2026年9月2日
日本電気株式会社

NECは、フロンティアAIの進展により急増するソフトウェア脆弱性への対処を支援する、セキュリティ向けAI技術「cotomi Security for Industry」を開発しました。
本技術は、高性能AIやフロンティアAIによって発見される膨大な未公開の脆弱性情報を取り込み、脆弱性の分類、システムへの影響分析、対応優先度の判断、仮想パッチ生成までをワンストップで支援します。
AIの進化により脆弱性の発見能力は飛躍的に向上する一方で、発見後の評価・対処業務が新たな課題となっています。NECは、サイバーセキュリティ分野で培った知見を活用し、AIネイティブ時代に求められる新たな脆弱性管理の実現を目指します。

背景

生成AIやフロンティアAIの進化により、ソフトウェアの脆弱性発見能力は飛躍的に向上しています。今後は、AIによって発見される脆弱性件数がさらに増加し、脆弱性対処の負荷増大が見込まれています。
一方で、発見された脆弱性について、システムや事業への影響を分析し、対応の優先順位を定め、適切な対策を講じるまでには高度な専門知識と多大な工数が必要です。特に、AIが発見した未公開脆弱性については、公開脆弱性で利用されるCVSS(Common Vulnerability Scoring System、注1)などの評価指標が存在しないため、対処判断のための新たな評価指標や評価手法が求められます。
また、特に政府機関や重要インフラ事業者では、サイバーセキュリティ対策を支えるAIに対しても、高い信頼性・透明性に加え、経済安全保障の観点から安心して利用できることが重要となっています。
NECはこうした課題やニーズに対応するため、サイバーセキュリティ領域で培った知見とAI技術を組み合わせ、脆弱性対処に必要な分析・評価・対策検討業務の高度化と自動化を実現するセキュリティ特化型AI技術「cotomi Security for Industry」を開発しました。

cotomi Security for Industryの特長

1.分析に先立ち、未公開脆弱性の種類や深刻度を自動分類

高性能AIによって発見された未公開の脆弱性には、脆弱性が招く攻撃の種類や深刻度に関する情報が付与されていません。後段の優先度判断に必要なこれらの情報を、高性能AIの出力結果から自動で生成します。

2.米国CISAの評価基準に即して脆弱性対処の優先度判断を支援

脆弱性そのものの深刻度だけではなく、機器のインターネットへの露出や悪用事例などから、米国CISA(注2)が 2026年6月に発行したBOD26-04(注3)に基づいて対応優先度を判断します。加えて、単独では優先度が低い脆弱性であっても、複数の脆弱性を組み合わせることで重要資産への攻撃が可能となる場合があるため、そのような脆弱性を特定し、優先度を見直します。これらの仕組みにより、判断基準が未整備な未公開の脆弱性についても、「3日以内」「14日以内」「次のシステム更新時」など、実運用に即した優先順位付けを実現し、効果的な脆弱性対処を支援します。

3.AIによる仮想パッチの自動生成により、迅速にリスクを低減

脆弱性情報から想定される攻撃手法を分析し、Webアプリケーションへの攻撃を検知・防御するWAF (Web Application Firewall)や、ネットワークやシステムへの脅威を検知・遮断するIDS/IPS (Intrusion Detection System / Intrusion Prevention System)などに適用可能な仮想パッチを自動生成します。これにより、パッチが未提供の場合や、システム影響によりパッチ適用が困難な場合でも、迅速なリスク低減を可能にします。

クライアントゼロの成果

NECは、自社をゼロ番目のクライアントとして最先端のテクノロジーを実践する「クライアントゼロ」の取り組みの一環として、本技術を社内環境に適用し、検証を実施しました。
具体的には、社内向けに開発・提供しているWebサービスを対象に、高性能AIによって脆弱性を検出し、重要資産への攻撃リスクに基づく脆弱性の優先順位付けから、脆弱性の悪用手法を踏まえた仮想パッチの生成・配備までの一連のプロセスを、開発したAI技術によって自動化できるか検証しました。
その結果、ベンダーが提供する製品に存在する既知の脆弱性だけでなく、社内で独自に開発したアプリケーションに存在する未公開の脆弱性についても、AIとネットワーク運用ツール(注4)を連携させることで、脆弱性への対処プロセスを自動化できることを確認しました。

今後の展開

NECは、「.JP(日本のサイバー空間)を守る」のミッションのもと、複雑化・高度化するサイバー攻撃の脅威に対応するため、次世代サイバーセキュリティサービス「CyIOC(サイオック、注5)」を中核としたセキュリティサービスを提供しています。
今回開発した「cotomi Security for Industry」を、CyIOC システムリスク診断(脆弱性管理)サービスに実装し、高性能AIを活用した脆弱性診断サービス「Threat-Driven Security Assessment」と併せて、9月末より順次提供を開始します。本サービスは、高性能AIによって検出された未公開の脆弱性への対応に加え、優先順位付けから仮想パッチによる対処まで、セキュリティ向けAIが幅広く支援することを特長としています。これにより、AX(AI Transformation)時代に求められる脆弱性管理の高度化を支援するとともに、重要インフラ事業者や政府機関をはじめとするお客さまの迅速なリスク低減に貢献します。
NECは今後も、先進技術やサイバーセキュリティのインテリジェンスを活用し、安全・安心な日本のデジタルインフラの実現に貢献していきます。

以上

本件に関するお客さまからのお問い合わせ先

NEC　NEC サイバーディフェンス事業統括部
URL：https://group.nec/jp/ja/solutions/cybersecurity/
お問い合わせボタンよりお問い合わせください。