AI駆動型外部攻撃面管理サービス「ShinobiScan EASM」を提供開始

OODAループに基づく自律型AIエージェントが、企業の外部攻撃面を網羅的に診断

株式会社セキュアベース

2026年2月24日 10時00分

株式会社セキュアベース（本社：東京都目黒区、代表取締役：阿部実洋、以下「当社」）は、AI駆動型の外部攻撃面管理サービス「ShinobiScan EASM」を2026年3月より正式に提供開始いたします。

※EASM：External Attack Surface Management

サービス提供の背景

DXの推進によるクラウド利用やリモートワークの拡大に伴い、企業が保有するIT資産は増加・点在し、サイバー攻撃の起点となりうる外部公開資産も広がっています。警察庁の調査（令和6年）では、国内ランサムウェア被害222件のうち8割以上がVPN機器やリモートデスクトップなどの外部公開資産を経由した侵入でした。一方で多くの企業では、クラウドサービスの急速な利用拡大、事業部単位での個別システム導入、M&A等により、情報システム部門が把握していない"野良IT資産"が増え続けており、攻撃者に狙われる外部公開資産の存在を把握できていないことが深刻な課題となっています。

この課題に対し、経済産業省は2023年5月に「ASM導入ガイダンス」を公表し、企業がASMを自社のセキュリティ戦略に組み込んで活用するための基本的な考え方や取組事例を整理しています。国家サイバー統括室も各府省庁を対象とした横断的アタックサーフェスマネジメント（ASM）事業を実施しており、外部攻撃面の可視化は官民共通の喫緊課題です。

セキュアベースは「サイバーリスクを可視化する」というコンセプトのもと、この喫緊の課題を解決すべく、サイバーセキュリティ分野の知見と最新のAI技術を融合し、外部攻撃対象面を可視化する「ShinobiScan EASM」を開発しました。

サービスの概要

AIエージェントが、発見・能動的偵察・診断/評価の3段階のフェーズにより、自律的に外部攻撃面を診断

ShinobiScan EASMは、AIエージェントが、発見（Discovery）・能動的偵察（Active Recon）・診断・評価（Assessment）の3段階のフェーズを持って自律的に外部攻撃面を診断する、国産EASMサービスです。情報システム部門が把握しきれていない外部公開資産を、OSINT（公開情報によるインテリジェンス）を起点に発見し、セキュリティ専門家の知見に依存していた脆弱性の評価・優先順位付けをAIが担うことで、対処の優先度が高いリスクを迅速かつ継続的に可視化します。

サービスの特長

1. OODAループによる自律型AIエージェント

AIエージェントエンジン「ShinobiScan」が、OODA（観察・判断・決定・行動）ループに基づき、各フェーズ内で発見結果から次のアクションを動的に判断する、自律思考型の診断を実現。24種のスキャナモジュールの選択からパラメータの動的調整、結果の相関分析、追加スキャンの要否判断までをAIが自律的に行い、把握外の資産を含む対象固有のリスクを検出。この技術により、人手では見落としがちな公開サービスや設定不備を、網羅的かつ自動的に検出します。

2. 統合リスクスコアリングによる優先順位付け

検出された脆弱性に対しては、CVSS（Common Vulnerability Scoring System：共通脆弱性評価システム）、EPSS（Exploit Prediction Scoring System：悪用予測スコアリングシステム）、米CISA KEV（Known Exploited Vulnerabilities catalog：既知の悪用済み脆弱性カタログ）、資産重要度、検出結果間の相関分析を統合した、独自のリスクスコア（0〜100点）を算出。特に、実際に悪用が確認されている脆弱性の検出状況を最優先で報告することで、ランサムウェア等の実被害に直結するリスクへの迅速な対応を支援します。

3. レポート品質の管理とインテリジェンス

偽陽性を自動判別・除外するバリデータや、「テスト環境の脆弱性」と「本番環境の脆弱性」を資産重要度で重み付けするコンテキストアウェア機能等により、膨大なログではなく対応優先度順に整理されたリストをレポート内で提供します。差分レポートでは、前回スキャンとの差分のみを抽出し、継続的な改善を定量的に可視化します。また、エンタープライズプランでは診断頻度・対象範囲・アラート通知方法・レポート形式などを企業ごとの要件に合わせてカスタマイズでき、CISOaaSによる伴走型支援と組み合わせることで、組織のセキュリティ運用に最適化した形でご導入いただけます。