KDDI、AI脆弱性管理サービスを開始
- •KDDI、IT資産の脆弱性を診断し設定変更や改修まで担うサービスを提供開始
- •ラックとKDDIが3種の診断を組み合わせ、侵入経路や設定不備を可視化
- •複数のAIエージェントがコードを分析し、悪用リスクの高い脆弱性を優先抽出
KDDIは2026年10月28日、IT資産の脆弱性を診断し、対処まで担う「AI脆弱性管理ソリューション」の提供を始めました。ネットワークからシステムまでリスクを横断的に把握し、悪用の可能性や業務への影響度に応じて課題の優先順位を付けます。設定変更やシステム改修も含め、KDDIグループが一貫して対応します。
サービスはCTEM（脅威にさらされる範囲を継続管理する考え方）に基づき、攻撃対象領域の把握、脆弱性の評価、対策の優先順位付け、継続的な改善を包括的に管理します。多くの企業では、IT資産の把握漏れ、対応順の判断、海外拠点や関連会社を含む継続管理が課題になっており、CTEMへの需要が高まっているとしています。
診断は、ラックが提供する「侵入経路診断」と、KDDIが提供する「AIネットワークコンフィグ診断」「AIソフトウェア診断」の3つを組み合わせます。単独の診断では見つけにくい侵入経路を可視化し、優先して対処すべき課題を提示します。
侵入経路診断では、海外拠点や子会社を含むIT環境を対象に、インターネット公開システムを攻撃者の視点で調べます。外部からアクセスできるIT資産や公開ポートを確認し、攻撃の入口になり得る箇所を可視化します。
AIネットワークコンフィグ診断では、KDDIの知見を反映したAIがファイアウォールなどのネットワーク設定を解析し、過剰な通信許可や多要素認証（MFA）の未設定といった不備を自動抽出します。ネットワーク機器やOSの脆弱性も確認し、エンジニアがAIの解析結果を評価したうえで、診断レポートと改善策を提示します。
AIソフトウェア診断では、フロンティアAIを活用した複数のAIエージェントがソースコードを分析し、コード上の不備や潜在的な脆弱性を検出します。米サイバーセキュリティ・社会基盤安全保障庁（CISA）の脆弱性対応指針「BOD 26-04」などを活用し、悪用リスクが高い脆弱性を優先して抽出します。人手で時間をかけていたトリアージ（対応の優先順位付け）を自動化します。
サービスの対象には、国内外に展開する企業グループと取引先企業も含まれます。KDDIは、本社、海外拠点、子会社、取引先企業に同じ水準のセキュリティ管理を提供するとしています。提供文には開始日以外の数値実績や価格は記載されていません。詳細には、設定診断の対象となる不備、診断を担う各社、サービスの対象範囲が示されています。KDDIは、リスク評価から設定変更や改修までを担うと説明しています。