オーティファイ株式会社は11月4日、ソフトウェア開発企業向けの「Autify Security」アーリーアクセスプログラムを開始しました。
複数のAIエージェントがソースコードや依存パッケージを解析し、脆弱性の再現・検証から修正案の提示まで行います。
修正後の再検証や、設定頻度に応じた継続的なセキュリティテストにも対応します。
記事の概要
Autify Securityは、GitHubのリポジトリと任意のステージング環境を対象に検査するサービスです。
リードエージェントが全体を指揮し、依存パッケージの監査やコード解析、侵入テストを役割ごとに分担します。
アクセス制御、インジェクション、SSRFなどの脆弱性を調べ、隔離されたサンドボックスで悪用可能性を再現します。
再現できた問題には、CWEによる分類や深刻度、実行ログ、影響の説明などを付けて報告します。
AIエージェントは修正パッチを作成し、脆弱性が解消されたことと既存テストの通過を確認したうえで修正案を提示します。
修正の取り込み後も同じ手順で再検証し、毎日・毎週・手動から選んだ頻度でスキャンを続けます。
受付期間は2026年11月4日から12月15日までで、GitHubでソースコードを管理するソフトウェア開発企業を対象とします。
オーティファイは、専門家による脆弱性診断やペネトレーションテストを置き換えるものではないと説明しています。
記事のポイント
- 複数エージェントで検査： リード、監査、ハンター、侵入テストの各エージェントが、コードや依存パッケージ、稼働中アプリを分担して調べます。
- 悪用可能性を再現： 隔離されたサンドボックスで悪用が成立するかを検証し、再現できた問題だけを証拠や実行ログ付きで報告します。
- 修正後も継続検証： 修正パッチと既存テストを確認したうえで案を提示し、取り込み後も設定頻度に応じて脆弱性を再検証します。
このニュースがもたらす影響
- 導入を検討する企業： 定期診断だけでは変更後のリスクを捉えにくいため、GitHubやステージング環境を対象に、検出・修正・再検証を開発サイクルへ組み込めるか検討する必要があります。
- 開発・セキュリティ担当： 報告件数の多さに悩む現場では、悪用可能性の再現結果や実行ログを優先順位付けに使い、AIの修正案を人が確認する役割分担が求められそうです。
- 診断サービス提供者： 専門家による診断を置き換えず、診断の間を埋める位置付けであるため、継続的な検証や修正支援との組み合わせを含めたサービス設計が必要になりそうです。
このニュースの背景
脆弱性の公開から悪用までの猶予が短く、2026年上半期に悪用が確認された脆弱性の約4件に1件は、公開当日までに悪用されていました。
国内でも、不正アクセスによる個人データの漏えい等の報告件数が、10月16日までの半月で830件に達し、9月の303件を大きく上回っています。
2025年にJVN iPediaへ登録された脆弱性対策情報は4万件を超え、依存パッケージを含む検出結果の精査と修正が開発現場の負担になっています。
こうした状況から、限られた人手で行う定期診断だけでなく、開発の変更や新たな脆弱性情報を継続的に確かめる手法が必要になっています。
関連するニュース
- 株式会社PKUTECHは、攻撃者と同じクラスのAIでWebアプリを検査し、WAF遮断から修正・再検査・監視まで支援するサービスを始めました。
- Ippu Senkinが、顧客環境内で脆弱性点検と是正下書きを行うサービスを提供開始しました。
- 日本サイバーセキュリティが、AIと有資格者による企業向け脆弱性診断を開始しました。
詳しい記事の内容はこちらから（引用元）
オーティファイ株式会社のプレスリリース（2026年11月4日 17時10分）オーティファイ、脆弱性対策を「見つける」から…
https://prtimes.jp/main/html/rd/p/000000105.000049466.html