オーティファイ株式会社（本社・東京都中央区、代表取締役CEO・近澤良）は2026年11月4日、「Autify Security（オーティファイ セキュリティ）」のアーリーアクセスプログラムを始め、ソフトウェアを開発する企業から参加企業を募集すると発表しました。役割の違う複数のAIエージェントがソースコードと依存パッケージを解析して脆弱性を探し、実際に悪用できるかを隔離環境で再現して確かめたうえで修正案を示し、修正の取り込み後も同じ手順で再検証を続けるサービスです。同社は、機能のリグレッションテストと同じようにセキュリティテストも回し続けるという考え方を、テストを手がけてきた立場から脆弱性対策に当てはめたと説明しています。
リポジトリをつなぎ役割の違うAIが分担して調査
GitHubのリポジトリをつなぐだけで始められ、スキャンの頻度は毎日・毎週・手動から選べます。全体を指揮するリードエージェントがアプリのルート（APIエンドポイントなど）を洗い出し、依存パッケージを監査するエージェントと、コードを読んで脆弱性を探すハンターエージェントに振り分けます。ハンターは、アクセス制御（テナント分離）、インジェクション、SSRFなど脆弱性の種類ごとに並行して調べます。ステージング環境のURLとテスト用アカウントを指定した場合は、稼働中のアプリを未認証・認証済みの両方の状態で検査する侵入テストエージェントも加わります。依存パッケージは、CVEやGitHub Security Advisoriesなどの公開された脆弱性情報と照合し、自社のコードから実際に到達できるものを優先して報告します。
再現できたものだけを報告し修正後も再検証
隔離されたサンドボックスで悪用が成立するかを確かめ、再現できたものだけを、CWEによる分類と深刻度、実際の挙動と期待される挙動、影響の説明、実行ログを付けて報告します。修正パッチはAIエージェントが作り、悪用が成立しなくなったことと既存のテストが通ることを確かめてから修正案として示します。プルリクエストを作るかマージするかは、利用企業の開発者が判断します。修正が取り込まれた後は同じ手順で直ったかを確かめ、その後も設定した頻度でスキャンを続けます。
シークレットを含むファイルは解析の前に除外し、預かったコードをAIモデルの学習に使わない契約・設定の提供事業者だけを使うとしています。ステージング環境で検査できるのは利用企業が管理しているか検査の権限を得ている環境に限られ、本番環境での実行は想定していません。
診断の間隔と悪用までの時間の差を課題に
同社は背景として、米VulnCheckの調査で、2026年上半期に悪用が確認された脆弱性の約4件に1件が公開当日まで（公開前を含む）に悪用されていたことを挙げています。機能のテストはリリースのたびに自動で回す仕組みが広がる一方、自社のコードや依存パッケージのセキュリティは定期的な診断に頼りがちで、次の診断までに加えた変更が確かめられないまま公開されることがあると同社は指摘しています。2025年にIPAの脆弱性対策情報データベース（JVN iPedia）に登録された脆弱性対策情報が4万件を超え、誤検知を含む結果の精査が負担になっていることにも触れています。
アーリーアクセスの対象は、GitHubでソースコードを管理し、ソフトウェアを開発している企業で、ステージング環境の指定は任意です。受付期間は2026年11月4日から12月15日までです。近澤氏は「これからのセキュリティは、見つけた数よりも、確かめて直せた数で測られるようになるはずです。」とコメントしています。
脆弱性診断サービスを比べるときに見ておきたい点
編集部では、悪用が再現できたものだけを証拠付きで報告し、修正を取り込んだ後も同じ手順で確かめ直す流れを一つのサービスにしている点に注目しています。脆弱性診断ツール/サービスの比較ハブは再診断の有無や範囲も比べていて、無料の再診断がある製品が載っています。同社は、専門家による脆弱性診断やペネトレーションテストを置き換えるものではなく、診断と診断のあいだを埋める継続的なセキュリティテストとしての利用を想定しており、すべての脆弱性の検出・修正を保証するものではないとしています。料金や正式提供の時期はリリースに書かれていないため、いま受けている専門家の診断の時期とどう組み合わせるかや、ステージング環境を用意できるかを確かめておきたいところです。
出典: オーティファイ株式会社プレスリリース（PR TIMES・2026年11月4日配信）
https://prtimes.jp/main/html/rd/p/000000105.000049466.html