GMOサイバーセキュリティ byイエラエが、自社開発のAI基盤「AIホワイトハッカー byGMO」と人間のホワイトハッカーを組み合わせたペネトレーションテストの提供を開始した。AIによる高速・網羅的な検出に加え、ビジネスロジックの欠陥などAI単独では見つけにくい脆弱性も人が補完し、ゼロデイ脆弱性に対する応急対策まで提示する。実運用で対策の優先度判断に悩む企業にとって、診断精度と対策の実効性を両立する選択肢となる。

AI診断の限界を人が補完するハイブリッド設計

本サービスの中核は、攻撃対象への侵入可能性を検証するペネトレーションテストを、AI基盤「AIホワイトハッカー byGMO」と同社のホワイトハッカーが分担して実施する点にある。AI基盤は既知・未知を問わず脆弱性を高速に探索するが、複数の脆弱性を組み合わせた攻撃経路やシステム固有の設計上の欠陥など、文脈理解を要する領域では検出漏れや過剰な誤検出が生じうる。GMOサイバーセキュリティ byイエラエは、こうした領域に人の専門知を集中的に投入することで、AI単体では到達しにくい実践的な検証を可能にした。

ゼロデイ発見から応急防御までを一貫提供する意味

本サービスの特徴は、危険度の高い未公表の脆弱性が見つかった場合、修正プログラムが公開されるまでの空白期間を埋めるための独自のカスタムシグネチャを提供する点にある。これはWAFやEDRといった既存の防御装置に組み込んで利用するルールで、企業は公式パッチを待たずに攻撃リスクを軽減できる。発見・検証だけで終わらず、実際の防御策まで含めることで、診断と運用の間にある時間差を縮めようとする設計だ。料金は300万円（税別）からで、対象は外部公開されているサーバーや基幹システム、ソフトウェア製品である。

フロンティアAIが変えた脆弱性発見競争と日本の立ち位置

本サービスの背景には、2026年4月にAnthropicが公開したフロンティアAIモデル「Claude Mythos Preview」の存在がある。このモデルは主要OSやブラウザから多数のゼロデイ脆弱性を発見したと公表され、AIによる攻撃者側の脆弱性発見能力が現実のものとなった。GMOサイバーセキュリティ byイエラエは、同社の「AIホワイトハッカー byGMO」においてもMythosが発見したとされる複数のゼロデイ脆弱性の検出に成功したとし、さらにMicrosoft Windows 11のゼロデイ脆弱性2件を発見してPwn2Own Berlin 2026で特権昇格攻撃を実証したという。防御側がフロンティアAIを利用し、攻撃側に先行できるかどうかが問われる段階に入った。

継続的な精度向上を前提としたAIと人の役割再配分

GMOサイバーセキュリティ byイエラエは本サービスを、AIの進化と脅威の変化に合わせて検証基盤を更新し続ける継続サービスと位置づけている。将来、より高性能なAIモデルが登場すれば、AIに任せられるテスト項目を段階的に移譲し、ホワイトハッカーは設計段階の脆弱性検討や複合的な攻撃シナリオの評価といった上流工程へ注力する計画だ。同時に、人が得た新たな攻撃知見はAI基盤にフィードバックされ、診断精度の向上ループが回る。このAIと人の継続的な役割再配分は、侵入テストというサービス形態そのものを変えようとする動きといえる。

企業の調達判断に求められるAIネイティブなセキュリティ評価

本サービスの登場は、脆弱性診断を外部委託する企業にとって一つの判断軸となる。AIの活用度合いによって診断の網羅性・速度・誤検出率が変わりうるなかで、単に「AIを使っているか」ではなく、AIが不得手な領域をどのように補っているかという内部設計の評価が必要になる。今回のケースでは、GMOサイバーセキュリティ byイエラエが自社でPwn2Ownの実績を持ち、実際のゼロデイ発見能力を外部評価で示している点が、サービスの実効性を判断する指標の一つとなる。ただし、提供価格や具体的な診断範囲、継続契約時の条件など、実務導入に必要な情報の詳細は現時点では明らかにされていない。