サイバー攻撃は、
いつ起こるかわからない。
情報漏洩につながる脆弱性を、
毎日チェック。
AIがシステムの脆弱性を自動検査し、修正まで支援。
年一度の診断から、毎日守り続ける新しいセキュリティ対策へ。
インフラ・SREの専門企業Hexabaseが設計・保守します。
AI-SecBox｜社内設置型 AI脆弱性検査・修正検証環境
サイバー攻撃の侵入口。その多くが、ソフトウェアの脆弱性です。
2026年版のVerizon DBIRでは、侵害の31%がソフトウェアの脆弱性から始まり、盗まれたパスワードを抜いて最多の侵入経路になりました。脆弱性は公開の直後から悪用され、狙われるのは外部公開のサービスだけではありません。JPCERT/CCも、BIツールや従業員向けの管理システムなど、外部からのアクセスを想定していないシステムの被害を受けて、幅広いシステムの点検を呼びかけています（2026年10月）。
侵害のうち、ソフトウェアの脆弱性が起点だった割合（最多の侵入経路）
出典：Verizon DBIR 2026開示された脆弱性のうち、認証なしで悪用できたもの
出典：IBM X-Force Threat Intelligence Index 2026BIツールMetabaseの脆弱性（CVE-2026-72898、CVSS 10.0）が公開された翌日に、米国CISAの悪用済み脆弱性リスト（KEV）に追加
出典：NVD国内のランサムウェア被害の報告件数（2026年上半期、半期として過去最多）
出典：警察庁ランサムウェア被害で、復旧に1,000万円以上かかった組織の割合
出典：警察庁導入の有無で変わること
| 項目 | 導入していない場合 | 導入している場合 |
|---|---|---|
| 脆弱性の発見 | 次回の診断まで気づかない（最長で1年） | 毎日の定期検査で発見 |
| 修正に着手するまで | 担当者の手が空くまで待つ | AIが修正案を作成し、承認を待つ状態にする |
| 管理対象から漏れたサーバー | 診断の対象外のまま放置される | AIが見つけて管理対象に登録する |
※ 数字は2026年10月時点の公表資料によります。
技術はある。リスクが放置されている原因は、３つの壁にあります。
ソースを出せない
機密管理の規程により、ソースコードや脆弱性情報をクラウドの検査ツールに預けられない。
修正するリソースが無い
診断の報告書は届くが、修正する人が足りず、同じ指摘が翌年も残る。
入口は放置サーバー
攻撃者は管理対象から漏れた周辺のサーバーから侵入する。年1回、最重要システムだけを対象にした診断では届かない。
社内に置く、脆弱性検査と自動修正の専用機
AI-SecBoxは、検査・修正・検証・記録を行うAIと、それを動かすハードウェアを一体で提供します。利用するのは情報システム部門・開発者・内部監査の3者です。LLMも専用機の中で動作します。クラウドのLLMを使うのは、事前に決めた工程で上位モデルに切り替える場合だけです。その際も機密情報は伏せ字にし、送信内容を記録します。
守れる
ソースコードも検査結果も社外に出さない。LLMも専用機の中で動作する
修正する
AIが修正し、別のAIがレビューし、専用機の中で検証する。適用とリリースはお客様の通常の手順で行う
統制が効く
変更管理と職務分離が仕組みとして動き、J-SOX・ISMS・SCS評価制度の証跡がそのまま残る
検査の対象：自社で開発・運用しているアプリケーション（ソースコード）と、社内のサーバーです。誤送信や設定ミスなど、脆弱性を起点としない情報漏洩は対象外です。
1件の脆弱性は8つの工程を通ります。
「直したはず」では終わらせません。
- 01
検出
スキャナーが脆弱性を見つける
- 02
正規化
結果の形式をそろえ、識別子（指紋）を付ける
- 03
トリアージ
優先度を判断する
- 04
修正
AIが修正案を作る
- 05
レビュー
修正したAIとは別のAIが確認する
- 06
検証
専用機の中の検証環境で自動テストを行い、お客様が動作を確認する
- 07
適用・リリース
お客様の変更管理プロセスで適用する
- 08
再検査
実環境で直ったことを確かめる
AIが本番環境やお客様のリポジトリを直接変更することはありません。本家のリポジトリをSecBox内のGitレポジトリにミラーし、修正と検証は専用機の中で行い、修正案（プルリクエストまたはパッチ）として提出します。検証環境は動作確認専用で、期限付き・テスト用データのみ・外部通信遮断で運用します。
専任のセキュリティ担当がいなくても運用できます。
