時間との戦い：AIの競争
脆弱性は増え続け、発見されるスピードは速まり、悪用される時期も早まっている。
世界的なCVEの急増
72,812
2026年1月から9月までに公表されたCVEは、すでに2025年通年の件数を51％上回っている
実用化までの期間の短縮
−7日
2025年の平均悪用までの時間：現在、攻撃は平均してパッチがリリースされる前に開始される
CRAが求めること
メーカーは、悪用された脆弱性を把握してからわずか24時間後から、3段階に分けてENISAおよび自国のCSIRTに通知しなければならない。
24時間
早期警報
最初の警報：原因の推定と影響を受けた国々
72時間
通知
脆弱性の詳細、影響を受ける製品、および講じられた対策
14d
最終報告書
修正プログラムが利用可能になってから14日以内に、深刻度、影響度、および是正措置を記載すること
24時間以内に報告の準備はできていますか？
各締め切りに間に合わせるためには、迅速な回答が必要です：
- これらは単なる潜在的な弱点ではなく、実際の脆弱性なのでしょうか？
- それらは、御社の製品において利用可能であり、活用できるものですか？
- 確認済みの修正方法はありますか？あるいは、すぐに作成することは可能ですか？
CRAの脆弱性管理におけるギャップ
CRAでは、自社コード、サードパーティ製コンポーネント、オープンソースライブラリのいずれに存在するかに関わらず、製品内のあらゆる脆弱性について責任を負うことになります。これらの義務は法律で定められていますが、それに伴う作業負荷は増え続けています。
コードを増やし、リリースを迅速化する
AIを活用した開発は、コード量の増加、依存関係の増加、そしてリリースサイクルの短縮を意味します。リリースが行われるたびに、自社開発、サードパーティ、オープンソースの新しいコンポーネントが導入され、セキュリティ上の脆弱性が生じる新たなリスクも生じます。
優先順位をつけるのが難しい
悪用可能性の証拠がない場合、深刻度スコアだけが優先順位の決定要因となります。チームは重要でない問題に労力を費やす一方で、真のリスクは放置されたままになります。
リスクの証拠なし
スキャナーは数千件もの検出結果を表示しますが、その脆弱性が実際に到達可能か、悪用可能か、そして自社製品に関連するものかどうかを示すことはほとんどありません。
監査証跡の不足
社内コードと外部コンポーネントは、多くの場合、別々のワークフローで管理されており、意思決定はチケットやチャット、スプレッドシートなどに散在しています。24時間や72時間以内に、追跡可能で監査対応可能な証拠をまとめることは、ほぼ不可能です。
開発サイクルに組み込まれた、AIを活用した脆弱性対策
「Keysight AI Analysis for CRA」は、脆弱性管理機能を備えたAI駆動型のコード分析サービスであり、脆弱性のライフサイクル全体を自動化します。キーサイトのセキュリティに関する専門知識を基盤として構築された、当社独自のAI駆動型フレームワークにより、脆弱性の特定、悪用可能性の検証、修正案の提案と検証を行い、そのすべてのプロセスを記録します。
主な機能
インテリジェント・トリアージ
SBOM に基づいて CVE および SAST の検出結果を優先順位付けし、誤検知を排除した上で、悪用可能なリスクを最優先順位としてランク付けします。
確認済みの修正
すべての修正をサンドボックス環境でビルド、テスト、検証し、脆弱性が解消されたことを確認します。
到達可能性解析
実際の本番環境のエントリポイントから、どの脆弱性に実際にアクセスし、悪用できるかを示します。
CRAの証拠
脆弱性の対応、調整された開示、インシデント報告、および適合性評価について、追跡可能で監査対応可能な記録を作成します。
- オンボーディング
- 初期評価
- AIによる分析と検証
- 結果の検討
- 回顧展
オンボーディング
ソースコードリポジトリへのアクセス権と環境の詳細情報を共有していただきます。当社はバイナリではなくソースコードを分析するため、すべての検出結果は正確な行番号を特定し、修正内容はマージ可能なパッチとして提供されます。
初期評価
キーサイトは、本格的な分析を行う前に、前提条件を評価し、お客様と協力して障害要因を解決します。
AIによる分析と検証
当社のフレームワークは、SCAデータを収集し、AIを活用したSASTを実行した後、サンドボックスを起動して到達可能性や悪用可能性をテストし、各パッチを検証します。
結果の検討
貴社のチームとキーサイトは、調査結果、パッチ適用結果、および是正措置の推奨事項について共同で検討します。
回顧展
サービス提供の不備を特定し、今後の改善に向けたフィードバックを収集しています。
すべてのオプションでは、ファーストパーティ、サードパーティ、およびオープンソースのコードを1つの統合されたAIワークフローでカバーしており、CI/CDパイプラインとの統合も近日中に提供開始予定です。
あなたのIPアドレスはあなたのものです
お客様のソースコードは、最も貴重な資産です。私たちはそれをそのように扱います。
- オフラインのAIサーバー上でプロジェクトをホストし、クラウドへデータを送信しない
- 地域のコンプライアンス要件に適合するAIモデルを選択する
- AIクラウドサービスプロバイダー上で実行するオプション
- 顧客データに関する研修は行われない
よくあるご質問
実際に悪用されている脆弱性および重大なインシデントの報告義務は、2026年9月11日から適用されます。脆弱性の対応やSBOMなど、その他の要件については、2027年12月11日から適用されます。
いいえ。AIがパッチを提案し、サンドボックス環境で検証を行います。重要なパッチは、コードベースに反映される前に必ず人間によるレビューを経ます。
いいえ。プロジェクトはオフラインのAIサーバー上で実行可能であり、お客様のデータがモデルの学習に使用されることは一切ありません。
自社製品において、どの脆弱性がアクセス可能で悪用可能であるかはすでに把握しており、すべての調査結果には追跡可能な記録が残されています。新たに悪用された脆弱性が発見された場合、その影響を迅速に評価し、証拠を添えて報告することができます。
調査結果は、優先順位が付けられたJiraチケットやスプリント項目などとして、既存のワークフローに組み込まれます。
自社製品の一つを用いた概念実証（PoC）を通じて行います。これは上記の5つのステップに従い、結果に関する振り返りで締めくくられます。