GenerativeXは11月9日、企業が利用するSaaSや社内システム、受託開発システムの脆弱性について、公表から修正の確認まで継続して追跡・記録するサービス「Patrol.ai」の提供を開始したと発表した。公開情報の確認や事業者への照会を同社が行い、利用企業には脆弱性への対応状況と修正までの日数を毎月報告する。重大な脆弱性に関係する可能性がある場合は、緊急連絡で知らせる。

OSVやCISA KEVと照合し、事業者に影響を照会

Patrol.aiでは、各サービスがWeb上で公開している情報を、既知の脆弱性情報を収録する「OSV」や「CISA KEV」と照合する。対象サービスに関係する可能性のある脆弱性が見つかった場合、GenerativeXが事業者に照会し、影響の有無や回避策、修正予定に関する回答を記録する。修正を確認できるまで追跡を続ける仕組みだという。

事業者の協力を得てSBOM（Software Bill of Materials）が提出された場合は、その情報を基に詳しく確認する。確認には公開情報だけを使用し、対象システムへの攻撃や負荷を与える行為は行わないとしている。

修正までの日数と5段階の確認レベルを報告

Patrol.aiは、脆弱性の公表日から修正を確認した日までの日数を、脆弱性ごとに記録する。安全性を点数で格付けするのではなく、どこまで確認できているかを5段階の「確認レベル」で示す。利用企業は、これらの情報を毎月の報告書で確認できるという。

また、共通の質問票を使い、同じSaaSを利用する企業の間で、事業者への照会内容と回答を共有する。料金は対象システム数に応じた個別見積もりで、SaaS事業者と開発会社は無料で登録できるとしている。