株式会社Hexabase（本社・東京都千代田区、代表取締役CEO・岩崎英俊）は2026年10月29日、社内設置型のAI脆弱性検査・修正検証環境「AI-SecBox」の提供を開始したと発表しました。多くの企業で年1回程度にとどまっていた脆弱性診断を毎日の自動検査に切り替え、検出した脆弱性の修正案の作成から検証までを支援するとしています。導入を検討する企業向けに無料トライアルを受け付けています。
専用機で毎日検査し修正案をプルリクエストで提示
AI-SecBoxは、専用機を社内に設置して使います。OSSだけで6種類のスキャナーを統合した検査を毎日自動で実行し、SonarQubeなど既存ツールとの連携にも対応します。CISA KEV（既知の悪用された脆弱性カタログ）やEPSS（脆弱性の悪用可能性スコア）も毎日更新し、悪用が広がる危険な脆弱性を優先して検知するとしています。
検出した脆弱性は、正規化とトリアージを経てAIが修正案を作り、別のAIがその修正案をレビューし、専用機内で自動検証したうえで、プルリクエスト・パッチの形で提示されます。本番環境を直接変更することはなく、最終的に適用するかどうかは開発者が判断する設計です。
検査・修正・検証を行うLLMを含めて専用機内で処理を完結できる構成に加え、必要に応じて機密情報を伏字にし、送信内容を記録しながらクラウドを選んで使うオプションもあります。専用機（Dell Pro Max with GB10）は体積約1.1リットル、消費電力280Wです。
同社が挙げる脆弱性対応の3つの課題
同社は、脆弱性のリスクが放置される原因として3つを挙げています。1つ目は、機密情報の管理規程によりソースコードや診断の結果をクラウド型の検査ツールに預けられないこと、2つ目は、診断の報告書が届いても修正にあたる人手が足りず、同じ指摘が翌年も残ってしまうこと、3つ目は、年1回、最重要システムだけを対象にした診断では、管理対象から漏れた周辺のサーバーという攻撃の入口まで届かないことです。
リリースは背景として、警察庁が2026年9月10日に公表した資料から、ランサムウェアの被害報告件数が半期で123件と過去最多になったこと、脆弱性探索などの不審アクセスが1日・1IPアドレス当たり13,687件と前年同期比50.7%増になったことを引いています。
月次レポートによる監査用の記録と提供プラン
「誰が承認し、何を変え、どう確かめたか」は月次レポートとして自動で作られ、J-SOX・ISMS・SCS評価制度の要求事項に対応した証跡として蓄積されます。同社は、専任のセキュリティエンジニアを新たに採用・育成しなくても、既存の開発チームがそのまま運用を続けられると説明しています。
利用規模に応じた複数の構成プランがあり、既存の「AI-DevBox」ユーザー向けには追加ライセンスプランも用意されています。価格の詳細は同社のサービスページで案内されています。代表の岩崎英俊氏は、「AI-SecBoxは、検知で終わらせず、修正案の作成・レビュー・検証まで支援することにこだわって開発しました。」とコメントしています。
脆弱性診断ツールを比べるときに見ておきたい点
編集部では、ソースコードを社外に出さずに検査と修正案の作成を社内の専用機で完結させ、適用するかどうかの判断を開発者に残している点に注目しています。脆弱性診断ツール/サービスを比べる際は、検査の頻度や対象の範囲に加えて、提示された修正案を誰がレビューして承認するのか、その記録を監査にどう使うのかを、自社の開発体制に当てはめて確かめておきたいところです。
出典: 株式会社Hexabaseプレスリリース（PR TIMES・2026年10月29日配信）
https://prtimes.jp/main/html/rd/p/000000059.000046571.html