Hexabase、社内設置型「AI-SecBox」提供開始

株式会社Hexabaseは2026年10月29日、企業内に専用機を設置して脆弱性の検査から修正案の検証まで行う「AI-SecBox」の提供開始を発表した。従来の定期的な脆弱性診断だけでは、新たな問題が見つかってから次の検査まで間隔が空く場合がある。同社は毎日の自動検査と修正支援を組み合わせ、開発・運用現場で継続的に対処できる仕組みとして位置付けている。

6種類のOSSスキャナーと日次の脆弱性検査

同社によると、AI-SecBoxはオープンソースの6種類のスキャナーを組み合わせて毎日検査を実行する。SonarQubeなど既存の診断ツールとの連携にも対応する設計だ。米国CISAが公開する悪用済み脆弱性の一覧「KEV」や、悪用可能性の予測指標「EPSS」を毎日更新し、修正の優先度判断に役立てる。検査対象は主に自社開発・運用のアプリケーションと社内サーバーで、あらゆる情報漏えいを防止できるという意味ではない。

検査で問題が見つかると、検出結果の整理と優先度付けを経てAIが修正案を作る。別のAIがその内容をレビューし、専用機内の検証環境でテストする。検出、正規化、トリアージ、修正、レビュー、検証、適用・リリース、再検査という8段階を想定しており、単に脆弱性の報告書を作成するだけではない点を特徴としている。ただし、AIが提示した修正が必ず正しいことを保証するものではない。

本番への変更は人が承認、社内処理を重視

修正案はパッチまたはプルリクエストの形で提示される。AI-SecBoxが本番環境や元のリポジトリを直接書き換える設計ではなく、最終的な承認と適用、リリースは利用企業の開発・変更管理手順に従う。ソースコードのミラーと検証は専用機内で行い、検証環境ではテスト用データや外部通信の制限を用いるとしている。AIによる自動化と、人による変更承認を切り分ける構成だ。

専用機内でLLMを動かし、ソースコードや検査結果を社外に送らず処理できる点も訴求している。必要に応じて外部クラウドのモデルを利用する選択肢はあるが、その場合は機密情報の伏せ字処理や送信内容の記録を行うと説明する。また、承認履歴やテスト結果などを監査証跡として残し、月次レポートを生成する。機密管理や監査対応を重視する企業を想定した製品だが、実際の適合性は各社の運用要件によって異なる。

導入価格と運用上の留意点

公式サービスページでは、最小構成のAプランを本体640万円、年間保守140万円、初年度合計780万円と掲載。Bプランは初年度1,230万円で、いずれも税抜きの2026年10月時点の計画値とされる。正式な価格は個別見積もりとなる。小型構成に使うDell Pro Max with GB10については、体積約1.1リットル、消費電力280Wと説明している。導入検討企業向けの無料トライアルも受け付けている。

一方、AI-SecBoxは専門家による診断やペネトレーションテストを完全に置き換える製品ではない。同社も重要システムでは専門家の診断と日次検査の併用を提案している。検出精度、誤検知、修正後の動作、導入費用に見合う効果は個別環境で検証が必要だ。今回確認できるのはメーカーが発表した機能と提供条件であり、第三者による実運用性能の評価や被害削減効果が実証されたとまでは確認できない。