GMO Flatt Security、AIで全社の侵入リスクを調べるテストを開始

ニュースの要点

GMOインターネットグループのGMO Flatt Securityは2026年10月21日、AIを使い、企業全体に不正アクセスされる恐れがあるかを検証する「不正アクセス抜き打ちテスト byGMO」の提供を開始しました。インターネット上に公開された資産を探索し、顧客が承認した対象への侵入可否を調べます。

セキュリティエンジニアがAIエージェント群を指揮し、30日間の実施期間内に、日時を予告せずテストします。重大なリスクは期間終了を待たず速報し、最後に報告書を提出します。2026年12月31日までの申し込みに限り、対象規模にかかわらず一律98万円（税抜）です。年間プランは今後の提供予定であり、今回開始した内容とは分かれます。

企業が把握していない公開資産を含めて、侵入リスクを検証する狙いです。

ニュース出典：GMO Flatt Security「GMO Flatt Security、AIが会社全体への侵入を試みる「不正アクセス抜き打ちテスト byGMO」を提供開始」（2026年10月21日）

イノベーション総研の考察

顧客が把握しているシステムだけを調べる限界を狙った

システムごとに診断を発注するには、顧客が対象を洗い出す必要があります。しかし、古い環境や管理部署が変わったサービスなどは、対象に入れる段階で漏れる可能性があります。今回のサービスは、顧客が認識している弱点の検査だけでなく、何を持っているかの探索から始めます。

このサービスは、診断の自動化だけでなく、顧客が検査対象を決める準備の負担を下げるものです。

背景には、JPCERT/CCの10月の注意喚起で示された、国内組織への不正アクセスへの懸念があります。ただし、今回のサービスを使えば全ての攻撃を防げるという意味ではありません。探索結果の確認と、発見した問題を直す仕事は残ります。

一律料金は頼みやすいが、確認範囲と作業量は同じにならない

規模によらない料金は、見積もりが確定するまでの負担を小さくします。試してみる判断をしやすくする一方、大規模な会社や複雑な構成では、結果を確かめる作業や顧客との調整が増える可能性があります。対象規模が違っても、提供側の費用まで一定になるとは限りません。

AIによる一律価格のサービスは、処理件数だけでなく、人が確認する例外の量で採算が変わります。

今回もエンジニアがAIを指揮する仕組みであり、完全に無人の検査ではありません。料金が恒久的に98万円であるとは発表しておらず、年末までの申込条件です。提供側の次の観測点は、顧客規模別の工数や再検査、継続利用へつながるかになります。これらの実績は未公表です。

抜き打ちでも、会社の承認を省くわけではない

日時を事前に知らせないことと、対象を承認しないことは別です。発表では、探索で見つけた資産の一覧を顧客が確認し、除外するものを外して承認する流れを示しています。外部サービスや他社が運営する環境まで、無制限に検査できるという説明ではありません。

抜き打ちテストを業務として成り立たせるには、日時の予告より先に、許可された対象と緊急連絡を決めます。

重大な問題を速報する設計も重要です。報告書が届くまで待たず、担当者が対処を始められます。ただし、発見後の修正担当や停止判断、社内連絡まで自動的に解決するわけではありません。導入企業は、通知を受けて誰が何を判断するかを、申し込み時から合わせる必要があります。

自社のAIサービスも、結果を渡した後まで使い方を設計する

担当者の方が専門業務をAIサービスに置き換える場合、出力の速さだけを売りにすると、顧客が結果を使えず終わることがあります。今回のように、準備、承認、実施、速報、最終報告を一つの流れにすると、顧客側の作業と提供側の作業が見えやすくなります。

専門サービスの価値は、分析結果を出すことに加え、顧客が次の対処を始められる形で渡すことにあります。

検証すべきなのは、申込数だけではありません。対象承認にかかる日数、速報から対処開始までの時間、修正後の確認の負担も、利用継続に影響します。年間プランが具体化した時には、検査の頻度を増やすだけでなく、前回の問題が解消されたかを追える仕組みになっているかを確認したいところです。

まとめ

GMO Flatt Securityは、公開資産の探索と侵入の検証を、申込時の負担を抑えたサービスとして提供します。AIの実行力だけでなく、承認、速報、顧客の修正作業をつなぐ構成がポイントです。一律料金の継続性や、発見後の改善につながるかは今後の確認事項です。

関連記事：

仮説検証を事業の判断につなげる方法

新規事業の仮説を検証できる形にする