GMO、AI脆弱性診断「Takumi」の国内推論を正式提供

GMO Flatt Securityは2026年11月2日、セキュリティAIエージェント「Takumi byGMO」に「国内推論オプション」を正式提供すると発表した。10月5日付の公式発表によるもので、AIが脆弱性を調べたり修正案を作ったりする際の推論処理を、日本国内のインフラで完結させる。従来から診断データの保存先は国内に限定していたが、今回はAIモデルを実行する場所も国内に制限する点が新しい。

保存場所だけでなくAIの推論処理も国内に限定

AIを使ったコード診断では、ソースコード、HTTPリクエスト・レスポンス、認証情報などがモデルの入力になり得る。海外の推論基盤を利用すると、国内保存の方針を守っていても処理時にデータが国外へ渡る場合がある。新オプションでは、クラウド事業者またはGMO Flatt Securityが管理する国内インフラで推論を実行し、同社の説明では診断に用いる入力データを国外へ転送しない。

もう一つの論点はデータ保持だ。AIサービスによっては悪用防止などのため推論データを一定期間保持する。データを保持しない「Zero Data Retention（ZDR）」が調達条件になっている組織では、利用できるモデルや基盤が限られる。GMO Flatt Securityは、推論インフラの選択によってZDR要件にも柔軟に対応すると説明している。ただし、個別契約の保持条件や運用方法は導入時に確認する必要がある。

SAST・DASTから自動修正、侵入テストまで対象

対象機能には、ソースコードを調べるホワイトボックス診断（SAST）、稼働するシステムを外側から検査するブラックボックス診断（DAST）、グレーボックス診断、脆弱性の自動修正、AIペネトレーションテストが含まれる。契約後は通常のTakumiと同じ操作で利用できるとしている。単なるチャットAIの国内設置ではなく、開発・検査のワークフローに組み込まれるセキュリティ機能の選択肢となる。

推論モデルは、要件に応じてオープンウェイトモデルや一部のフロンティアモデルから選ぶ仕組みだ。同社は、セキュリティ診断に特化して調整したエージェントの実行基盤（ハーネス）とモデル選定により、高い診断品質を目指すと説明する。ただし、すべてのモデルや案件で性能が同一になると保証されたわけではない。精度、誤検知、修正案の妥当性は実環境で評価する必要がある。

料金は個別見積もり、供給枠には制限

国内推論は基本プランに追加する有償オプションで、料金、AIモデル、インフラ構成は顧客の要件に応じて個別提案される。公式発表では定額料金や一律の提供性能は公表されていない。また、供給量に限りがあり、希望する構成を必ず提供できるとは限らないという。導入を検討する場合は、データ所在地だけでなく、ログ保存、アクセス制御、モデル更新時の扱いも確認したい。

国内で推論を完結できることは、情報管理規程が厳しい開発現場にとって選択肢を増やす。一方、国内処理という条件だけで脆弱性診断の正確性やシステム全体の安全性が保証されるわけではない。GMO Flatt Securityは今後、対象機能と提供規模の拡大を目指すとしている。今回の発表は、生成AIの性能だけでなく、どこで処理し、データをどう扱うかが導入判断の中心になりつつあることを示す事例だ。