AIスキャナーの限界を踏まえたAppSec運用設計と脆弱性管理の考え方

AI普及で脆弱性は増えるが、管理の難易度も上がる

AIの普及により、ソフトウェアの脆弱性は見つけやすくなりました。一方で指摘件数が急増し、開発現場の対応能力を超えるケースも増えています。

脆弱性が「大量に検出される」こと自体は悪い話ではありません。ただ、修正判断や優先順位付けが追いつかなければ、リスク低減につながりにくくなります。

こうした状況で注目されるのが、AIを活用したセキュリティスキャナーです。便利な反面、出力の扱い方を誤ると、運用が形骸化する懸念があります。

複数ツールで結果が一致しない、再現できないという課題

海外のセキュリティ企業が公開した調査報告では、同一のコードベースを複数のAIスキャナーで分析しても、検出結果の一致率が非常に低いことが示されています。

また、同じAIスキャナーを繰り返し実行しても、以前に検出した結果が十分に再現されない例も報告されています。これは精度だけでなく、一貫性にも課題があることを意味します。

重要なのは、AIスキャナーが無意味だという結論ではない点です。開発サイクルの適切な場所に「ツールの一つ」として組み込み、役割を明確にすることが求められます。

スキャン結果をうのみにしないための評価軸と運用の要点

AIスキャナーの出力は、網羅的で確実な判定として扱うのではなく、限界を前提に運用する必要があります。誤検知や見落とし、再現性の問題が起こり得ます。

そのため、指摘内容は「なぜ危険なのか」「どこを直すのか」を人が確認し、対応の要否と優先度を決めるプロセスが欠かせません。通知の山を作らない設計が重要です。

さらに、スキャンだけではなく実行時の可視性、つまり本番・検証環境で何が起きているかの把握が鍵になります。攻撃者が到達し得る箇所から対処する考え方が現実的です。

• 役割分担を決める：AIスキャナーは一次検知や候補抽出に位置付け、最終判断は人が行う。
• 到達可能性で優先度を付ける：外部公開、認証・権限、重要データ周辺から先に確認する。
• 継続評価する：一致性・再現性・改修効果を見ながら、ルールと運用を調整する。

まとめ

ネットワークベンダーとして、PSIではAIスキャナーを「万能な診断者」として扱うのではなく、多層防御の一部として組み込む考え方を推奨します。

具体的には、開発時の検出と、人のレビューによる判断、そして実行時の可視性を組み合わせます。検出数の多さに振り回されず、優先順位付けを軸に運用します。

加えて、ゼロトラストの前提で権限設計やセグメンテーションを見直し、侵害を前提とした監視・検知の設計を進めることが、AppSecの実効性を高めます。

会社概要

社名：株式会社ピーエスアイ（PSI）
所在地：〒160-0022 東京都新宿区新宿5丁目5-3 建成新宿ビル4階
設立：1994年
TEL：03-3357-9980
FAX：03-5360-4488
URL：https://www.psi.co.jp
事業内容：サイバーセキュリティ製品の販売および導入支援、運用サポート、ITコンサルティング

報道関係者様からのお問合せ先

株式会社ピーエスアイ
広報担当：内藤
電話番号：（03）3357-9980
Eメールアドレス：psi-press@psi.co.jp