如何選擇日本 AI 資安產品

例如，想在 SaaS 上線前減少 SQL 注入漏洞的團隊，與想整理每天收到的大量警示的團隊，應該選擇的產品就不同。前者以程式碼分析或 Web 檢測為主，後者則以協助監控與調查為主。如果想保護的是生成式 AI 本身，又是另一種情況，需要確認提示詞與外部資料的處理方式。

為了方便比較，本文介紹的是由總部設於日本的業者提供的產品與服務。這不代表其元件或 AI 模型的開發地點，乃至資料處理地點都在日本國內。以下範例可作為選型的起點，並非涵蓋所有產品的完整清單。

如果想檢查開發中的程式碼，TECHFUND 提供的 Hi AUDIT Agent 是一種選擇，可從透過 MCP 連接的開發環境提出程式碼安全分析請求。可考慮的使用方式是先查看指出的問題位置與修正建議，再由開發者驗證修正。

如果想持續檢測程式碼與運作中的應用程式，GMO Flatt Security 的 Takumi byGMO 提供使用程式碼的檢測、黑箱檢測與修正建議。官方也介紹了針對 GitHub 差異內容進行的定期檢測，因此重視與開發流程串接的團隊，不妨進一步確認。

如果想從外部檢測 Web 應用程式，Aeye Security Lab 的 AeyeScan 是一款運用 AI 將檢測自動化的雲端工具。至於能否爬查到通過驗證後的頁面，建議使用實際設定與目標應用程式進行測試。

如果機密資料不能外流，CoWorker 的 Purple Agent 介紹了使用地端部署的本機 LLM 進行弱點檢測與數位鑑識分析的功能。請事先確認部署環境的條件，以及所需的維運體制。

如果需要管理員工使用生成式 AI，Layer Security 的 Layer Base 會在端點檢查瀏覽器輸入與附件，並可依規則警告、替換或阻擋傳送。該公司也介紹了對受支援 AI 代理操作的管理。請確認支援的瀏覽器與操作，並將此需求與 AI 應用程式的執行階段防護分開評估。

如果想減輕資安監控的負擔，ITOCHU Techno-Solutions 的 CTC-MSS AI SOC 可透過 AI 協助偵測威脅、展開調查及提出應對方案。雖然這是日本國內企業提供的服務，但底層使用的是美國 Exaforce 的產品。

比較 AI 的檢測結果時，很難只憑找到的問題數量判斷優劣。因為停在登入頁面的檢查，與能深入不同權限所對應頁面的檢查，實際檢查範圍本來就不同。如果是程式碼分析，也要查看是否涵蓋目標儲存庫、程式語言，以及從呼叫端到資料庫的路徑。

請使用同一個已獲授權的應用程式與同一修訂版本進行測試，比較是否能偵測到已知問題、能否追溯所指出問題的依據，以及修正後能否再次確認。如果連偵測結果的確認與修正由誰負責都事先決定好，就更容易避免導入後無人使用的情況。

即使由日本公司提供服務，輸入資料的儲存位置、執行推論的地區，以及外部模型是否會將資料用於訓練，仍是各自獨立的條件。在交付機密程式碼或日誌之前，請透過合約與最新資料，確認儲存期限、刪除方式，以及再委託業者等事項。

請分別確認各項資料條件。AeyeScan 表示，客戶資料儲存於 AWS 的日本區域；另一方面，也說明生成式 AI 選配功能在 Azure 上的資料，會在使用後最多儲存 60 天，之後自動刪除。關於本公司的服務，我們說明，雖然 TECHFUND 本身不會將資料用於訓練，但所選用的外部模型可能會將資料用於訓練。日本國內儲存、訓練用途、儲存期限與處理地區，並不是同一項條件。