Ｓ＆Ｊ株式会社（本社・東京都港区、代表取締役社長・三輪信雄）は2026年11月12日、AIによるソースコード解析とセキュリティエンジニアの知見を組み合わせた「WebアプリソースコードAI診断」の提供を始めたと発表しました。顧客から預かったWebアプリケーションのソースコードをAIで解析し、外部からの動的な診断では把握しにくい内部の処理やロジックの脆弱性を確かめて、根拠と修正方法を報告書にまとめます。S&Jはセキュリティ監視サービスやセキュリティ事故対応などのサイバーセキュリティ事業を手がけ、東証グロース市場に上場しています。
AIだけの解析で起きる誤検知を抑える仕組み
同社は、AIでソースコードを解析するだけでは、実際には悪用できない箇所まで脆弱性として検出されるなど、結果の精度に課題が残るとしています。そこで、セキュリティエンジニアが診断業務で培った見極め方や判断基準を、AIの解析手順に組み込みました。AIは入力から処理までの経路をたどって、一般的な自動診断ツールでは見つけにくい認可の不備や業務ロジック上の問題などを確かめ、候補を抽出した後にこの基準に沿って実際に攻撃が成立するかを検証します。問題がないと判断した候補は、除外した理由とあわせて顧客に報告します。背景として、内閣官房国家サイバー統括室が2026年11月5日に公表した資料が、攻撃者がWebサイトを大規模に調べて侵入できるサイトから個人情報を盗み出している実態や、標的の調査や侵害にAIが使われている可能性が高いことを指摘している点を挙げています。
ファイルと行番号まで示す報告書と依頼の流れ
報告書には、問題が確認された箇所について、該当するファイルや行番号、問題になる理由、推奨する修正方法を記載し、診断項目ごとの確認結果と診断できた範囲も示します。第三者の立場で実施した診断の結果として、取引先へのセキュリティ対策の説明や、セキュリティ監査のときに提出する資料の一つにも使えるとしています。ソースコードを直接解析するため、稼働中のシステムに診断用の通信を送ることはなく、診断用の環境を作る必要もありません。診断はS&Jのセキュリティエンジニアが他社に再委託せずに行い、必要なソースコードと環境情報を受け取って内容を確かめた後、7営業日以内に報告書を提供します。主な診断項目は認証・認可、インジェクション、クロスサイトスクリプティング（XSS）、ファイル操作、セッション管理、暗号化、設定不備などで、対応言語はJava／Kotlin、PHP、Python、JavaScript／TypeScript、C#、Ruby、Goです。
脆弱性診断ツールを比べるときに見ておきたい点
編集部では、AIが見つけた脆弱性の候補を技術者の判断基準で検証し、問題がないとして外した候補もその理由を添えて報告する点に注目しています。脆弱性診断ツール/サービスの比較ハブには、ペネトレーションテストを提供する製品や再診断の条件などが載っています。同社は、このサービスがソースコードを対象とした静的診断で、稼働しているWebアプリケーションの動作や設定を確かめる診断とは異なり、両方を組み合わせるとより多くの角度から確かめられるとしています。料金はリリースに書かれていないため、自社のアプリの言語が対応言語に入っているかとあわせて、動作を確かめる診断を別に受けるかを検討しておきたいところです。
出典: Ｓ＆Ｊ株式会社プレスリリース（PR TIMES・2026年11月12日配信）
https://prtimes.jp/main/html/rd/p/000000049.000062785.html