S&Jは2026年11月12日、Webアプリケーションのソースコードを対象にした「WebアプリソースコードAI診断」の提供を始めました。
AIによるコード解析とセキュリティエンジニアの知見を組み合わせ、外部からの動的診断では把握しにくい内部の脆弱性を確認します。
診断結果は、問題の根拠や修正方法を含む報告書として、必要な情報の受領後7営業日以内に提供します。
記事の概要
S&Jが提供する「WebアプリソースコードAI診断」は、顧客から預かったWebアプリケーションのソースコードを解析するサービスです。
入力から処理までの経路をたどり、認可の不備や業務ロジック上の問題などを確認します。
AIが抽出した脆弱性の候補は、S&Jのセキュリティエンジニアが組み込んだ判断基準に沿って検証します。
実際に攻撃が成立しないと判断した候補は、除外した理由とともに報告します。
問題が確認された箇所については、該当ファイルや行番号、問題の理由、推奨する修正方法を示します。
診断対象は認証・認可、インジェクション、クロスサイトスクリプティング（XSS）、セッション管理などです。
対応言語はJava／Kotlin、PHP、Python、JavaScript／TypeScript、C#、Ruby、Goです。
ソースコードを直接解析するため、稼働中のシステムへの診断通信や診断用環境の構築は不要です。
記事のポイント
- 内部の脆弱性を解析： ソースコードの入力から処理までの経路をAIが解析し、外部からの動的診断で見つけにくい認可不備などを確認します。
- 専門家が検出結果を検証： S&Jのセキュリティエンジニアの判断基準をAIに組み込み、脆弱性候補の攻撃成立性を検証して誤検知を抑えます。
- 7営業日以内に報告： 診断はS&Jが再委託なしで直接実施し、必要なソースコードと環境情報の確認後、7営業日以内に報告書を提供します。
このニュースがもたらす影響
- 導入検討企業： 外部からの動的診断では確認しにくい認可や業務ロジックの問題を、開発後の追加検証候補として扱えるようになります。既存診断との役割分担や、報告を修正計画へ反映する運用を検討する必要がありそうです。
- 同業サービス提供者： AIが抽出した候補を専門家の基準で検証し、除外理由まで示す構成は、検出件数だけでなく結果の説明可能性を競う流れにつながる可能性があります。静的診断と動的診断の組み合わせも差別化要素になりそうです。
- 開発・情シス担当： ファイルや行番号、問題の理由、修正方法まで得られるため、診断結果を開発チームの修正作業へ移しやすくなると考えられます。7営業日以内という期限を前提に、リリース前の確認時期を組み直す余地があります。
このニュースの背景
攻撃者がAIを使ってWebサイトやアプリケーションの脆弱性探索や攻撃を効率化している可能性が指摘されています。
内閣官房国家サイバー統括室の資料では、複数の脆弱性や問題が組み合わさって侵入につながるおそれが示されています。
一方、AIだけでソースコードを解析すると、実際には悪用できない箇所まで脆弱性として検出する課題があります。
このため、広範囲なAI解析と、セキュリティエンジニアによる攻撃成立性の判断を組み合わせる必要性が背景にあります。
関連するニュース
- セラクが、AIによるWeb脆弱性検出とインフラ診断、対策実装を一貫支援するサービスを開始しました。
- S&Jが生成AIによる調査支援を備えたSIEMのMSS事業者向け制度を開始しました。
- 日本サイバーセキュリティが、AIと有資格者による企業向け脆弱性診断を開始しました。
詳しい記事の内容はこちらから（引用元）
Ｓ＆Ｊ株式会社のプレスリリース（2026年11月12日 10時00分）S&J、加速するAIによるサイバー攻撃の高度化・高…
https://prtimes.jp/main/html/rd/p/000000049.000062785.html