株式会社IGREK plus（本社・京都府京都市中京区、代表取締役CEO・山田龍治）は2026年10月29日、AIによる自律型サイバー攻撃を想定したペネトレーションテストサービス「IGREKセキュリティサービス」を11月1日から提供すると発表しました。顧客から書面で許可を得た範囲に限って攻撃者と同じ視点で疑似攻撃を行い、Webサイト・社内システム・生成AIの利用環境に潜む弱点を洗い出すサービスです。専任のセキュリティ担当者を置くことが難しい中堅・中小企業を主な対象としています。
生成AIの利用環境まで対象にする疑似攻撃
対象は、外部公開サーバー・Webサイト、Webアプリケーション・API、社内ネットワーク、生成AIの利用環境（社内AIチャット・AI連携システムなど）です。同社は、AIを使った攻撃は短時間で網羅的に偵察し、見つけた弱点を自動的につなげて侵入を試みるとして、その手口を踏まえたシナリオで検証し、人手の攻撃だけを想定した診断では見落とされやすい弱点を洗い出すとしています。
生成AIの利用環境については、プロンプトインジェクション（AIへの不正な指示）による情報漏えいや、AIを経由した不正操作のリスクを検証します。リリースは背景として、IPA「情報セキュリティ10大脅威 2026」（組織編）で「AIの利用をめぐるサイバーリスク」が初選出で3位になったことを挙げています。
修正策と暫定対策をセットで示す報告
発見した脆弱性ごとに、根本的な修正策と、修正が完了するまでの間に適用できる暫定対策（WAF・ファイアウォールのルールなど）をセットで提示します。成果物は、経営層向けサマリーと技術者向け詳細からなる診断報告書、改善策・暫定対策の一覧、報告会です。料金は個別見積りです。
同社は、2026年10月1日にいわゆる能動的サイバー防御法（サイバー対処能力強化法）の主要規定が施行され、基幹インフラ事業者にインシデント報告などが義務づけられたことにも触れ、直接の対象は指定事業者でも、取引先・委託先としてセキュリティ対策の説明を求められる企業は今後増えると見ています。今後は、生成AIの利用に伴う情報漏えいを防ぐ仕組みや、継続的な監視・防御を支援するサービスの提供を予定しているとしています。
安全と透明性に配慮した実施のしかた
実施はリモートまたはオンサイトで、顧客と書面で合意した対象・期間・手法の範囲内に限ります。業務を止める恐れのある破壊的な操作は行わず、実施した全ての操作を記録して、求めに応じて開示します。対象は顧客自身が管理しテストの許可を得た資産のみで、第三者のシステムへの検査や攻撃元への反撃は行わないとしています。
脆弱性診断サービスを比べるときに見ておきたい点
編集部では、Webサイトや社内ネットワークに加えて、社内AIチャットなど生成AIの利用環境を同じ疑似攻撃の対象に含め、暫定対策まで示す点に注目しています。脆弱性診断ツール/サービスを比べる際は、自社で使っているAIチャットやAI連携の仕組みを診断の範囲に入れられるか、修正が終わるまでの間の対策まで示してもらえるかを確かめておきたいところです。
出典: 株式会社IGREK plusプレスリリース（PR TIMES・2026年10月29日配信）
https://prtimes.jp/main/html/rd/p/000000004.000065532.html