GMO Flatt Security、AIが30日間抜き打ちで会社全体へ侵入を試すテスト開始

画像の出典：GMO Flatt Security（PR TIMES）

自社のどのサーバーやサービスが外部から見えているのかを、すべて把握できている企業は多くありません。GMO Flatt Securityは2026年10月21日、AIエージェントが30日間の期間中に抜き打ちで会社全体への侵入を試みるペネトレーションテスト（侵入テスト）「不正アクセス抜き打ちテスト byGMO」の提供を始めました。

本記事では、テストの進め方、報告される内容、料金の条件を整理して解説します。

不正アクセス抜き打ちテストとは？

渡すのはドメインの一覧だけ

利用企業がテスト対象に含めるドメインの一覧を渡すと、GMO Flatt Securityがそこから外部に公開されている資産（サーバーやサービスなど）を洗い出します。

洗い出した資産は利用企業が確認して承認し、外したいものは対象から除きます。会社が把握していなかった資産も、攻撃の入り口になりうる経路として調べるのが特徴です。

AIエージェント群が事前情報なしで攻める

攻撃役は、同社のセキュリティエンジニアが指揮するAIエージェント群です。事前情報なしの状態から、個人情報や顧客情報を盗み出すこと、システムを乗っ取ることを目標に、複数の攻撃手法を試します。

対象は既に知られた脆弱性（セキュリティ上の欠陥）だけでなく、その組織に固有の新しい脆弱性も含み、ネットワークからアプリケーションまでの層を調べるとしています。

30日間の抜き打ちと報告の中身

重大な問題は期間中に即時報告

テストは30日間の期間内に、いつ攻めるかを知らせない抜き打ちで行われます。重大な問題が見つかった場合は、期間の終了を待たずにすぐ報告されます。

報告書に載る5つの項目

報告書には、次の内容がまとめられます。

• 発見した資産
• 目標（情報の窃取やシステムの乗っ取り）を達成できたか
• 攻撃の流れ（キルチェーン）
• 攻撃経路を示したシステム図
• 取得できたデータ

料金と申し込み

12月31日までの申し込みは一律98万円

2026年12月31日までの申し込みは、対象の規模にかかわらず一律98万円（税抜）です。申込書への署名で始められ、見積もりの手続きは不要としています。

この日より後の料金は発表に書かれていません。定期的にテストを受けられる年間プランは「提供予定」の段階です。

無料ウェビナーも開催

同社は無料のオンラインウェビナー「急増するAI不正アクセス、今取り組んでほしいこと」を、10月27日と11月5日の12:00〜13:00に開催します。

提供の背景＝国内で相次ぐ不正アクセス

発表では背景として、JPCERT/CC（日本のセキュリティ事故の連絡調整機関）が2026年10月8日（9日更新）に出した、国内組織での不正アクセスについての注意喚起を挙げています。

注意喚起では、既に知られた脆弱性や設定の不備に加え、公開されているスマホアプリを解析して見つけたAPI（外部とデータをやり取りする窓口）への攻撃が挙げられています。

あわせて、クラウドセキュリティ企業Wizの調査チーム（Wiz CIRT）が2026年10月19日に、AIを使った攻撃が増えており、複数のサービスにまたがって同時並行で進められると報告したことにも触れています。

まとめ

• GMO Flatt Securityが、AIエージェントによる侵入テスト「不正アクセス抜き打ちテスト byGMO」を10月21日に開始
• ドメインの一覧を渡すと公開資産を洗い出し、把握していなかった資産も含めて30日間抜き打ちで攻める
• 報告書には発見した資産、目標の達成可否、攻撃の流れ、攻撃経路の図、取得できたデータが載る
• 12月31日までの申し込みは規模にかかわらず一律98万円（税抜）

出典：GMO Flatt Security（PR TIMES）