SherLOCK株式会社（本社・東京都港区、代表取締役CEO・築地テレサ）は2026年11月9日、統制型ペネトレーションテストサービス「SherLOCK PTaaS」（Penetration Testing as a Service）のベータ版を、限定されたパートナー企業向けに提供し始めると発表しました。AIによる継続的な自動診断に、ペネトレーションテスターやセキュリティ専門家による分析と伴走支援を組み合わせたサービスで、脆弱性の発見後はパートナー企業と連携して修正開発まで支援するとしています。あわせて先行検証（PoC）のパートナーを募集します。一般提供（正式提供）の開始は2027年の予定で、現在はベータ版の段階です。SherLOCKは2024年1月創業で、AIセキュリティ・ガバナンスソリューションの開発・販売を手がけています。
年1回のテストでは追いつかないという背景
同社によると、国内企業を狙うサイバー攻撃や情報漏えいが相次ぎ、クラウドやAPIの普及で守るべき公開資産は広がり続けています。攻撃者はAIで偵察から侵入までを自動化し始めており、年に一度の従来型ペネトレーションテストでは変化し続ける脅威に追いつけないと同社は説明しています。そのうえで、「本当に悪用され得るか」を見極め、次の一手を示す最後の確からしさは人の専門性が担うとしています。検証エンジンには自律型診断AIを採用し、同社が自社開発する統制基盤で、範囲とルールを技術的に統制して運用します。
AIの検出結果を専門家が一件ずつ確かめる
ベータ版では、AIが偵察から脆弱性の検出・実証、レポート作成までを自動で行い、その検出結果をペネトレーションテスターが一件ずつ検証・確定します。誤検知を除き、確認済みの所見だけを限定条件とともに報告するとしています。検出で終わらせず、日本語の対処ガイド、リスクの優先順位付け、報告会を通じて、次に何をすべきかまで専門家が伴走します。
脆弱性を見つけたあとは、部分的な対症療法がかえって新たなリスクを生むことがあるとして、システム全体を踏まえた修正を重視します。希望に応じて、セキュリティに知見のあるパートナー企業と連携し、既存システムの改善提案から追加・新規開発、再検証まで支援します。
対象範囲を技術で強制し隔離環境で実行する
安全面では、事前に書面で合意した対象範囲（RoE：Rules of Engagement）を技術的に強制し、範囲外を自動で遮断します。乗っ取りや破壊につながる高リスクな機能は既定で無効にし、診断ごとに使い捨ての隔離環境で実行します。データについては、顧客の環境内や国内リージョンに対応し、改ざんを検知できる証跡と日本語のレポートを提供するとしています。
PoCは外部公開のWebとAPIを1〜3件で行う
ベータ提供の一環として募集する先行検証（PoC）は、外部公開のWeb・API（1〜3件）を対象に、約1〜2か月かけて非破壊の方式で行います。確認済みの脆弱性レポートと日本語の対処ガイドを届け、開始時期は2026年12月または2027年1月から選べます。今後は、複数の探索手法を束ねるエンジンの拡充、検証状況を可視化するダッシュボード、診断ごとの使い捨て実行環境、監査で求められる証拠の整理を支援するレポートなどを順次提供する予定です。
脆弱性診断サービスを比べるときに見ておきたい点
編集部では、AIの自動診断の結果をペネトレーションテスターが一件ずつ確定し、見つかった脆弱性の修正開発や再検証までパートナー企業と支援する点に注目しています。脆弱性診断ツール/サービスの比較ハブには、ペネトレーションテストを提供する製品や再診断の条件が載っています。料金はリリースに書かれておらず、一般提供は2027年の予定のため、診断の対象にしたい資産の数や種類と、修正開発をどこまで任せるかを確かめておきたいところです。
出典: SherLOCK株式会社プレスリリース（PR TIMES・2026年11月9日配信）
https://prtimes.jp/main/html/rd/p/000000030.000145146.html