記事 ASM・CTEM・脆弱性診断・レッドチーム 【保存版】WAFを入れても「他人の情報」が見える？API認可の盲点を暴く12の検証手順 【保存版】WAFを入れても「他人の情報」が見える？API認可の盲点を暴く12の検証手順 2026/10/17 WAFを導入していても、正規の利用者が他社のデータを閲覧・変更できてしまう──。その原因になり得るのが、APIの「認可」の不備だ。NICTが注意喚起したA2B攻撃を起点に、通信の防御と、データを操作する権限の判定との違いを整理する。さらに、3種類の利用者と4つの操作を組み合わせた独自の「12パターンの検証」を提示。403が返っても見落とせない確認点から、再発を防ぐ4つの実装原則まで、自社のAPIを点検する具体的な手順を解説する。
記事 ID・アクセス管理・認証 グーグルも見落とした“権限の穴”、AI連携を守るため開発チームに聞くべき“3つの質問” グーグルも見落とした“権限の穴”、AI連携を守るため開発チームに聞くべき“3つの質問” 2026/10/15 DX推進や業務効率化の流れを受け、生成AIやAIエージェントの社内導入が急速に進んでいる。AIがデータベースや社内システムと連携することで業務革新が期待される一方、セキュリティ担当者や開発現場は、「どこまで対策すれば安全と言えるのか」という新たな難題に直面している。たとえ大手ベンダーが提供する公式ツールを導入していても、システム同士をつなぐ「連携層」に重大な死角が潜んでいる可能性がある。DXやAI活用を止めることなく、安全性を確保するにはどこに目を向ければよいのか。攻撃者視点による実際の検証事例から、そのポイントを読み解く。
記事 ASM・CTEM・脆弱性診断・レッドチーム AI時代における「コード品質の担保」と「OSS管理の最適解」 AI時代における「コード品質の担保」と「OSS管理の最適解」 2026/10/05 生成AIの普及によりソフトウェア開発は大きく変化している。しかし開発速度が向上する一方、コード品質の担保とOSS管理という新たな課題も浮上している。本稿では、それぞれの課題に対するアプローチを、国内大手製造業の事例とともに、その具体策を解説する。
記事 AIセキュリティ 「能動的サイバー防御」が本格始動、警察と自衛隊による攻撃元の無害化も可能に 「能動的サイバー防御」が本格始動、警察と自衛隊による攻撃元の無害化も可能に 2026/10/02 3 政府は10月1日サイバー対処能力強化法とサイバー対処能力整備法の一部を施行し重大なサイバー攻撃を未然に防ぐ能動的サイバー防御の運用を開始した。今回の施行により国や基幹インフラへの攻撃が確認された場合、警察や自衛隊がネットワークを介して攻撃元のサーバーに侵入し不正プログラムの消去などを実施する無害化措置が可能となった。
記事 ASM・CTEM・脆弱性診断・レッドチーム 米Anthropicが最新のAI脅威報告書公開、バイブハッキングなど新たな脅威警鐘 米Anthropicが最新のAI脅威報告書公開、バイブハッキングなど新たな脅威警鐘 2026/09/13 3 米Anthropicは2026年9月10日、自社のAIモデルに対する悪用事例をまとめた脅威インテリジェンスレポートを公開した。報告書ではサイバー攻撃から生物兵器開発まで7つの領域における悪用を指摘し、AIによる自律的な攻撃手法、バイブ・ハッキング（Vibe Hacking）の浸透や、企業環境から窃取されたAPIキーの転売や非公式な中継サービスによる認証情報の抜き取りといったサプライチェーンの脆弱性に警鐘を鳴らしている。
記事 ASM・CTEM・脆弱性診断・レッドチーム クラウドストライク、攻撃・防御AIを連携 NVIDIAと「SafeMind」、検知率29％向上 クラウドストライク、攻撃・防御AIを連携 NVIDIAと「SafeMind」、検知率29％向上 2026/09/02 1 米クラウドストライクは、NVIDIAと共同開発したサイバーセキュリティ向けAIモデル群「SafeMind」を発表した。攻撃役と防御役のAIを閉ループで連携させ、脆弱性の発見から検知、修復までを反復する。社内評価では検知率が29％向上し、修復を6倍に高速化したという。早期アクセスを受け付ける。
