GMOインターネットグループでプロダクト開発組織向けにサイバーセキュリティ関連事業を展開するGMO Flatt Security株式会社（代表取締役社長：井手 康貴）は、2026年10月13日（火）、ホワイトペーパー「AIによるセキュリティ診断・ペネトレーションテストの現在地 v2026.10」を公開しました。

本ホワイトペーパーは、オープンウェイトモデルを含む複数の最新AIモデルに対して同社が独自に実施した評価実験と、国産のセキュリティAIエージェント「Takumi byGMO（以下、Takumi）」の運用データをもとに構成されています。AIの能力が変化するなか、防御側がAIによる脆弱性診断やペネトレーションテストを導入する上で不可欠となる要件を詳述しています。

AIモデルの急速な進化と実務導入における課題

サイバー攻撃におけるAIの活用は、脆弱性を探す段階から実際にシステムを攻撃するフェーズへと移行しています。2026年7月、Anthropic社は従来の脆弱性発見テスト（CyberGym）において最上位モデルが満点に近いスコアを記録し評価指標として機能しなくなったとしてテストを廃止し、実践的な攻撃コード（エクスプロイト）の生成能力を計測するテスト（ExploitGym）などを導入しました。このテストでは、特定の条件下でWebブラウザ「Firefox 147」の脆弱性を悪用した攻撃を98.0%の確率で成功させたモデルが報告されています。

2026年9月には、OpenAI社が「GPT-6 Astra」を同社評価でサイバーセキュリティ能力が最も高い「Critical」に初めて分類したモデルとして9月1日に発表しました。同日にはAnthropic社が「Claude Mythos 5.1」を発表し、9月22日には同等の能力に匹敵するとされる「Claude Opus 5.5」が公開されるなど、高度なエクスプロイト生成能力を備えたモデルが登場しています。

一方で、こうした高い性能は検証環境や専用ハーネスが周到に用意されて発揮されるものであり、一般にモデルを導入するだけではテストと同様の性能を引き出すことは難しいとされています。実務での運用には、各AIモデルの特性を見極めた上で安全に連携・自動実行させる環境構築や、開発プロセスへの統合といった運用フローの再設計が必要とされています。

ホワイトペーパーでは、フロンティアモデルからオープンウェイトモデルに至る最新AIのセキュリティ能力の実態と、開発フローへの組み込み方法が解説されています。

• 脆弱性の発見能力の向上

「Takumi」において2026年7月1日から9月30日までにAIによる診断が593件実行され、9月30日までに8,635件の脆弱性が記録されました。このうち71.8%はビジネスロジックや認証・認可不備の脆弱性であり、従来的なスキャナでは検知難易度が高かったものです。

• オープンウェイトモデルの進展

公開された修正から脆弱性を特定する課題において、オープンウェイトモデルがフロンティアモデルに肉薄するスコアを示し、同等の成績を数十分の1の費用で得られた例も確認されています。

• 今後に向けた調達と準備

防御者には今後、自社の脆弱性情報、届きうる攻撃の脅威情報、AIモデルの推論能力の3つの調達が求められます。また、開発工程に組み込んで変更ごとに行う段階へ進めるため、検証対象、実行環境、予算の3つを整える必要があるとしています。

ホワイトペーパーは以下のURLより閲覧およびダウンロードが可能です。 https://flatt.tech/takumi/form/ai-assessment-and-pentesting-whitepaper

GMO Flatt Security株式会社の概要

GMO Flatt Security株式会社は、「エンジニアの背中を預かる」をミッションに掲げ、DX推進やソフトウェア開発のセキュリティ支援を行う企業です。

• 所在地：東京都渋谷区桜丘町26番1号 セルリアンタワー
• 代表者：代表取締役社長　井手 康貴
• 事業内容：サイバーセキュリティ関連サービス
• URL：https://flatt.tech

本記事はGMO Flatt Security株式会社の発表をもとに作成しています。

Dellows News編集部

ビジネスパーソンの課題解決と納得感にこだわるDellows News編集部。キャリア論からAI、健康法まで幅広い分野に対応し、複雑なテーマでも平易な言葉で丁寧に解説。読者が「明日から使える」知識やヒントを得られるよう、具体的な事例・データ・専門家の見解を交えて執筆。情報を整理し、納得感ある記事づくりを心がけています。