如何选择日本 AI 安全产品

例如，希望在SaaS发布前减少SQL注入问题的团队，与希望整理每天收到的大量告警的团队，应该选择的产品并不相同。前者主要需要代码分析或Web安全检测，后者则主要需要监控与调查支持。如果想保护的是生成式AI本身，情况又有所不同，需要检查提示词和外部数据的处理方式。

为便于比较，本文介绍的产品和服务均由总部设在日本的企业提供。这并不意味着其组件或AI模型也在日本开发，或数据也在日本境内处理。以下示例可作为选型的起点，并非涵盖所有产品的完整清单。

如果想检查开发中的代码，可以考虑TECHFUND提供的Hi AUDIT Agent，通过以MCP连接的开发环境发起代码安全分析请求。一种可行的使用方式是，查看产品指出的问题位置及修复建议，再由开发者验证修复结果。

如果想持续检测代码和运行中的应用，GMO Flatt Security的Takumi byGMO提供基于代码的检测、黑盒检测以及修复建议。其介绍中也提到了针对GitHub代码差异的定期检测，因此，重视与开发流程衔接的团队不妨进一步了解。

如果想从外部检测Web应用，Aeye Security Lab的AeyeScan是一款利用AI实现检测自动化的云端工具。它能否遍历身份验证后的页面，建议结合实际配置和目标应用进行测试。

如果机密数据不能传到外部，CoWorker的Purple Agent介绍了使用本地部署的本地LLM进行漏洞检测和数字取证分析的功能。请提前确认部署环境的要求，以及所需的运维体系。

如果需要管理员工对生成式AI的使用，Layer Security的Layer Base会在终端检查浏览器输入和附件，并可按照规则发出警告、替换或阻止发送。该公司也介绍了对受支持AI智能体操作的管理。请确认支持的浏览器与操作，并将其与AI应用的运行时防护分别评估。

如果想减轻安全监控的负担，ITOCHU Techno-Solutions的CTC-MSS AI SOC可借助AI，协助开展威胁检测、调查并提出应对方案。虽然这项服务由日本企业提供，但其底层使用的是美国Exaforce的产品。

比较AI检测结果时，很难仅凭发现的问题数量判断优劣。因为停留在登录页面的检查，与能够访问不同权限对应页面的检查，其实际检查范围本就不同。对于代码分析，还应查看是否覆盖了目标代码仓库、语言，以及从调用方到数据库的路径。

请使用同一个已获授权的应用及同一修订版本进行试用，比较能否检出已知问题、能否追溯问题判断的依据，以及修复后能否再次确认。事先明确由谁负责核实检测结果和进行修复，也有助于避免产品引入后被闲置。

即使产品由日本公司提供，输入数据的存储位置、执行推理的地区，以及外部模型是否会将数据用于训练，也分别受不同条件约束。在提交机密代码或日志前，请通过合同和最新资料确认存储期限、删除方式以及分包服务商等信息。

请分别确认各项数据条件。AeyeScan表示，客户数据存储在AWS的日本区域；同时也说明，生成式AI选项在Azure上的数据会在使用后最多保存60天，随后自动删除。关于本公司的服务，我们说明，虽然TECHFUND自身不会将数据用于训练，但所选的外部模型可能会将数据用于训练。在日本境内存储、用于训练、存储期限和处理地区，并不是同一项条件。