ソフトバンクグループ、ソフトバンク、SB OAI Japanは6月16日、OpenAIの技術を活用した企業向けサイバーセキュリティ対策ソリューション「Patching as a Service」の提供を開始したと発表した。AIを悪用したサイバー攻撃の高度化や自動化が進むなか、日本の重要インフラ事業者を対象に、脆弱性診断から修正支援までを一貫して提供する。
当面は電力、金融、通信、空港など社会インフラを支える約3000社への展開を目指す。サービス提供は、ソフトバンクグループとOpenAIの合弁会社であるSB OAI Japanが担う。
AI時代のサイバー攻撃に対抗する新サービス 脆弱性診断から修正支援まで対応
「Patching as a Service」は、OpenAIのサイバーセキュリティ向けAIモデルとソフトバンクの運用ノウハウを組み合わせた法人向けソリューションだ。
背景にあるのは、生成AIの急速な進化によってサイバー攻撃の手法そのものが大きく変わりつつあることだ。攻撃者がAIを活用することで、脆弱性の探索や攻撃コードの生成、フィッシングメールの作成などを大規模かつ高速に実行できるようになり、防御側にも従来とは異なる対策が求められている。
ソフトバンクグループの孫正義会長兼社長は発表会で、AIによるサイバー攻撃の脅威を「黒船の襲来以来の危機」と表現した。従来の攻撃を「竹槍」、AIを活用した攻撃を「機関銃」に例え、「最先端AIを使ったサイバーアタックが氾濫する時代に、最先端AIで守り抜く」と語った。
「Patching as a Service」では、企業システムのソースコードやアプリケーションを解析し、脆弱性の発見から優先順位付け、修正方針の策定、パッチ作成支援、適用後の再検証までを支援する。中核となる技術には、OpenAIのサイバーセキュリティ向けモデル「GPT-5.5-Cyber」のほか、コード解析や修正提案を行う「Codex Security」、自律的に脆弱性調査から検証、修正支援までを行う「Daybreak」が利用される。
Daybreakは単体製品ではなく、AIモデルと各種サービス、調査・検証・修正のワークフローを組み合わせた仕組みとして提供される。脆弱性の検出、優先順位付け、検証、パッチ生成、適用後の再検証という一連の工程をカバーする。
発表会では銀行のローン申請システムを題材としたデモも披露された。AIエージェントが複数の脆弱性を発見した後、重要度を判断してSQLインジェクションを選択。実際に顧客データへアクセス可能であることを検証したうえで修正パッチを生成し、人間の承認後に適用、回帰テストと再検証までを実施した。
ソフトバンク社内で700システムを検証 1万件超の脆弱性を発見
ソフトバンクはサービス提供に先立ち、自社システムを使った大規模な検証を実施した。同社は約1800のシステムを運用しているが、このうち自社でソースコードを管理する約700システムを対象に、GPT-5.5-CyberやCodex Securityなどを活用した脆弱性診断を行った。
その結果、1万500件以上の脆弱性が検出された。このうち約4000件は優先的な対応が必要な深刻度の高い問題だったという。
ソフトバンクの宮川潤一社長兼CEOは、「通信会社として20年間、大規模なサイバーアタックによる大きな被害はなく、それなりに自信があった」と振り返る一方で、AIによる診断で想定以上の脆弱性が見つかったと説明した。
また、脆弱性修正後も新たな問題が見つかるケースが確認された。あるシステムでは最初の診断で22件の脆弱性が発見され、修正後の再検査で11件、その後7件、さらに5件と段階的に新たな脆弱性が見つかったという。
宮川氏はこの状況について、「リンゴの実を収穫するようなもの」と説明する。AIはまず見つけやすい問題から検出し、修正後により深い階層にある問題を発見していくため、継続的な診断と修正が重要になるという。
ソフトバンクによると、同社は2025年だけでも月間約6万件の不正侵入の試行、約3億件の偵察行為、約2800件のDDoS攻撃を検知している。AI時代のサイバー脅威に備えるため、PaaSを扱う専門技術者を現在の約50人から将来的に1000人規模まで拡大する計画だ。
宮川氏はさらに、生成AI分野では最先端モデルの登場後にオープンモデルが急速に普及してきたことに触れ、「サイバー向けモデルも同じ流れをたどる可能性がある。攻撃者が高度なAIを自由に利用できるようになる前に、防御側の準備を進めなければならない」と危機感を示した。
発表会には、OpenAIのサム・アルトマンCEOもビデオメッセージを寄せ、「ソフトバンクとの協業を通じて、日本企業に革新的な価値を提供したい」とコメントした。ソフトバンクグループは今後、重要インフラ事業者を中心にPaaSの導入を進め、日本企業のサイバー防御体制強化を支援していく考えだ。