記事 ASM・CTEM・脆弱性診断・レッドチーム OpenAIがAIサイバー脅威への「集団的防衛」の公開書簡、Anthropicなど100社以上署名 OpenAIがAIサイバー脅威への「集団的防衛」の公開書簡、Anthropicなど100社以上署名 2026/08/29 2 米国のOpenAIは2026年8月27日、人工知能を悪用した高度なサイバー攻撃の脅威に備え、産官学連携による集団的な防衛体制の構築を呼びかける公開書簡を発表した。この書簡には、AnthropicやGoogle、Microsoftをはじめとする100を超える企業や団体が署名し、AI時代の新たなサイバーセキュリティ対策の必要性を訴えている。
記事 ASM・CTEM・脆弱性診断・レッドチーム OpenAI、サイバーセキュリティ特化モデル「GPT-5.6-Cyber」を発表 OpenAI、サイバーセキュリティ特化モデル「GPT-5.6-Cyber」を発表 2026/08/11 3 OpenAIは2026年8月10日、サイバーセキュリティ防御支援プログラム「Daybreak」を拡張し、新たな特化型AIモデル「GPT-5.6-Cyber」を発表した。本プログラムは防御作業向けの「Blue」と高度な検証作業向けの「Red」の2段階のアクセス権限に再編され、新モデルは「Red」ティアの承認ユーザーおよび提携パートナー企業に対してのみ提供される。
記事 ASM・CTEM・脆弱性診断・レッドチーム 米Anthropic、AIモデル「Claude」がテスト中に外部3社へ不正アクセスしたと公表 米Anthropic、AIモデル「Claude」がテスト中に外部3社へ不正アクセスしたと公表 2026/08/01 2 米Anthropicは2026年7月30日、同社のAIモデル「Claude」がサイバーセキュリティ能力の評価試験中に、実在する外部3組織のシステムへ不正アクセスしていたと発表した。設定の不備でテスト環境からインターネットに接続できる状態になっており、AIが現実のシステムを演習の一部と誤認して侵入した。競合の米OpenAIで発生した類似事案を受けた社内調査で発覚した。
記事 ASM・CTEM・脆弱性診断・レッドチーム 米ミネソタ州「30超」の水道システムにサイバー攻撃、州政府が緊急対応 米ミネソタ州「30超」の水道システムにサイバー攻撃、州政府が緊急対応 2026/07/31 米ミネソタ州政府は、州内の30を超える地域水道システムが、OT（制御・運用技術）を狙った組織的なサイバー攻撃を受けたと発表した。州は緊急対応を発動し、米連邦捜査局などと被害の封じ込めや復旧を進めている。飲料水への影響は確認されていないという。
記事 ASM・CTEM・脆弱性診断・レッドチーム マイクロソフト、Mythos越えセキュリティ特化AI「MAI-Cyber-1-Flash」を発表 マイクロソフト、Mythos越えセキュリティ特化AI「MAI-Cyber-1-Flash」を発表 2026/07/28 1 米マイクロソフトは2026年7月27日、サイバーセキュリティの自動検知と修復に特化したAIモデル「MAI-Cyber-1-Flash」を発表した。業界標準のベンチマークにおいてAnthropicの「Claude Mythos 5」を12ポイント上回る約96%のスコアを記録した。同モデルを組み込んだ自律型セキュリティシステム「Project Perception」は8月3日からパブリックプレビューを開始する。
記事 ASM・CTEM・脆弱性診断・レッドチーム NVIDIAなど約40社、AIセキュリティのOSS同盟「Open Secure AI Alliance」を設立 NVIDIAなど約40社、AIセキュリティのOSS同盟「Open Secure AI Alliance」を設立 2026/07/28 1 米NVIDIAとMicrosoftなどIT・セキュリティ関連企業約40社は2026年7月27日、オープンソース技術を用いたAIセキュリティ同盟「Open Secure AI Alliance」を設立したと発表した。自律型AIエージェントの普及に伴うサイバー攻撃の脅威に対抗するため、防御側が自由に検査や制御を行える透明性の高いAI防衛ツールの共同開発を進める。
