眠らないセキュリティチーム：0.securityと年次ペネトレーションテストの終焉

0.securityは、Y Combinatorの2026年秋バッチで、自律型セキュリティチームを提供している。プルリクエストのテスト、継続的なペネトレーションテスト、そして修正を同じPRで届ける。その賭けは、AIが今や年次監査で確認できるよりも速くコードを書くようになっており、難しいのはスキャンではなく検証ステップだという点にある。

セキュリティテストはこれまで常にカレンダーに沿って行われてきた。年に一度、時には二度、外部企業がアプリケーションを一週間調査して報告書を作成し、チームはそれへの対応に四半期を費やす。最後の指摘がクローズされる頃には、その下でコードベースは変わっている。

そのモデルは、ソフトウェアの変化は遅いと想定していた。もうそうではない。コーディングエージェントを使うチームは、以前なら四半期かかったものを一週間で出荷し、その変更の一つひとつが新たな攻撃面となる。年次テストは今や、もはや存在しないシステムを描写している。

0.securityは、Y Combinatorの2026年秋バッチ（F26）に参加し、そのギャップを埋めるために作られた企業の一つです。その説明は率直です。自律型サイバーセキュリティチーム。この製品は、プルリクエストに対してセキュリティテストを実行し、稼働中のシステムに対して継続的なペネトレーションテストを行い、依存関係を新たに公表された脆弱性と照合して監視し、そして商業的に重要な部分として、同じプルリクエスト内で修正を提供し、ワンクリックで適用します。

なぜ検証ステップが製品のすべてなのか

スキャンは安価で、この10年間ずっとそうだ。決して安価でなかったのは、どのアラートが重要かを知ることだ。200件の検出を報告し、その半分を誤るスキャナはリスクを減らさない。それは、本当の問題を修正できたはずの唯一の人の注意を奪うだけだ。

ここで興味深い主張は、AIがバグを見つけられるということではなく、AIにバグを証明させられるということだ。0.securityによれば、エージェントは隔離環境で検出結果を再現し、修正を提示する前にその修正を検証する。これによって誤検知を除外しているという。それが成り立つなら、作業単位は「トリアージすべきレポート」から「レビューすべきパッチ」に変わる。

同社の公開研究は、同社が依拠する証拠だ。同社のサイトには、LinuxカーネルおよびAMD、Qualcomm、Cisco、Arm、Google、Meta、IBM、NVIDIA、Intel、Red Hatといった多数のベンダースタックにわたる開示済みの脆弱性が、セキュリティエンジニアが見慣れた種類のレビュー記録とともに列挙されている。同社はテストハーネスもオープンソースとして公開しており、30億台以上のデバイスが同社の支援で安全になったソフトウェアを実行していると述べている。これらは企業の主張であり、独立監査された数字ではないが、開示リンクは通常のマーケティング文句にはない形で検証できる。

誰も望んでいなかった軍拡競争

不快な前提として、相手側にも同じ能力が存在する。攻撃者はモデルを使ってコードを読み、弱点を見つけ、エクスプロイトを書く。防御側が今や同じ速度でそれらを塞ぐためにモデルを使えるのと同じだ。エンジニアリングにAIを導入しながら年次のセキュリティレビューを続ける企業は、方程式の半分を自動化したことになる。

それが継続的テストを支持する論拠を一文で表したものだ。コードが毎日変わるなら、セキュリティ態勢も毎日評価しなければならない。さもなければ、出荷したものと確認したものの間のギャップは毎週広がっていく。

購入者がなお尋ねるべきこと

三つの質問であり、そのいずれもモデルの品質についてではない。

結果の責任者は誰か？ 検出結果を起票するツールはスキャナーにすぎない。コードにパッチを当てるツールは本番システムを変更するものであり、社内の誰かがその判断に責任を持つ必要がある。セキュリティ担当役員がいない企業では、その責任者が通常不在であり、これはフラクショナルCSOを契約する価値があるのと同じ欠落だ。

当社のコードにおける誤検知率は？ すでに脆弱性を把握しているリポジトリでトライアルを依頼する。検証済みという主張は簡単にできるが、証明するには大きなコストがかかる。

モデルが逆方向に間違った場合はどうなるのか？ 見逃された脆弱性はノイズの多い検出よりも悪く、どのベンダーも再現率を保証しない。

0.securityは初期段階にある。2026年秋バッチの企業で、小さなチームであり、その主張はプレスリリースではなく顧客によって試されることになる。しかし、議論の枠組みは正しく、それはバッチ全体が指し示している枠組みだ。AIが機械の速度で問題を生み出すのだから、対応も機械の速度で動かなければならない。

年1回のペネトレーションテストは、劣っていたから死んだのではない。2月に存在しなくなったコードベースを記述しているから死んだのだ。

出典：Y Combinator F26企業リスト、0.securityの公開サイトおよび研究開示、2026年11月。企業の主張はそのように帰属されている。

連絡先：[email protected]

日本語版は Ai 支援を使用しているため、小さな間違いが存在する可能性があることをご了承ください。

著者

Ai-Banking-NetworkSecurity (ABN), ABN ASIAは、アカデミアに深く関わり、アメリカ、オランダ、ハンガリー、日本、韓国、シンガポール、ベトナムでの仕事経験を持つ人々によって設立されました。ABN ASIAは、学問とテクノロジーが機会と出会う場所です。最先端のソリューションと優れたソフトウェア開発サービスにより、ビジネスがレベルアップし、グローバルシーンに挑戦できるよう支援しています。 私ちの取り組み: より速く。 より良い。 より信頼性が高くなります。 ほとんどの場合、価格も安くなります。

いつでも、ITサービス、デジタルコンサルティング、既製のソフトウェアソリューション、または提案依頼書（RFP）をお探しの際は、お気軽にお問い合わせください。お問い合わせ先は[email protected]です。お客様のテクノロジーに関するニーズにお応えします。

© ABN ASIA