国産AIセキュリティ製品の選び方

例えば、リリース前のSaaSでSQLインジェクションを減らしたいチームと、日々届く大量のアラートを整理したいチームでは、選ぶべき製品が違います。前者はコード解析やWeb診断、後者は監視・調査の支援が中心です。生成AIそのものを守りたい場合も別で、プロンプトや外部データの扱いを確認する必要があります。

この記事では、比較しやすいよう日本に本社を置く事業者が提供する製品・サービスを取り上げます。部品やAIモデルの開発地、データの処理場所まで国内であることは意味しません。以下は選定の出発点となる例で、全製品を網羅した一覧ではありません。

開発中のコードを見たい場合、TECHFUNDが提供するHi AUDIT Agentは、MCPで接続した開発環境からコードのセキュリティ解析を依頼する選択肢です。指摘箇所と修正案を確認し、開発者が修正を検証する使い方を想定できます。

コードと稼働中のアプリを継続的に診断したい場合、GMO Flatt SecurityのTakumi byGMOは、コードを使う診断とブラックボックス診断、修正提案を提供しています。GitHubの差分を対象にした定期診断も案内されているので、開発フローとの接続を重視するチームは確認すると良さそうです。

Webアプリを外から診断したい場合、エーアイセキュリティラボのAeyeScanは、AIを活用して診断を自動化するクラウド型ツールです。認証後の画面まで巡回できるかは、実際の設定と対象アプリで試したいところです。

機密データを外に出せない場合、CoWorkerのPurple Agentは、オンプレミスのローカルLLMを用いる脆弱性診断やフォレンジック解析を案内しています。導入環境の条件や、必要な運用体制を事前に確認してください。

社員の生成AI利用を管理したい場合、Layer SecurityのLayer Baseは、ブラウザで送信する入力や添付ファイルを端末内で検査し、ルールに応じて警告・置換・ブロックを行う製品です。対応するAIエージェントの操作管理も案内されています。対象ブラウザや操作を確認し、AI搭載アプリを守るランタイム防御とは目的を分けて検討してください。

セキュリティ監視の負荷を下げたい場合、伊藤忠テクノソリューションズのCTC-MSS AI SOCサービスは、AIによる脅威の検知・調査・対応案の提示を支援します。国内企業が提供するサービスですが、基盤には米国Exaforceの製品を使っています。

AIの診断結果を比較するとき、見つかった件数だけで優劣を決めるのは難しいです。ログイン画面で止まった検査と、権限別の画面まで到達した検査では、そもそも調べられた範囲が違うためです。コード解析なら、対象リポジトリや言語、呼び出し元からDBまでの経路が含まれたかも見ます。

同じ許可済みのアプリとリビジョンで試し、既知の問題を検出できたか、指摘の根拠を追えるか、修正後に再確認できるかを比べてください。検出結果の確認や修正の責任を誰が持つかまで決めておくと、導入後に使われなくなるのを防ぎやすくなります。

日本の会社が提供していても、入力データの保存先、推論を行う地域、外部モデルによる学習利用は、それぞれ別の条件です。機密コードやログを渡す前に、保存期間、削除方法、再委託先も含めて契約と最新の資料で確認してください。

データ条件は別々に確認してください。AeyeScanは顧客データをAWSの日本リージョンに保管すると案内する一方、生成AIオプションのAzure上のデータは利用から最長60日保存後に自動削除されると説明しています。当社のサービスでは、TECHFUND自身は学習に使わないものの、選択される外部モデルでは学習に使われる可能性があると説明しています。国内保管、学習利用、保存期間、処理地域は同じ条件ではありません。