2026年6月24日（水）、NRIセキュアテクノロジーズはオンラインウェビナー「AI時代のセキュリティ技術者は何を考え、どう実践するのか――設計・開発・評価・ペンテストから見るAI活用の現実解」を開催しました。
「AIを使う前提で、セキュリティ技術者がどう考え、どう判断するか」をコンセプトに掲げた本セミナーには、168名の方にご参加いただきました。開催後のアンケートでも多くの反響をいただきましたので、本稿では改めて当日のセッションについて内容を補足も含めて解説させていただきます。
冒頭挨拶：AIセキュリティをどう整理するか
福澤達洋（DevSecOps事業部 部長）
セミナー冒頭、福澤からAIを取り巻くセキュリティの現状について問題提起がありました。
フロンティアAIの登場により、攻撃の主体が「休みなく動けるAI」へと置き換わりつつあります。攻撃の高速化が進み、防御側の猶予期間が大幅に縮まった今、防御側もAIを活用することが不可欠になっています。しかし、AIの活用にはプロンプトインジェクションやハルシネーションといったリスクも伴います。
福澤はAIセキュリティを次の3軸で整理しました。
- By AI（AI による）―AIがタスクを実行する際のセキュリティ対策
- For AI（AI のための）―AIシステム自体を守るためのセキュリティ対策
- With AI（AI とともに）―人とAIが協働したセキュリティ対策
本セミナーが主に扱うのは「By AI」と「With AI」の領域であり、「AIの活用は単なる効率化ではなく、新たな価値創出の機会だ」との姿勢でセッションに臨む旨が共有されました。
セッション1：フロンティアAI時代のセキュア開発
山川裕大（DevSecOps事業部 GM）
Anthropicが脆弱性発見型AIモデルによる脆弱性発見を発表して以来、「AIはどこまで脆弱性を見つけられるか」への関心が急速に高まっています。山川は2023年頃からAIを使ったセキュリティ検知の研究開発を進めてきた立場から、その実態と課題を共有しました。
AIによる脆弱性検出の現状
Claude Opus4.7などのフロンティアモデルと「ハーネス」と呼ばれる補助ツール群を組み合わせたアプローチを採用。実際に社内プロダクトや顧客ソフトウェアに適用した結果、ビジネスロジック寄りの脆弱性——「別ユーザーの注文番号が参照できる」「マイナス個数の注文で割引が適用される」といった従来の自動化では見落とされがちなものも検出できることが確認されました。
従来のSASTとの違い
LLMベースのアプローチはデータフロー追跡・意味推論に優れる一方、再現性・網羅性ではパターンマッチング型のSASTに劣ります。コスト面から全コードを一律に読ませるのではなく、プログラムの構造を中心に探索を絞る工夫が各実装で行われています。
今から準備できること
AIによる自動検出が実用レベルに達しつつある今、山川がファーストステップとして推奨したのは次の2点です。
- リグレッションテストの整備―AIが自動修正を行う際に「ビジネスロジックを壊していないこと」を担保する安全網として、ユニットテスト・E2Eテストの充実が鍵になる
- ドメインコンテキストをAIが読める形に整備する―業務ルールや設計ドキュメントをリポジトリ内にテキスト形式（Markdown、JSONなど）で配置し、AIが参照できる状態にしておく
関連サービスのご紹介
本セッションの研究成果をもとに、NRIセキュアはClaude Opus4.7などのフロンティアモデルを活用した「フロンティアAI対応プロアクティブ脆弱性診断」の提供を2026年6月23日より開始しました。独自ハーネスによる再現検証で未公表の脆弱性を検出します。詳細はこちらのサービスページをご覧ください。
セッション2：AIを活用したセキュリティ設計評価
竹本瑞喜（シフトレフトセキュリティ事業部 セキュリティコンサルタント）
セキュリティ診断およびセキュリティ・バイ・デザイン支援に従事する竹本は、設計資料をセキュリティ観点で評価するセキュリティ設計評価サービスについてAIを適用した実践事例を報告しました。
セキュリティ設計評価とは
システムの設計段階で設計書・アーキテクチャを対象にセキュリティの妥当性を検証するサービスです。PCI DSS、FISC安全対策基準、OWASPなどに基づく148項目のチェックリストを用い、設計書を横断しながら一件ずつ確認していきます。受領する設計書の形式はExcel・Word・HTMLなど多様で、工数ボトルネックとなっていました。
RAGベースのAI評価ツールを開発
評価項目ごとに反復処理を行うAIセキュリティ設計評価ツールを開発。設計書をベクトル化し、意味ベースの類似検索（RAG）によって各ヒアリング項目に該当する記述を自動抽出、LLMによる一次評価まで自動化しました。
精度向上に向けて実施した施策は3つです。
