セキュア・バンク、国産AI脆弱性診断基盤「Sovereign Dike」の
商用化に向け実行基盤の構築が進展

Webサイトや業務システムを狙うサイバー攻撃は、企業の規模を問わず広がっています。一方で、脆弱性診断を担うセキュリティ専門人材は不足しており、特に中堅・中小企業にとっては、専門家による診断を定期的に受けることが、費用や体制の面で負担になりやすいのが実情です。

SecureBankは、この課題に対し、AIを活用して脆弱性診断の作業を自動化・効率化する「Sovereign Dike」の研究開発を進めてきました。2026年9月にはローカル検証環境で一連の技術検証を完了し、10月には社内模擬Web環境で、Webサイトの探索からAIによる分析、レポート作成までが一連で動作することを確認しています。

一方で、技術として「動く」ことと、企業が安心して「使える」サービスとして提供することの間には、大きな隔たりがあります。診断を安定して実行するための環境、許可された範囲だけを安全に診断するための管理、専門知識がなくても利用できる操作方法が欠かせません。今回の取り組みは、この隔たりを埋めるためのものです。

進展① 商用運用を想定した実行環境の整備

これまでの技術検証は、研究開発用の環境で行ってきました。今回、Sovereign Dikeの診断を商用運用を想定した環境で実行するための基盤の配置を進め、構成要素の配置と検証を実施しました。あわせて、実行基盤を構成する監視・実行管理機構の起動と有効化を確認しています。

• 配置・検証を実施

  Production Runtime

  商用運用を想定して整備している、Sovereign Dikeの診断を実行するための環境です。配置時点では、診断はまだ開始していません。

• 起動・有効化を確認

  Broker Observer

  実行基盤を構成する監視の仕組みです。

• 起動・有効化を確認

  Execution Manager

  実行基盤を構成する、診断の実行を管理する仕組みです。

研究開発の段階から、商用運用を想定した実行環境の整備へと進んだことが、今回の中心となる進展です。今後は、この環境で、検証の許可を得た実際のWebサイトを対象とした一連の診断を検証していきます。

進展② 診断の安全管理機能

AIによる脆弱性診断を企業のWebサイトに対して行うには、「許可された対象だけを」「許可された範囲で」「相手のシステムに負担をかけずに」診断し、必要なときには確実に止められることが前提になります。Sovereign Dikeでは、診断範囲、実施承認、実行量、二重実行、証拠管理、納品前確認などの安全管理機能を開発し、検証環境で確認を進めています。未確認の範囲は、項目ごとに示しています。

• 検証環境で確認中

  診断対象Scopeの制限

  診断してよい対象と範囲（Scope）をあらかじめ定め、その範囲の外へは診断を進めないための仕組みです。

• 検証環境で確認中

  所有・管理権限と同意（Consent）の紐付け

  診断の申込みを、対象サイトの所有・管理権限の申告と、診断への同意（Consent）に紐付けて扱うための仕組みです。

  所有・管理権限を独立に自動で証明する仕組みは未確認です。

• 検証環境で確認中

  診断実施の承認

  診断の範囲や条件について承認を得てから、診断を開始するための仕組みです。

• 検証環境で確認中

  実行Budget・リクエスト数の制限

  実行量の上限（Budget）と、対象のWebサイトへ送るリクエストの数に上限を設け、相手のシステムに過度な負荷をかけないための仕組みです。

  本番環境での負荷制御は未確認です。

• 検証環境で確認中

  二重実行の防止

  同じ診断が誤って重複して実行されないようにするための仕組みです。

• 検証環境で確認中

  Emergency Stop（緊急停止）

  想定外の状況が起きた場合などに、診断を直ちに止めるための仕組みです。

  Live実行中の緊急停止は未確認です。

• 検証環境で確認中

  Evidence（判断根拠）の管理

  診断結果の根拠となる情報を取得・保存し、何を根拠にそう判断したのかを後からたどれるようにします。

• 検証環境で確認中

  Human Reviewと納品制御

  AIが作成したレポートをそのまま納品せず、当社の担当者の確認が完了するまで納品できないようにするための仕組みです。

  お客様への納品までは未確認です。

※「検証環境で確認中」は、実装を進め、当社の検証環境（オフライン）で動作の確認を進めているものです。商用実行環境や実際のWebサイトでの実証を示すものではありません。