検査から修正案の作成まではAIが行います。お客様が行うのは、修正内容の承認と適用だけです。ソフトウェアや脆弱性データの更新は、年間保守でHexabaseが行います。
安全なアップデートと、安心の継続利用
ソフトウェアの更新時には、安全性を確認してから適用します。年間保守契約が終了しても専用機はそのまま利用でき、ソフトウェアの更新のみが停止します。
| 作業 | 担当 | 頻度 |
|---|---|---|
| 脆弱性の検査 | AI-SecBox（自動） | コード更新時・毎日 |
| 修正案の作成・レビュー・検証 | AI-SecBox（自動） | 検出のたび |
| 修正内容の承認・適用 | お客様 | 修正案の提出時 |
| 月次レポートの作成 | AI-SecBox（自動） | 毎月 |
| 脆弱性DB・ルール・EPSS／KEVの更新 | Hexabase（年間保守） | 毎日 |
| Captain・Kubo・SecBoxの版の更新 | Hexabase（年間保守） | 毎月 |
| スキャナーの差し替え（検証済みOSS） | Hexabase（年間保守） | 毎月 |
| ローカルLLMの更新 | Hexabase（年間保守） | 四半期ごと |
最新の脆弱性情報を、毎日取り込みます
セキュリティの状況は日々変わります。AI-SecBoxは、米国CISAの悪用済み脆弱性リスト（KEV）や、悪用される確率の予測スコア（EPSS）など、信頼できるデータソースから脆弱性情報を毎日取得します。取得した情報で検査ルールと修正の優先度を更新し、公開直後から悪用される脆弱性を先に直せるようにします。
バックエンド・インフラ・SREの専門企業が、設計から保守まで担います。
Hexabaseは、Kubernetes基盤「Kubo」を自社で開発し、AI駆動開発環境「AI-DevBox」を提供しているバックエンド・インフラ・SREの専門企業です。AI-SecBoxは、その延長線上にあるサービスです。
専用機を安定稼働させてきた実績があるから
K3s・コンテナ・AIエージェントを1台の専用機に統合する構成は、自社のKubo基盤で培ったものです。
AIに任せきりにしない運用設計ができるから
AIエージェント実行基盤「Captain.AI」を中心に、自社のAI駆動開発そのものを通じて積み重ねてきた、人の承認を介したAIエージェント運用のノウハウを活かしています。
統制の厳しい業種と向き合ってきたから
金融・公共・重要インフラのお客様を支援する中で、監査や規制に対応するための仕組みづくりを重ねてきました。
監査で問われる「誰が承認し、何を変え、どう確かめたか」を、レポートにすべて記録します。
月次レポートと経営向けのサマリーで、セキュリティ対策の実施状況を定期的に経営層へ報告できます。
| 枠組み | 求められること | AI-SecBoxの仕組み | 残る証跡 |
|---|---|---|---|
| J-SOX IT全般統制 | 変更管理・アクセス管理 | 変更管理台帳と職務分離 | 承認とテストの記録 |
| ISMS（ISO/IEC 27001:2022） | 技術的脆弱性の管理 | 毎日の検査と修正 | 検査の実行履歴 |
| ISMS（ISO/IEC 27001:2022） | 変更管理・環境の分離 | 専用機の中の検証環境 | 追記型の監査ログ |
| SCS評価制度 | ★3・★4（上位格付け）に必要な対策 | 月次レポート | 証跡パック |
| 金融庁ガイドライン・FISC | 証跡の提出 | 台帳と証跡 | 経営向けのサマリー1枚 |
設置要件の確認とPoCから始め、小さく導入して広げます。
- 1
ヒアリング
対象サービス数、拠点、利用中の検査ツールを確認します。
- 2
設置要件の確認
設置場所・電源・ネットワークを確認します。A・Bで使うGB10は体積約1.1L、消費電力280Wの小型機です。
- 3
PoC
実際のリポジトリで検査と修正を試し、貴社の年商・サービス数・診断費用で投資対効果を算出します。
- 4
導入
専用機を設置し、初期設定を行います。
- 5
運用開始・拡張
対象サービスの追加、エッジの追加、上位プランへの拡張に対応します。
導入費用の約4.5倍の経済効果。
3年間で約7,320万円の損失回避効果を試算。
投資対効果シミュレーション（Bプラン・3年間）｜2026年10月時点の試算
- ✓3年間の総費用1,610万円に対し、想定される損失回避額は約7,320万円。投資回収期間は約6か月と試算しています。