記事 ASM・CTEM・脆弱性診断・レッドチーム Google Cloudが脆弱性修正のAIエージェント「CodeMender」の提供を開始 Google Cloudが脆弱性修正のAIエージェント「CodeMender」の提供を開始 2026/07/25 1 Google Cloudは2026年7月22日、ソフトウェアの脆弱性発見から修正コードの生成までを自律的に行うAIセキュリティエージェントCodeMenderのプレビュー版の提供を開始した。Gemini Enterprise Agent Platform等を通じて提供され、エンタープライズ向けの管理型AIエージェントとして開発者のセキュリティ対策を支援する。
記事 ASM・CTEM・脆弱性診断・レッドチーム もう限界…2度ぶつかった脆弱性診断の壁、レバレジーズが成功した「工数半減」の裏側 もう限界…2度ぶつかった脆弱性診断の壁、レバレジーズが成功した「工数半減」の裏側 2026/07/23 急速にシステム数が増加し、AIの活用によって開発スピードがさらに加速する現代。この「開発のスピード感」にセキュリティ対策が追いついていないのは、多くの企業が抱える共通課題だ。100超のシステムを運用するレバレジーズも例外ではなく、海外製ツール導入の失敗、手動診断の限界と、2度も壁にぶつかってきた。そこから脱却した同社は現在、脆弱性診断の内製化・自動化に成功し、検知精度2倍、診断工数ほぼ半減を実現したのだという。そこで今回、同社 テクノロジー戦略室の原田 将貴氏、柳澤 伸哉氏らに、失敗の経緯から現在の取り組みと成果、成功の秘訣を聞いた。
記事 セキュリティ総論 TOPPANはなぜVPN廃止？40カ国超284社を守る「サイバーレジリエンス」構築の全ノウハウ TOPPANはなぜVPN廃止？40カ国超284社を守る「サイバーレジリエンス」構築の全ノウハウ 2026/07/17 サイバー攻撃は「防げる」という前提が、もはや通用しない時代となった。IPAの最新調査でもランサム攻撃が5年連続1位を記録し、その手口は年々巧妙化している。そんな状況の中、売上高1兆8,050億円・40カ国以上284社のTOPPANグループは考え方を転換させてセキュリティ水準の底上げを図っている。海外拠点まで巻き込んだその対策の全容は、自社のセキュリティを見直すきっかけになるはずだ。そこで今回、TOPPANホールディングス 情報セキュリティ本部 サイバー部の庄司 朋隆氏が、同社で進めるセキュリティ対策の中身について解説する。
記事 標的型攻撃・ランサムウェア対策 千葉県警が中高生ら10代若者9人をサイバー犯罪で立件、生成AIでランサムウェア作成も 千葉県警が中高生ら10代若者9人をサイバー犯罪で立件、生成AIでランサムウェア作成も 2026/06/26 2 オンライン上のコミュニティを通じてコンピューターウイルスのやり取りや賭博行為に関与したとして、中高生ら9人が立件された。19歳の会社員は生成AIを用いてランサムウェアを自作したとして逮捕され、千葉県警は関与した若年層の一部に対し、全国初となる立ち直り支援を実施した。
記事 ゼロトラスト・クラウドセキュリティ・SASE 国際インテリジェンス「ファイブ・アイズ」最先端AIによるサイバー脅威に緊急警告 国際インテリジェンス「ファイブ・アイズ」最先端AIによるサイバー脅威に緊急警告 2026/06/23 3 米国、英国、カナダ、オーストラリア、ニュージーランドの機密情報共有枠組み「ファイブ・アイズ」のサイバーセキュリティ機関は2026年6月22日、最先端の人工知能（AI）がサイバー攻撃能力を飛躍的に高める恐れがあるとする緊急共同声明を発表した。攻撃手法の根本的な変化は数年ではなく数カ月単位で起きると明言し、国家や企業に防御体制の再構築を求めている。
記事 AI・生成AI オープンAIがオープンソース欠陥修正に本腰、新プロジェクト「Patch the Planet」開始 オープンAIがオープンソース欠陥修正に本腰、新プロジェクト「Patch the Planet」開始 2026/06/23 米オープンAIは6月22日（米国現地時間）、オープンソースソフトウェアの脆弱性発見とパッチ適用を支援する新プロジェクト「Patch the Planet」を発表した。米セキュリティ研究企業トレイル・オブ・ビッツなどと提携し、AIモデル「GPT-5.5-Cyber」を活用してバグを特定する。AIが生成する膨大な報告による開発現場の混乱を防ぐため、専門家による検証を経た上で修正コードを提供する実務重視の取り組みである。
