断後は、発見した脆弱性ごとに危険度や再現手順を整理するほか、システムの設定や運用に関する具体的な対策を報告書にまとめる。顧客向けの報告会も開き、情報システム部門の担当者に診断結果と対策を説明する。

同社によると、ツール、手動、AIの各診断を当初から一体で設計し、それぞれが得意とする領域を補完させることで、脆弱性の見落としを減らすとしている。