国産AI脆弱性診断エンジン「Sovereign Dike」、
Web探索からAI分析・レポート生成までの一連の動作検証に成功

2026年10月13日、当社が用意した社内模擬Web環境を対象に、実際のAI API（OpenAI API）を呼び出して、次の一連の処理を実行しました。Sovereign Dikeによる診断は、検証の許可を得た対象・範囲においてのみ行うことを前提としています。

Evidence（証拠情報）は「診断の根拠となる情報」、Finding（診断候補）は「診断結果の候補」です。今回は、AIが整理した診断候補と、その根拠となる証拠情報とが自動で紐付けられ、「どの候補が、どの根拠にもとづいているのか」をレポート上でたどれる形で出力されることを確認しました。診断の結果を、根拠とあわせて経営者・技術者それぞれに届けるという、診断サービスの基本となる流れが、Live環境で最後までつながったことになります。

Sovereign Dikeは、9月13日の試作版、9月16日のパイロット版の受入確認、9月30日のPhase 1 End-to-End技術検証の完了と、段階を踏んで開発を進めてきました。今回は、実際のAI APIを呼び出して動かすLive環境で、AI分析を含む一連の診断処理が完走したことが新たな到達点です。9月30日の発表との主な違いは次のとおりです。

セキュリティ診断では、一つの確認結果から「次に何を確かめるべきか」が見えてくることがあります。人の診断担当者が、結果を見ながら次の確認方法を考えるのと同じように、AIが検証結果を確認し、次に何を調べるべきかを判断する仕組みが、Agentic Reasoning Loopです。

手法の考え方として、あらかじめ決めた項目を順番に確認する定型的な検査と比べると、次のような違いがあります。

※この比較は診断手法の考え方の違いを示したもので、特定の製品・サービスとの比較ではありません。

Sovereign Dikeでは、AIが仮説を立て、検証の方法を計画し、証拠を取得し、その結果を評価して、次の検証方法を選びます。このループを最大2回まで繰り返し、診断候補がどう更新されたかを更新履歴としてレポートに反映します。AIに判断を任せる一方で、同じ検証の繰り返し、許可された範囲の外への逸脱、実行予算の超過に当たった場合は先へ進めずに停止するなど、AIの判断と安全の仕組みを組み合わせて設計しています。

この仕組みは、SecureBankが並行して進めている、30BクラスのローカルLLM（Qwen）とセキュリティ課題の評価環境CyberGymを用いたCyber AI研究から生まれたものです。その研究で開発した仮説生成、Tool Router（検証手段の選択）、Feedback Controller（結果にもとづく再判断）などの技術を、Sovereign Dikeに再利用しています。なお、本リリースはCyberGymにおける性能や課題の解決実績を発表するものではありません。

診断結果をお客様へ分かりやすく、安全にお届けするための機能について、開発を進めています。

安全制御 ―「どこまで動いてよいか」「いつ止まるべきか」を仕組みにする

AIに検証の判断を任せる範囲が広がるほど、その範囲と止まる条件を仕組みとして決めておくことが重要になります。項目ごとに、現在の段階を示しています。

• 運用の前提

  許可された範囲内での診断

  診断は、検証の許可を得た対象・範囲に限って行います。許可のない対象への診断は行いません。

• 開発中

  Scope逸脱の防止

  AIが判断した次の検証が、許可された範囲（Scope）の外へ出る場合は、先へ進めず停止します。

• 開発中

  重複検証の制御

  同じ検証を繰り返すだけになっている場合は、それ以上進めず停止します。

• 開発中

  実行予算の制御

  あらかじめ定めた実行の予算（上限）を超える場合は、先へ進めず停止します。

• 開発中

  安全停止

  上記の条件に当たった場合に、処理を先へ進めず安全側で止める仕組みです。

• Live実行で到達を確認

  後片付けと完了状態の確認

  実行後の後片付け（Cleanup）を行い、完了状態（COMPLETE）に到達したことを確認します。

• 開発中

  完了状態に基づく納品制御

  後片付けと完了状態の確認が成功した場合に限り、レポートを納品できるようにする仕組みです。

※「Live実行で到達を確認」は10月13日のLive実行で到達したもの、「開発中」はLive実行での個別の実証を行っていないものです。商用化準備の各機能は、本番サービスとしての提供を開始したものではありません。

Sovereign Dikeは、こうした技術を組み合わせることで、企業のWebセキュリティ対策を次のように支えることを目指しています。

※いずれも将来の提供に向けて目指している価値であり、今回の検証で効果を測定・実証したものではありません。

確認できたことと、これから取り組むことを区別してお伝えします。

これまでのリリースと同様に、SecureBankは機能を実装した事実だけをもって成果を主張せず、確認できた範囲を区別して公表する方針を継続します。

次の段階として、以下を予定しています。

1. 1

   許可を得た実際のWebサイトでの診断予定

   検証の許可を得た実際のWebサイトを対象に、一連の診断処理を検証する予定です。

2. 2

   v0.4のLive追加検証予定

   今回のLive E2Eに続き、追加のLive検証を予定しています。

3. 3

   v0.5の自律2ループのLive実証予定

   Offline環境で完走した2ループ制御を、Live環境で実証する予定です。

4. 4

   日本語レポートの品質改善予定

   経営者向け・技術者向けの日本語レポートを、より分かりやすく実用的な内容へ改善していきます。

5. 5

   限定的な顧客Pilot予定

   範囲と条件を限定したうえで、お客様環境での先行検証（Pilot）を進める予定です。

6. 6

   ローカルLLM対応の研究予定

   外部のAI APIだけに頼らず、ローカルLLMでも診断処理を行えるようにするための研究開発を進めます。

7. 7

   将来的な顧客環境内での稼働予定

   将来的には、お客様の環境の中でSovereign Dikeを稼働させる形での提供を検討しています。

内容や順序、時期は検証の結果により変更となる可能性があります。

Sovereign Dike（ソブリン・ディーケ）は、SecureBankが国内で研究開発を進めるAI脆弱性診断エンジンです。探索・証拠情報の取得・AI分析・診断候補の整理・レポート生成・納品までを、安全制御と根拠の記録を伴って一貫して扱える基盤を目指しています。