進展③ 操作を簡素化する「Start-on-Click」方式

脆弱性診断の実行には、本来、診断の設定や実行の管理など専門的な操作が伴います。Sovereign Dikeでは、URL入力と同意・開始操作を起点に、内部の実行管理を自動化する「Start-on-Click」方式を開発し、オフライン環境で動作を検証しました。URLの入力、診断への明示的な同意、開始操作から、内部の実行IDの生成、診断処理、後片付け（Cleanup）までを自動で処理する流れを確認しています。開始操作が二重に行われた場合に、診断が重複して実行されないことも確認しました。

専門的な操作を減らすことで、セキュリティの専門家が社内にいない企業でも利用しやすい診断サービスを目指しています。なお、今回の検証はオフライン環境で行ったもので、お客様向けの画面で実際のWebサイトを診断したものではなく、提供を開始したものでもありません。

経営者向け・技術者向けPDFレポートの生成を確認

外部と切り離した検証環境で、経営者向け・技術者向けのPDFレポートの生成を確認し、レポートの記載内容と根拠となる情報（Evidence）との紐付けも検証しました。2026年10月14日の発表時点では日本語PDFレポートを開発中としていましたが、その後の開発により、10月19日に検証環境での生成を確認したものです。

この検証では外部のAIを呼び出さず、あらかじめ用意した検証用のデータを用いています。担当者による確認（Human Review）は完了しておらず、レポートの納品も行っていません。今後、商用化に向けた接続検証と品質改善を進めます。

これまでの検証で確認している技術基盤

今回の進展は、これまでに公表してきた次の技術検証の成果の上に成り立っています。いずれも今回の新しい成果ではなく、既に発表済みの到達点です。

• Web探索からレポート作成・完了処理までの一連の動作

  URLを起点とした探索、証拠情報（Evidence）の取得、AIによる分析、診断候補（Finding）の整理、経営者向け・技術者向けのレポート作成、後片付け（Cleanup）までが、一連の処理として動作することを確認しています。

  2026年10月14日発表／社内模擬Web環境でのLive検証

• AIによる複数段階の処理

  AIが検証結果を確認し、次に何を調べるべきかを判断して再び検証へ戻る処理について、その制御の流れを確認しています。

  2026年10月14日発表／Offline環境の統合テスト

• 監査記録と検証処理を含む一連の実行

  過去の実行結果を引き継がない新しい状態から、監査記録（Audit）の作成と検証処理までを含む一連の実行を完了しています。

  2026年9月30日発表／ローカル検証環境

※検証の環境はそれぞれ異なります（ローカル検証環境、社内模擬Web環境、Offline環境の統合テスト）。今回整備を進めている商用運用を想定した実行環境での検証とは別のものです。

Sovereign Dikeは、AIモデルだけで脆弱性を診断する仕組みではありません。AIの実行や判断を制御する独自の仕組み（Harness）と、安全管理・根拠の記録を組み合わせた診断基盤として開発しています。

これまでのリリースと同様に、SecureBankは確認できた範囲と今後の予定を区別して公表する方針を継続します。

SecureBankは、セキュリティ専門人材の不足という社会課題に対し、AIを活用した脆弱性診断を通じて、中堅・中小企業を含む幅広い企業が利用しやすいセキュリティ対策の実現を目指しています。国内で独自に開発するAIセキュリティ技術の事業化に向けて、次の取り組みを進めていく予定です。

1. 1

   商用実行環境での一連の診断の検証予定

   今回整備を進めている実行環境で、検証の許可を得た実際のWebサイトを対象に、URL入力からレポート作成までの一連の診断を検証する予定です。

2. 2

   安全管理機能・Start-on-Click方式・PDFレポートの完成度向上予定

   検証環境で確認を進めている安全管理機能、操作方式、PDFレポートについて、商用化に向けた接続検証と品質改善を重ねていきます。

3. 3

   実証実験・技術連携の推進予定

   範囲と条件を限定した実証実験や、パートナー企業との技術連携を進めていきます。

4. 4

   中堅・中小企業でも利用しやすい診断サービスの提供予定

   専門人材の確保が難しい企業でも利用しやすい形での、診断サービスとしての提供を目指します。

5. 5

   継続診断サービスへの展開予定

   Webサイトの更新に合わせて定期的に確認できる、継続的な診断サービスへの展開を検討しています。

内容や順序、時期は検証の結果により変更となる可能性があります。