テラスカイのグループ会社で、”AI & Data Integrator”として事業を展開する株式会社Cuon（本社：東京都中央区、代表取締役：森本 優）は、AIセキュリティソリューション「cuonology security（クオノロジー・セキュリティ）」を2026年12月から提供します。脆弱性の検知から修正プルリクエスト（PR）の生成までを自動化し、セキュリティ運用の負荷を減らすことを目的としています。基盤にはAWS環境を使います。
想定する利用者は、中堅企業から大企業の情報システム部門のほか、クライアントの運用支援を行うセキュリティコンサルティング会社です。
攻撃までの時間は「数日」から「数時間」に
生成AIが普及したことで、公開コードやインフラ設定、公開資産を自動で走査・解析しやすくなりました。その結果、脆弱性が公開されてから攻撃が始まるまでの期間は、数日単位から数時間単位へと短くなっています。このためサイバー攻撃の件数が増え、企業の規模や知名度に関係なく、あらゆるシステムが日常的に脅威にさらされる環境になっています。
一方、防御する企業の現場では、セキュリティログや脆弱性情報の確認・トリアージ、修正コードの作成といった作業の多くを、まだ人手に頼っています。そのため、対応スピードの限界がはっきり見えてきました。アラートを検出するだけでなく、検知から修正・検証までのリードタイムを短くすることが重要になっています。こうした状況を受けてCuonは、自社の開発環境で運用してきた成果をもとに、能動的な検査から修正PRの作成までを自動化するこのソリューションを開発しました。
Cuon代表取締役の森本 優氏は、生成AIの進化によってサイバー攻撃のスピードがかつてないほど加速していると述べています。そのうえで、検知から修正PRの作成までを自動化することで、限られた人的リソースでも攻撃者のスピードに対抗できるセキュリティ運用体制づくりを支援するとしています。また、確実性が求められる処理は決定論的スクリプトに任せ、LLMの役割を判断の支援に限定しました。これにより、運用の自動化と、厳格な社内統制・監査への準拠を両立したと説明しています。
cuonology securityの3つの特長
動的検査から修正PRの作成までを一連の流れで自動化
年に数回の定期的な外部診断に頼らず、攻撃者の視点で行う動的検査（DAST）を自社環境の中で継続的に実行します。攻撃を受ける前に潜在的なリスクを見つけ、課題の起票から修正PRの生成までを自動で処理します。修正PRの生成は、開発基盤「cuonology engineering」と連携して行います。これにより、パッチを適用するまでのリードタイムを大幅に短くできます。セキュリティ担当者は、コードレビューと最終承認に集中できるようになります。
決定論的処理とLLMを分けた「監査可能な自動化」
検知データの取得、振り分け、抑制、検証は、ルールベースの決定論的スクリプトが担当します。LLMが担うのは、優先度の判断とIssue本文の生成だけです。修正コードの生成は、開発基盤のcuonology engineeringが行います。LLMの判断とその根拠は、Issue本文とAWS側の検知結果（finding）に記録されます。そのため、AIの処理がブラックボックスになるのを防げます。エンタープライズ企業の社内統制や第三者監査にも耐えられる運用を実現するとしています。
顧客の環境内で完結する安全なデータ設計
システムは、顧客自身のAWS・GitHub環境の中で動きます。ソースコードや脆弱性の検知結果（finding）が、外部のサーバーへ転送されたり蓄積されたりすることはありません。
提供形態と対応環境
契約は、年間契約とサポート契約（対象リポジトリ単位の課金）が基本です。複数のAWSアカウントをまたぐ組織向けの機能は、オプションとして用意されています。各形態の内容は次のとおりです。詳細は別途問い合わせが必要です。
- 年間契約+サポート契約（リポジトリ課金・基本）：対象リポジトリ単位のライセンスです。契約期間中の更新バージョンの提供とサポート対応が含まれます。契約期間中に提供されたバージョンは、期間が終わった後も引き続き利用できます（fallback license）。メジャーバージョン（1.x）間のパッチは、サポート契約者に提供されます。
- 組織向けオプション（組織横断トリアージ・ログ監査）：AWSのマルチアカウント環境で、監査用アカウント、セキュリティログの集約基盤、CI実行用のIAMロールを備えた環境が対象です。Cuonが管理するAWS環境、または同等の構成が前提となります。組織に帰属する検知結果の安全網トリアージと、ログ監査の機能が追加されます。
- 導入支援（オプション）：現状診断、検知源（AWSのセキュリティ検知・ログ集約サービス）の有効化設計、トリアージ運用の立ち上げ、開発連携（cuonology engineering）の構築を支援します。
対応環境は、AWSのセキュリティ検知サービス（検知結果の集約、脅威検知、脆弱性検査）とGitHub（Actions / OIDC）です。組織向けオプションを使う場合は、これらに加えて、マルチアカウント環境の監査用アカウント、権限分析、セキュリティログの集約基盤が必要です。実行にはPython 3.9以上とAWS SDKが必要で、DASTにはDocker（動的検査ツール ZAP / Nuclei の公式イメージ）も必要です。AWSとGitHubへの接続を前提としているため、外部との通信を遮断した閉域環境では動作しません。ただし通信先の一覧が公開されており、許可リストによる運用には対応しています。記載している数値とバージョンは、2026年10月27日時点の実装に基づくものです。
出典：テラスカイ
