AIエージェント型脆弱性検査（Agentic Vulnerability Scanning）

この用語の意味

AIエージェント型脆弱性検査とは、AIエージェントがソースコードや処理の流れを調べ、脆弱性の候補を発見し、実際に問題となる可能性まで検証する検査方法です。既知の文字列や規則との照合だけでなく、データがどこから入り、どの処理を通り、どこへ届くかを追いながら、候補の重複除去や優先順位付けも行います。

何ができるか

複数の専門エージェントに、入力値の検査漏れ、認証の回避、メモリの扱いなど異なる観点を分担させ、広いコードを調べられます。候補について別のエージェントが反対意見を出したり、攻撃経路が実際に到達できるかを確認したりすることで、担当者が確認する結果を絞り込めます。製品によっては修正案の作成とテストも支援します。

ただし、検査を実行しただけで脆弱性がないと証明できるわけではありません。誤検知、見逃し、不適切な修正に備え、従来の静的解析、依存関係の確認、専門家のレビュー、テストと組み合わせます。

実際に使うために必要なもの

検査対象のコードを管理するリポジトリ、検査専用のコピーまたは隔離環境、対応するプログラミング言語と開発環境、必要最小限の読み取り権限、結果を確認する担当者を用意します。修正案を作る場合も、本番へ直接反映せず、変更差分、テスト結果、復元方法を確認できる作業環境を使います。

費用は、検査サービスやAIモデルの契約、処理量に応じた利用料、コードを送信できる状態に整える作業、誤検知の確認、修正と再テストにかかる担当者の時間を含めて見積もります。機密性の高いコードでは、専用環境、保存地域、監査ログ、契約条件の確認にも費用と時間が必要です。

開発・規格と使用条件

AIエージェント型脆弱性検査に、すべての製品で共通する単一の方式があるわけではありません。Microsoftの「Codename MDASH」は、複数のモデルと100を超える専門エージェントで脆弱性を発見し、到達可能性や危険性を検証して重複をまとめる製品例です。詳細はMicrosoftの公式発表とMicrosoft Learnの製品文書で確認できます。

Googleは、Gemini 3.8 Flash CyberとCodeMenderを組み合わせ、脆弱性の発見・検証と修正案の作成・検証を支援する例を公表しています。詳細はGoogleの公式発表で確認できます。どちらも限定提供やプレビューを含むため、導入時は利用できる地域、対象者、対応言語、コードの保存と学習利用、認証、料金、出力の扱いを最新の公式情報で確認します。情報確認日：2026年9月9日。

小さく試す運用例

まず、秘密情報を含まない小規模な社内ツールの検査用コピーで試します。既存の静的解析とAIエージェント型検査を同じコードに実行し、既知の問題を見つけられたか、誤検知の確認に何分かかったか、根拠と修正案を担当者が再現できたかを記録します。修正案は自動適用せず、担当者が差分を確認し、テストに合格した変更だけを通常の手順で反映します。

人が確認すること・注意点

ソースコードの送信先、保存期間、学習利用の有無、処理地域、利用者とAIエージェントの権限、操作ログを確認します。コード内に認証情報、個人情報、顧客固有の設定が含まれる場合は、送信前に除外または保護します。検査結果は、影響範囲、悪用される可能性、現在の対策、修正による別機能への影響を人が確認して優先順位を決めます。

AIが作った修正案には、新しい不具合や脆弱性が入る可能性があります。差分レビュー、自動テスト、隔離環境での動作確認、バックアップと復元手順を通し、承認した変更だけを反映します。重大なシステムや顧客データを扱う場合は、情報セキュリティや開発の担当者による確認を省略しません。