supa株式会社（本社・東京都渋谷区、代表取締役CEO・田中和希）は2026年11月5日、プライベートLLMつきの全自動ペネトレーションテスト基盤「supaattack」の提供を始めたと発表しました。AIエージェントが攻撃者の視点で対象のシステムを操作してペネトレーションテストを行い、テストの途中でも脆弱性を見つけた時点でイベントを送るため、数時間の実行を待たずに対応に取りかかれるとしています。推論には国内向けLLM推論API「suparouter」を使い、推論の内容を保存しないゼロデータ保持（ZDR）で処理します。supaは2026年3月設立で、業務システム基盤「BaseMachina」やGPUクラウド「supa cloud」も提供しています。
年1回の人手による検査では追いつきにくいという背景
同社によると、AIの進化でサイバー攻撃の手法や自動化が急速に進み、修正パッチが公表されてから攻撃コードが作られるまでの時間が短くなっています。従来の「年に1回程度、人手で行うペネトレーションテスト」だけでは最新の脅威に追いつけないと同社は説明しています。認可の不備のように、実際にアプリケーションを動かさないと分からない脆弱性はコードレビューだけでは見つけにくい一方、外部の診断を毎週受けるのは現実的ではありません。そのため、AIエージェントでペネトレーションテストを自動化し、GitHub Actionsなどで定期的に回す取り組みが広がり始めているといいます。同社は、長い実行が終わる前に脆弱性に気づけることと、攻撃の手順や見つかった脆弱性を含む推論のデータが学習などに使われず安全に扱われることの2点を重視して開発したとしています。
発見した時点で通知し、差分や決済まわりから実行
supaattackは、脆弱性を見つけた時点でイベントを送り、Slackへの通知やチケットの起票などにつなげられます。脆弱性の影響、再現手順、修正方針など、対応に必要な情報をまとめて出し、MCPやAPIから結果を取り出して、普段使っているエージェントで調査・修正することもできます。サービス全体を毎回テストしなくても、コードの差分や決済まわりなど、注目したい単位ごとに実行でき、小さな単位から始めて範囲を広げられます。オートメーション機能を使えば、夜間や2週間ごとの週末など、決めたスケジュールで定期的に実行できます。CIからテストを実行できるAPIや、Claude CodeなどのAIエージェントから結果を読み出せるMCPサーバーも提供し、セットアップから定期運用、外部連携までの導入・運用も支援します。
推論はゼロデータ保持で処理し、保護モードも予定
推論は、ガードレールの少ないオープンウェイトモデルを使い、内容を保存しないゼロデータ保持で処理し、検証結果の本文や証拠などは暗号化して保存します。今後は、診断結果を保存しない「保護モード」を提供する予定です。診断ごとにsupa cloud上に専用の実行環境を用意し、攻撃・推論・レポートの作成をその中で完結させ、利用企業がレポートを受け取ったら環境ごと消去して消去証明を出すとしています。supaは2026年11月6日の「TechLead Conference 2026 Autumn」にプラチナスポンサーとして協賛し、ワークショップ「攻撃して理解する AI時代のセキュリティインシデント」を行いました。
脆弱性診断ツールを比べるときに見ておきたい点
編集部では、テストの完了を待たずに見つけた時点で知らせ、コードの差分や決済まわりなど注目したい単位ごとに繰り返し実行できる点に注目しています。脆弱性診断ツール/サービスの比較ハブには、ペネトレーションテストを提供する製品や再診断の条件が載っています。料金や検出の実績はリリースに書かれておらず、保護モードも予定の段階のため、検査の範囲と実行の頻度をどう決めるかや、見つかった脆弱性を自社のチケット管理や修正の担当にどう渡すかを確かめておきたいところです。
出典: supa株式会社プレスリリース（PR TIMES・2026年11月5日配信）
https://prtimes.jp/main/html/rd/p/000000013.000185612.html