MBSD、AI脆弱性診断の有償試行を開始 SAST・DASTに対応

三井物産セキュアディレクション（MBSD）は2026年10月23日、AIを使って開発中のソフトウェアの脆弱性確認を支援する「AI DevSecOps」の有償トライアルプログラムを開始した。正式サービス化に先立ち、実際の開発・運用環境で有効性と運用性を検証する位置づけだ。募集対象や契約条件の詳細は同社への問い合わせが必要で、現段階で一般向けの無償サービスが公開されたわけではない。

ソースコードとWebアプリをAIで確認

トライアルで提供する中心機能は「AI×SAST」「AI×DAST」と診断結果の精査・トリアージ支援の3つ。SASTはソースコードなどを実行せずに調べる静的解析、DASTは動作するWebアプリにリクエストを送り挙動を確かめる動的診断を指す。異なる検査手法を組み合わせ、開発ライフサイクルの中で継続的に問題を発見しやすくする狙いがある。

同社は20年以上の脆弱性診断の知見を基にした仕組みだと説明している。公開された支援イメージには、要件定義から設計、実装、テスト、リリースまでの工程と、脅威モデリング、コードレビュー、動的診断などの作業が並ぶ。ただし、この図に載った機能すべてが今回の有償トライアルで利用できるという意味ではない。現時点の提供範囲は前述の3項目が中心だ。

有償トライアルは1サイト100リクエストまで

今回の試行は対象範囲を限定し、1サイトあたり100リクエストまでの依頼に対応する。AI診断の導入で直ちに全ページや全機能を網羅できるわけではなく、調査対象を絞った評価が必要になる。発表ではトライアルの一律価格、診断所要時間、検出精度の具体的な数値は提示されていないため、費用対効果や他社サービスとの差は現時点では確定できない。

診断結果の「トリアージ」は、見つかった問題の優先順位や追加確認の必要性を整理する作業を指す。検出件数を増やすだけでは、誤検知の確認や修正順序の判断に負荷が残る。AIによる候補抽出と人間による精査をどう分担するかが、開発チームへの組み込みを評価するポイントになりそうだ。今回の発表は、こうした実運用上の課題も試行で確かめる段階と読める。

手動診断の置き換えではない

MBSDは、現段階のAI診断について、複数画面をまたぐ脆弱性や複雑なビジネスロジックの検出が難しいと明記した。専門エンジニアの手動診断を置き換えるものではなく、対象システムの重要度や診断目的に応じて併用を提案する。定期的な診断にはAIの柔軟な対応を生かし、複雑な仕様の検証には人の判断を残すという役割分担だ。

今後は試行企業のフィードバックを踏まえ、診断コストの削減、速度向上、品質確保を目指す。将来的な拡充先として、セキュア開発プロセスの設計、脅威モデリング、AIコードレビュー、継続運用支援も挙げた。ただし、これらの正式提供日や成果は未発表。AIが脆弱性を自動で完全検出できるという話ではなく、現場で使える診断工程を検証する取り組みとして捉える必要がある。