WebアプリソースコードAI診断

AIがWebアプリケーションを攻撃する時代

2026年10月、世界各地のWebサイトやオンラインサービスにおいて、AIを用いた攻撃や侵入が相次ぎました。セキュリティ業界やメディアでは、この1ヶ月間を「Black October」と呼んでいます。
Black October以降、Webアプリケーションの脆弱性を調査して攻撃を行う主体は、人間からAIエージェントへと移行しつつあります。自律型AIエージェントが昼夜を問わずWebアプリケーションを隅々までスキャンし、これまで見落とされていた脆弱性を短時間で発見・悪用した点が特徴です。

攻撃の速度と精度の変化

政府（内閣官房国家サイバー統括室）からの注意喚起

内閣官房国家サイバー統括室は2026年11月5日、「個人情報の漏えい等につながる不正アクセスへの対策について」を公表しました。副題は「ウェブサイトやモバイルアプリに関する基本的な対策の徹底」です。政府は、攻撃が次のように変わったと見ています。

• 攻撃者は、インターネット上に公開されている我が国のウェブサイト等を標的に大規模な調査を行い、侵入して個人情報を窃取している
• 標的の調査や侵害にAIを使用している可能性が高い
• これまでの脆弱性診断では比較的低いと評価されたリスクであっても、組み合わされて侵入の原因になった事例がある
• 攻撃の大規模化が容易になり、事業規模の大小を問わず幅広い事業者が攻撃対象になっている

求められる対応として、従来から実施されてきたセキュリティ診断や監視・検知、インシデント対応等の取組を着実に継続・強化するとともに、AIを活用した攻撃に対応するため、防御側においてもAI技術の活用を積極的に検討することが重要であると示しています。

AIの素早い攻撃に備えるには、守る側も素早く脆弱性を見つけて直す必要があります。

出典：内閣官房国家サイバー統括室「個人情報の漏えい等につながる不正アクセスへの対策について」（2026年11月5日）より要約・抜粋

従来の対策ではAIによる攻撃を防げない理由

AIによる攻撃の高速化・高度化に伴い、従来の「外からの単発スキャン」や「表面的な診断」では見逃される死角が致命的なリスクとなっています。

外側からの動的スキャンでは「見逃し」が発生する

年1回程度の従来の動的診断は、外部から通信を送って反応を確認する手法です。
しかし、この方法ではシステムの入口部分しか確認できず、外からは見えない内部処理に潜む脆弱性を見逃してしまう構造的な課題があります。
24時間体制で隅々まで高速スキャンを仕掛けてくるAIによる攻撃に対して、従来の年1回・外側からのチェックでは速度・網羅性ともに追いつきません。

なぜ、ソースコード診断がAIの攻撃に有効なのか

AIによる攻撃は速く、精度も高くなりました。それでも、調べ方そのものは人が攻撃していた頃と変わらず、外からリクエストを送って反応を見る「動的な調査」です。守る側が攻撃する側と同じ「外からの確認」だけで対抗すると、スピードと量で勝るAIに先を越されてしまいます。

理由1｜攻撃するAIが認識できるのは「入口」だけ

攻撃するAIが直接確かめられるのは画面やAPIの応答だけです。
認可の判定、業務ロジック、SQLの組み立てといった内部の処理は、応答から推測するしかありません。

理由2｜ソースコード診断は、入口から内部の処理まで直接たどれる

外から突かれる脆弱性の原因は、すべてコードの中にあります。ソースコードを読めば、入力がどの処理を通り、どこに届くかを直接確認できます。 このため、特定の条件がそろったときにだけ現れる問題や、権限の確認漏れも見つけやすくなります。
低いリスクがいくつか組み合わさって侵入につながる経路も、コード上でたどれます。
ソースコードという「設計図」を持っているのは守る側だけで、これが攻撃する側に対する一番の優位です。

理由3｜AIのスピードにはAIのスピードで対応

ソースコード診断は、動いているシステムに通信を送りません。そのため診断用の環境は不要で、本番への影響もありません。
リリースの前やコードを変えたタイミングで実施でき、報告書は7営業日以内にお届けします。
AIによる攻撃の前に、守る側が見つけて直すことができます。
一方、サーバーやクラウドの設定のように、コードには表れない問題もあります。
Webアプリケーション診断（動的診断）と組み合わせると、コードと実際の動きの両面から確認できます。

診断アプローチと脆弱性検出能力の構造比較

– WebアプリソースコードAI診断とは –「AI×S&Jの高度な知見」で攻撃者よりも早く脆弱性を先回り検出

お客様のWebアプリケーションのソースコードをお預かりし、AIによる解析に当社セキュリティエンジニアの知見を組み合わせて、診断結果を報告書にまとめるサービスです。リリース前の確認、取引先や監査への提出、Webアプリケーション診断と組み合わせた確認などに活用いただけます。

WebアプリソースコードAI診断の特長

Webアプリケーション診断との違い

コードを読む診断と、動いているシステムを外から試す診断は、見つけやすいものが違います。
Webアプリソースコード診断（静的診断）とWebアプリケーション診断（動的診断）との両方を組み合わせると、コードと実際の動きの両面から確認できます。Webアプリケーション診断も当社でご提供しております。

診断の方法

AIがソースコードを解析し、その結果をもとに報告書を作成してお届けいたします。
AIの解析には、米国の大手生成AIを使用いたします。

診断項目の例

次のようなカテゴリについて確認し、カテゴリごとに確認の結果を報告書でお示しします。

対応言語

次の言語で書かれたWebアプリケーションに対応しています。
ブラウザーで動く JavaScript / TypeScript（React・Vue などのフロントエンド）なども対象です。
以下以外の言語（Scala・VB.NET・Perl など）は、個別にご相談ください。

報告書

サービス導入・診断レポート提出までの流れ