- ✓試算方法： サイバー攻撃の発生確率、想定被害額、脆弱性に起因する攻撃の割合、脆弱性への対応期間の短縮効果をもとに算出しています。
- ✓試算の前提： 脆弱性の発見から対応までの期間を、従来の43日から数日程度に短縮することを想定。なお、2026年上半期の警察庁の調査では、ランサムウェア被害の復旧費用が1,000万円以上となったケースが約6割を占めています。
- ✓貴社に合わせた効果試算も可能です。 PoCでは、年商・運用サービス数・現在の脆弱性診断費用などをもとに、導入による経済効果を個別に算出します。
料金（税抜）
| 導入の形 | 構成 | 本体価格 | 年間保守費用 | 初年度合計 |
|---|---|---|---|---|
| A（エッジ最小） | GB10×1 | 640万円 | 140万円 | 780万円 |
| B（並列と隔離） | GB10＋ミニPC×3 | 1,040万円 | 190万円 | 1,230万円 |
| C-S（データセンター） | 汎用3台＋GPU×4 | 1,200万円＋約4,400万円 | 360万円 | 約5,960万円 |
| C-M（データセンター・主力） | 汎用3台＋GPU×8 | 1,800万円＋約6,200万円 | 540万円 | 約8,540万円 |
| C-L（データセンター・旗艦） | 汎用3台＋H200×8 | 2,400万円＋約8,300万円 | 720万円 | 約1億1,420万円 |
| Cのエッジ追加（1台あたり） | GB10＋ライセンス | 400万円 | 80万円 | 480万円 |
※ AI-DevBoxの専用機をお持ちの場合は、追加ライセンスで導入できます（初年度260万円＝本体180万円＋保守80万円）。
※ Cの本体価格はライセンス＋ハードウェア（概算）です。初年度合計＝本体価格＋年間保守費用。
※ 金額・試算はすべて2026年10月時点の計画値です。正式なお見積りは個別にご提示します。
同じ専用機で、データ活用や業務効率化にもAIを使う
AI-SecBoxの専用機を各拠点やオフィス（エッジ）に置き、セキュリティ以外の業務にも広げられます。
| オプション | できること | 設置のイメージ |
|---|---|---|
| 文書の重要情報チェック | ファイルサーバーにたまった社内文書（PDF、CSVなど）を分類し、スキャンしたPDFはOCRで読み取って、個人情報などの重要情報が含まれていないかをチェックする | オフィスに設置し、部署内で完結 |
| ログ分析レポート | syslog・監視メッセージ・アクセスログ・操作ログを紐づけて分析する。「特定のイベント日に特定のシステムの負荷が上がる」など、業務とシステムの相関も可視化する | データセンターの各サブネットに1台ずつ |
| データ利活用 | Databricks・Snowflake・BigQueryなど、複数のデータソースを横断して活用する。社内（ローカル）での利用が基本 | 各拠点（エッジ） |
| AIモデル利活用 | フロンティアAIを中心に、用途に応じて複数のAIモデルを使い分ける。利用ルールを制御するガードレール付き | 各拠点（エッジ） |
| モダナイズ支援 | 既存システムのモダナイズを支援する（バッチ処理・ジョブネットを含む） | 確認中 |
※ 各オプションの価格・提供開始時期は未定です。詳細はお問い合わせください。
今ある診断とツールは、そのまま使い続けられます。
AI-SecBoxは専門家による診断を置き換えるものではありません。対象ごとに役割を分けて使います。
| 対象 | 対応 |
|---|---|
| 最重要システム | 専門家の診断・ペネトレーションテスト（年1〜2回）＋AI-SecBoxによる毎日の検査 |
| その他のシステム | AI-SecBoxが検査から修正案の作成、検証まで実施 |
| 管理対象から漏れたサーバー | AIが見つけて管理対象に登録。担当者を決めるか、停止する |
既存ツールとの連携
SonarQube、Semgrep Pro、GitHub Advanced Security、GreenboneなどはAPIで接続できます。契約中の商用ツールはそのまま使い、OSSのスキャナーはHexabaseが検証したものを署名付きで配布します。OSSだけでも6種の検査がそろいます。
FAQs
AI-SecBoxの導入について、よくいただくご質問です。
導入を検討するとき
導入の形
安全性・法務