記事 ASM・CTEM・脆弱性診断・レッドチーム GoogleがFBIと連携し「AIトクリュウ」の撲滅作戦、Gemini悪用組織を提訴 GoogleがFBIと連携し「AIトクリュウ」の撲滅作戦、Gemini悪用組織を提訴 2026/06/22 2 米Googleは自社の生成AIを悪用して大規模なフィッシング詐欺を展開していた中国拠点の「AIトクリュウ」に対し民事訴訟を提起した。同社はFBIや大手通信事業者と連携して犯罪インフラの解体作戦を実施しており被害総額は約19億ドルに上る。
記事 ASM・CTEM・脆弱性診断・レッドチーム 【ロマンス詐欺や恐喝もAIで】米Anthropicが「サイバー攻撃の自律化」を警告 【ロマンス詐欺や恐喝もAIで】米Anthropicが「サイバー攻撃の自律化」を警告 2026/06/13 2 米Anthropicは、AIを悪用したサイバー攻撃の実態を分析した調査結果を発表した。2025年3月から2026年3月までに規約違反で停止したClaudeアカウント832件を対象とし、攻撃者の行動をサイバー攻撃フレームワーク「MITRE ATT&CK」にマッピングした。調査により、AIは初期の偵察だけでなく、侵入後の探索や展開といった複雑な段階でも利用されており、攻撃プロセスの自動化が進行している実態が明らかになった。
記事 ASM・CTEM・脆弱性診断・レッドチーム AnthropicのMythosが数万件の脆弱性を発見、年季の入った「20年物バグ」も AnthropicのMythosが数万件の脆弱性を発見、年季の入った「20年物バグ」も 2026/05/27 4 米Anthropicの未公開AIモデル「Claude Mythos Preview」を用いたオープンソースソフトウェア（OSS）の脆弱性探索において、約2万3000件の欠陥候補が発見された。中には20年間人に気付かれず放置されてきた「20年物のバグ」も発見されている。AIによる未知のバグ特定が飛躍的に加速した一方で、人間による検証やパッチ作成作業が完全に追いつかなくなっており、セキュリティ対策における構造的なボトルネックが浮き彫りとなっている。
記事 ASM・CTEM・脆弱性診断・レッドチーム GPT-5.5のサイバー攻撃能力、一部で「Mythos」上回る、英政府機関が検証結果 GPT-5.5のサイバー攻撃能力、一部で「Mythos」上回る、英政府機関が検証結果 2026/05/01 1 英国政府の研究機関であるAI Security Institute（AISI）は2026年4月30日、米OpenAIのAIモデル「GPT-5.5」のサイバーセキュリティ能力に関する評価結果を公表した。一部の評価タスクにおいて、米Anthropicの「Claude Mythos Preview」を上回る成績を記録し、AIモデル全般におけるサイバー攻撃能力の急速な向上が浮き彫りになった。
記事 ASM・CTEM・脆弱性診断・レッドチーム 米Anthropic、脆弱性の検出から修正までを自動化する「Claude Security」提供開始 米Anthropic、脆弱性の検出から修正までを自動化する「Claude Security」提供開始 2026/05/01 2 米Anthropicは2026年5月1日、AIがコードをスキャンしてソフトウェアの脆弱性を検出し、修正パッチを生成するセキュリティ特化型ツール「Claude Security」のパブリックベータ版の提供を開始した。まずは企業向けプラン「Claude Enterprise」のユーザーを対象に展開される。
記事 ASM・CTEM・脆弱性診断・レッドチーム Anthropicの「Mythos」による金融サイバーリスク、自民党が政府に対策要請へ Anthropicの「Mythos」による金融サイバーリスク、自民党が政府に対策要請へ 2026/04/21 12 米Anthropicの新型AI「Claude Mythos」によるサイバー攻撃リスクの顕在化を受け、自由民主党は2026年4月20日、政府にサイバー防衛体制の抜本的強化を求める緊急提言を取りまとめた。同モデルの圧倒的な脆弱性発見能力が金融インフラ等に甚大な被害をもたらす懸念があり、国内でもAIを活用した官民連携の防御網構築を急ぐ。