- ヒアリング項目の複数キーワード化・言い換え展開―「パスワードリセット」→「パスワード再設定」のような表記揺れを吸収
- Excel等をPDF化してからベクトル化―セル区切りによる情報断絶を防ぎ、文書としての連続性を保持
- RAG検索後にLLMで後処理フィルタリング―誤検知（無関係な文書の混入）を除去
結果
施策の組み合わせにより、Recall（見落としの少なさ）が0.692→0.923へ向上。必要な文書の約9割を自動検出できるようになりました。
ボトルネックだった探索工数の大幅削減に成功し、担当者は認証周りや複雑なビジネスロジックといったより本質的な評価に集中できるようになります。
将来的にはCI/CDパイプラインへの組み込みも視野に入れ、開発の高速化が進む環境においても、開発スピードを損なうことなくセキュアな開発を実現することを目指しています。
セッション3：ペネトレーションテストにおけるAI活用
渡辺岳史（オフェンシブセキュリティ事業部 セキュリティコンサルタント）
金融業界を中心にペネトレーションテストやTLPT（脅威ベースのペネトレーションテスト）を20件以上実施してきた渡辺が、AIエージェントによるペネトレーションテストの検証結果を報告しました。
検証の概要
Claude Opus4.7をベースにAIエージェントを構築し、NRIセキュアの検証環境（3ドメイン構成）に対してブラックボックス形式でペネトレーションテストを実施。ゴール設定（全ドメインの管理者権限取得）、テスト対象IPアドレス、最低限のNG行為ルールのみを与え、それ以外はエージェントに委ねました。
結果：ゴール達成、そして驚くべき速さ
AIエージェントは3ドメイン全ての管理者権限取得に成功しゴールを達成。ハーネスのチューニングを重ねることで、最終的に約40分で全ドメインを攻略できるようになりました。これは初級ペンテスターどころか熟練のペンテスターと比較しても遜色のないスピードです。
課題：経験則の欠如と安全性
一方で、ペンテスターであれば優先度を下げる問題への固執や経験者ならではの嗅覚で発見する重要な問題の見落としなどの課題が見られました。
このような経験則のインプットを行わないとペンテスターによるテストよりも品質が落ちる可能性があります。また環境影響につながる操作やテストデータの意図せぬ閲覧リスクも引き続き懸念事項として残ります。
今後の展望
しばらくの間は「AIエージェント＋人間」の伴走型ペネトレーションテストが主流になると予測されます。組織としては、より高度なAIエージェントによるテストを受容できる体制づくりが求められると考えられます。
Q&Aハイライト
当日はチャット機能を通じて多数のご質問をいただきました。抜粋してご紹介します。
Q.ドメインコンテキストをAIに渡す際、リポジトリ内ドキュメントのフォーマット推奨はありますか？
テキスト形式（Markdown、JSON、HTMLなど）が圧倒的に効率的です。既存のPDF/OfficeドキュメントはテキストへRに変換してまとめておくことを推奨します。CLAUDE.mdなどのハーネス設定でAIがドキュメントを参照するよう誘導するとさらに効果的です。（山川）
Q.AIによるセキュリティ評価ツールは、既存チェックリストの妥当性を評価するものですか？
現段階では「チェックリストに沿って設計書を評価する」ことが主目的ですが、チェックリスト自体の妥当性評価や、品質担保・ベストプラクティスへの汎用利用も視野に入れています。（竹本）
Q.AIエージェントによるペネトレーションテストを100%安全に行えるハーネス設計は可能ですか？
100%は困難ですが、90〜95%の安全性を確保するハーネス設計は可能です。今後も人間が一定の監視を担う体制が基本になるでしょう。（渡辺）
まとめ
3つのセッションを通じて共通していたのは、「AIは万能ではないが、ハーネス・前処理・人間との協働という設計次第で実用レベルに達している」というメッセージです。
- AIは今やビジネスロジック寄りの脆弱性も検出できる
- 設計評価の探索工数は約9割を自動化できる
- ペネトレーションテストを熟練者並みの速さで実行できる
その一方で、ビジネスコンテキストの欠如、経験則に基づく優先度判断の難しさ、安全性の担保といった限界も率直に共有されました。「完成された正解を提示するのではなく、技術者同士が現状を正直に議論する場」というコンセプト通りのセミナーとなりました。
資料・動画のご案内
本セミナーのアーカイブ動画視聴（無料）は、下記バナーより遷移したページにてお申込みいただけます。
また、本セミナーの研究成果をもとに提供開始した「フロンティアAI対応プロアクティブ脆弱性診断」の詳細はこちらをご覧ください。AIセキュリティに関するご相談・お問い合わせも、お気軽にNRIセキュアテクノロジーズまでお寄せください。
＜関連サービス＞
