セキュア・バンク、国産AIセキュリティ診断基盤「Mini Dike」の試作版を開発
― URL入力から攻撃経路の探索・脆弱性判定・レポート生成までを自動実行

SecureBankは2026年8月より、Open Weightモデルを基盤としたサイバーセキュリティ領域特化型AI「Cyber AI」の独自研究開発を進めてきました。ここまでに積み上げてきた考え方は、次のとおりです。

• Evidenceに基づく探索
• 実行結果を踏まえた再検証
• 有益な再検証と停滞の区別
• Harnessによる探索の制御

これらはいずれも、評価環境の中で確かめてきたものです。今回のMini Dikeは、その考え方を、実際の診断業務で利用できる形へ近づける取り組みにあたります。

自動診断で問題になりやすいのは、指摘候補が大量に並ぶ一方で、それぞれがどこまで確かなのかが分からない、という状態です。Mini Dikeでは、単に指摘候補を列挙するのではなく、探索経路、検証結果、Evidence、判定、レポートまでを一貫して扱うことを設計の前提としています。どの指摘が、どの検証結果に基づいて確認済みと判断されたのかを、レポートからたどれる構成です。

あわせて、中堅・中小企業でも利用しやすい、小型で国内運用可能な仕組みを目指しています。今回の試作版は、専用の大規模な計算基盤ではなく、一般的なWindows PCとDocker環境で動作を確認しました。

Mini Dikeは、国内・閉域環境での運用を視野に入れた「Sovereign Cyber Security AI」構想の一部として開発しているものです。

今回の試作版では、診断対象のURLを入力してからレポートが生成されるまでを、次の一連の流れとして実行します。

1. URL入力
2. Recon
3. 分析入力生成
4. 仮説生成
5. 自律検証
6. Finding生成
7. レポート生成

はじめに、診断対象の公開Surfaceを探索します（Recon）。探索で得られた情報は、以降の判断に使える形へ整理され（分析入力生成）、確かめるべき観点が立てられます（仮説生成）。

続いて、その観点を実際に確かめ、結果をEvidenceとして記録します（自律検証）。ここで得られたEvidenceに基づいて、Attack Pathの整理・可視化と、確認済みFindingの確定を行い、最後に日本語のHTMLレポートを生成します。

人間が行うのは、診断対象のURLを指定するところまでです。今回のデモ環境では、そこからレポート生成までを、途中の操作なしで完走しました。

レポートは、経営層と技術担当者の双方が読めるよう、次の要素を含む日本語のHTMLとして自動生成します。掲載するのは、確認済みの指摘事項だけです。

許可されたローカルのデモ環境において、次の内容を確認しました。

• 3 Hop／4 Surface／7 Evidence：デモ環境で確認したAttack Pathの規模です。到達できた経路のつながりが3 Hop、探索できた公開Surfaceが4件、経路の裏付けとして用いた検証結果の記録が7件でした。到達できたこと自体は、脆弱性の確定を意味しません。
• HIGH 1件／MEDIUM 2件：Evidenceで裏付けられ、確認済みとしてレポートへ反映した指摘事項の件数です。意図的に脆弱な状態を用意したデモ環境での結果です。
• デモ統合受入試験 17／17：試作版が想定どおりに動作するかを確かめる、機能・統合の受入試験17項目すべてに合格しました。

あわせて、人間による途中の操作を必要とせずURL入力からレポート生成まで完走したこと、および一般的なWindows PCとDocker環境で動作したことを確認しています。

自動診断では、確からしくない指摘まで脆弱性として扱ってしまうと、対応の優先順位を誤らせる原因になります。Mini Dikeでは、確定できないものを確定しないための設計を組み込んでいます。

指摘の件数を増やすことよりも、掲載した指摘がどこまで裏付けられているかを明確にすることを優先する設計です。

今回確認したのは試作版の一連動作までです。ここから先は、対応範囲の拡張と、繰り返し確かめる評価へ進みます。次の項目を開発計画として想定しています。

開発段階の発表として、確認できた範囲と、確認できていない範囲を明確に区別します。現時点で確認しているのは、許可されたローカルのデモ環境において、URL入力から探索、検証、脆弱性判定、顧客向けレポート生成までの一連の処理が動作することです。実環境における網羅的な脆弱性検出性能、既存診断サービスとの性能比較、CyberGym課題に対するMini Dikeとしての汎化性能を確認したものではありません。

そのうえで、今回確認できたこと・確認できていないことを整理すると次のとおりです。

第1弾のプレスリリースから一貫して、SecureBankは機能を実装した事実だけをもって性能を主張せず、客観的な評価結果が得られた段階で公表する方針を継続します。