記事 ASM・CTEM・脆弱性診断・レッドチーム OpenAIがAIセキュリティ企業Promptfooを買収、企業向け基盤Frontierへ統合 OpenAIがAIセキュリティ企業Promptfooを買収、企業向け基盤Frontierへ統合 2026/03/20 2 OpenAIは2026年3月9日、生成AIアプリケーションのセキュリティテストおよび評価プラットフォームを提供するPromptfooを買収すると発表した。買収に伴い、Promptfooの技術はOpenAIの企業向けAI基盤であるFrontierに組み込まれ、法人利用における安全性や評価機能が強化される。既存のオープンソースツールは今後も継続して提供される。
記事 製造業セキュリティ 攻撃者視点で“見えないリスク”を定量化せよ！資生堂・NEC・NASAが選んだ新指標 攻撃者視点で“見えないリスク”を定量化せよ！資生堂・NEC・NASAが選んだ新指標 2026/03/19 クラウドの普及で、企業のITはもはや「自社の中」だけでは完結しなくなった。海外拠点のシステム、委託先や取引先が使うクラウドまで含めて、IT資産はサプライチェーン全体に広がっている。問題は、自社がどれだけ対策していても、サプライチェーンのどこか1社の弱点が“侵入口”になることだ。取引先は膨大で、すべてを管理する余力はない。限られた人員と予算で、何をどこまで可視化し、経営や投資家に説明できるガバナンスをどう築くべきか。資生堂・NEC・NASAも導入する攻撃者視点での“見えないリスク”を定量化する方法を考える。
記事 ASM・CTEM・脆弱性診断・レッドチーム 大手企業も次々と餌食に──“攻撃が日常”の世界で自社を守る「脆弱性対策の内製化」 大手企業も次々と餌食に──“攻撃が日常”の世界で自社を守る「脆弱性対策の内製化」 2025/12/01 日本企業が直面する“見えない危機”が深刻化している。2025年9月末にアサヒグループHDがランサムウェア攻撃を受け、国内の受注・出荷が一時停止した。翌10月には通販大手アスクルもランサムウェア攻撃の被害を受けている。だがこれらは「氷山の一角」に過ぎない。DXとAIの進展により企業の開発能力は飛躍的に向上した一方で、サイバー攻撃側も同様の技術を駆使し、企業のサプライチェーンを麻痺させる事例が頻発している。もはや経営者にとって、サイバー攻撃は「リスク要因」ではなく「必須対応事項」である。では、どうすればこの“見えない危機”に先手を打てるのか──その答えを探る。
記事 ID・アクセス管理・認証 アサヒやアスクルにも共通…？北朝鮮系ハッカー「9時5時勤務」の実態と脅威の手口 アサヒやアスクルにも共通…？北朝鮮系ハッカー「9時5時勤務」の実態と脅威の手口 2025/11/05 5 日本企業向けのサイバー攻撃が猛威を振るっている。各社被害の直接の原因はいまだ解明されていないが、こうした高度で大規模な攻撃元の一つが国家支援のハッカー集団の巧妙な手口だ。8月には米国ハッカーらが北朝鮮諜報機関のコンピューターに侵入し、スパイ活動の詳細が明らかにされた。朝9時から夕方5時まで規則正しく「勤務」する実態も含め、暴露データから見える脅威の実像と対策方法を明らかにしよう。
記事 ASM・CTEM・脆弱性診断・レッドチーム DX成功の裏で進む“見えない失敗、AI×セキュリティの本質とは？ DX成功の裏で進む“見えない失敗、AI×セキュリティの本質とは？ 2025/07/10 DXの進展とともに、Webアプリやサービスを短いサイクルで市場に投入・アップデートする企業が増えてきた。こうした企業に共通しているのが、開発の内製化とアジャイル開発の採用だ。ただし、これらのDX先進企業で新たな問題となっているのが「セキュリティ」だ。問題の解決には“戦略的”な対策が求められる。ここでは、その要諦とAIを活用した具体的な対策を解説する。
記事 セキュリティ総論 実は「危険度順」ではない？脆弱性対策の正しい「優先順位」のつけ方を辻伸弘氏が解説 実は「危険度順」ではない？脆弱性対策の正しい「優先順位」のつけ方を辻伸弘氏が解説 2025/07/01 情報システム担当者やセキュリティ担当者にとって大きな課題となっているのが、年間を通じて膨大な数が公表される脆弱性への対応である。これらに効果的に対処するには、まず優先順位を明確にすることが不可欠だ。SBテクノロジーでプリンシパル セキュリティリサーチャーを務める辻伸弘氏は、「正しい対策を講じるには、正しい現状把握が重要」と語る。脆弱性が発生する背景とそれらにどう対応すべきかについて、実例やデータを交えて辻氏が解説する。
