Cuon、脆弱性検知から修正PR作成を自動化する新製品発表

テラスカイグループのCuonは2026年10月30日、脆弱性対応を支援するAIセキュリティ製品「cuonology security（クオノロジー・セキュリティ）」を発表した。12月からの提供を予定しており、企業が利用するAWSとGitHubの環境を結び、セキュリティ上の問題の発見から修正案の提示までを一連の作業として扱う。発表はテラスカイ名義で公開され、実際の提供主体はグループ会社のCuonとなる。

検知結果をIssueと修正PRにつなぐ

製品はAWSのセキュリティ検知機能で得た情報を整理し、対応するチームや修正箇所を特定する。課題の優先度を判断してGitHubのIssueを起票し、開発基盤「cuonology engineering」との連携によって修正プルリクエスト（PR）の作成まで進める構想だ。単に危険性を通知するだけでなく、実際に修正する担当者の作業へ引き渡す点を特徴としている。

同社によると、攻撃者の視点からシステムを調べる動的アプリケーションセキュリティテスト（DAST）も継続的に実行する。コードを読んで検査対象の入口や認証経路を把握し、検査結果を該当するソースファイルの位置と関連付ける。検知から起票、修正案の準備までの手作業を減らす狙いがあるが、脆弱性が必ず発見・修復できると保証するものではない。

AIの判断とルール処理を分離

検知情報の取得や振り分け、抑制、検証などはルールに従うスクリプトが担い、大規模言語モデル（LLM）は優先度の判断とIssue本文の生成に利用する。修正コードの生成は別の開発基盤が担当する設計だ。判断根拠をIssueやAWSの検知記録に残すことで、担当者が後から処理を確認できるようにするという。

運用場所は顧客自身のAWS・GitHub環境で、同社はソースコードや検知結果をCuon側の外部サーバーへ転送・蓄積しないと説明している。ただし、これは提供企業による設計上の説明であり、個別導入環境の安全性を第三者が実証した結果ではない。コードのレビューと最終承認は人が行い、修正PRが生成された時点で自動的に本番反映される仕組みではない。

12月提供予定、契約条件は確認が必要

10月30日の発表資料では、基本契約を年間契約とサポート契約の組み合わせとし、複数AWSアカウントにまたがる管理や監査機能をオプションと説明する。対応環境にはAWSのセキュリティ検知サービスやGitHub Actions、OIDCなどが挙げられ、動的検査にはDocker上のZAPやNucleiを用いる。具体的な導入費用や利用条件は問い合わせが必要だ。

なお、Cuonの製品紹介ページには課金単位や閉域環境への対応について発表資料と異なる記載がある。正式な提供形態は契約時点の最新案内で確認する必要があり、現時点で一律の料金や全機能の利用可否は断定できない。脆弱性の検知と開発チームの修正作業を結ぶ取り組みとして、実運用での検知精度やレビュー負荷の変化が今後の評価点となる。