NRIセキュアテクノロジーズ(NRIセキュア)は2026年10月15日、「AI駆動開発向けセキュリティ支援サービス」の提供を開始しました。対象は、生成AIやAIエージェントを使うソフトウェア開発を進める企業・組織です。AI利用のルール整備から開発工程の設計、脆弱性対応まで、4つのメニューで支援します。
利用ルールと、AIエージェントの動き方を整える
AI駆動開発は、生成AIや、指示に沿って作業を進めるAIエージェントを使う開発です。今回のサービスは、利用ルールを文書にする支援だけでなく、エージェントに渡す指示や設定の整備も含みます。
1つ目のメニューは、ガイドラインの整備です。AIエージェントの利用リスクや運用ルールを整理し、組織共通のガイドライン作りを支援します。ツールごとの設定・利用方法も対象です。利用者と管理者の役割を整理するため、開発部門と情シスの分担を検討する際の支援になります。
2つ目は、「AIエージェントハーネス」の整備です。これは、エージェントの指示ファイルや設定の一式を指します。参照ルール、利用できるツール、作業手順、想定する成果物などを定義します。整備後も自組織で改善できるよう、継続的な見直しや運用を支援します。
情シスが確認したいのは、共通ルールと実際の設定が対応しているかです。「誰が何を許可するか」というルールと、エージェントが実際に使えるツールを、開発部門と一緒に確認する材料になります。
開発工程での品質確認と、脆弱性対応を支援
3つ目は、AI生成物に起因するリスクに対応するための、開発プロセス全体の設計・提案です。同社によると、CI/CDを基に、品質基準を満たさないAI生成物を次の工程へ進ませない仕組みも構築可能です。CI/CDは、コードの統合やテスト、配布などを継続的に行う仕組みです。
4つ目は、AIを使った脆弱性対応のトリアージの導入支援です。トリアージとは、対応の優先度を付けることです。脆弱性、脅威、資産の情報に加え、組織がどの程度のリスクを許容するか、どのリスクを重く見るかなどを組み合わせます。
最終判断は人が行います。確認の負荷を軽減し、優先度の高い脆弱性に早く対応することを目指す仕組みであり、AIに判断をすべて任せるものではありません。
導入を検討する際は、生成物の確認と脆弱性対応を別々に考えず、開発工程のどこで誰が判断するかを整理することが重要です。価格、対応する個別ツール、具体的な管理画面の名称は、発表には書かれていません。
影響する会社・しない会社
- 影響する: 生成AIやAIエージェントを使うソフトウェア開発を進めている企業・組織。今回のサービスの対象です。
- 影響する: 上記の開発で、組織共通のルール、ツール別の設定、AI生成物の品質確認、脆弱性対応の優先度付けを整えたい企業・組織。各支援メニューと自社の課題を照合できます。
- 影響しない: 生成AIやAIエージェントをソフトウェア開発に使っていない企業・組織は、発表された対象には当たりません。文書作成など、開発以外のAI利用を支援するかは発表には書かれていません。
情シスが今日やること
以下は、導入を検討するための確認手順です。発表で対応期限が指定されたものではありません。
- 開発部門に利用状況を確認する。 利用中の生成AI・AIエージェントと、担当する開発工程を一覧にします。まず、今回のサービスの対象に当たるかを確認してください。
- 利用ルールと設定を突き合わせる。 社内ガイドライン、利用中ツールの管理画面、エージェントの指示ファイルを開発担当者と確認します。参照ルール、利用可能なツール、作業手順について、誰が設定し、誰が承認するかを記録します。画面や項目名は利用ツール側で確認してください。
- 次の工程へ進める判断を確認する。 開発部門と、AI生成物の品質基準、確認する工程、合否を判断する担当者を整理します。CI/CDを使っている場合は、その設定と処理結果も確認対象にします。
- 脆弱性対応の判断材料をそろえる。 セキュリティ担当者と開発責任者に、脆弱性・脅威・資産の情報を共有します。優先度の判断基準と最終判断者を整理し、次の開発着手前までに、どの支援メニューを相談するか決める進め方が考えられます。
開発部門との権限分担を整理する際は、開発者に管理者権限を渡す?開発部門と情シスが折り合う決め方も参考になります。
