Actセキュリティ、パッチ問題解決を掲げステルスモードから始動

AIによる脆弱性発見によって次々と生まれる新規CVEに対応し続けることは、絶え間なく続く負け戦となっています。

2025年に設立されたイスラエル・テルアビブ拠点のAct Securityが、総額6000万ドルの資金調達を経てステルスモードから姿を現しました。内訳は、Team8とBessemer Venture Partnersが主導し、Hetz VenturesとClaltechも参加した2000万ドルのシードラウンドと、Notable Capitalが主導しStartpoint CapitalとSVCIが参加した4000万ドルのシリーズAラウンドです。

Act Securityは、AIが既存のクラウド環境で新たな脆弱性を発見する能力によって深刻化するパッチ問題に取り組んでいます。同社は、組織がクラウド環境全体にわたって膨大なアクセス権限の乱立を抱えており、付与されたクラウド権限の大部分が不要かつ未使用の状態にあると警告しています。こうしたアクセス経路は、外部の攻撃者が脆弱性を悪用する際や、制御されていないAIエージェントが意図しない動作を行う際に利用されてしまいます。

フロンティアAIモデルが新たな脆弱性を発見し、悪意ある攻撃者による悪用を可能にしてしまう速度と規模は、セキュリティチームにとって深刻さを増す一大問題となっています。Forum of Incident Response and Security Teams(FIRST)の予測では、2026年に新たに発見されるCVEは約59,000件に上るとされており、これは1日あたり約161件の新規脆弱性が発見される計算になります。

ソフトウェアベンダー各社は、これらの脆弱性を修正しパッチをリリースするペースを維持しようと努めています。今月、Oracleは2026年7月分の四半期クリティカルパッチアップデートで1,400件を超える脆弱性を修正したと発表し、Microsoftは過去最多となる622件の脆弱性に対するパッチを発表しました。6月にはGoogleが「Chrome 149を安定版チャンネルに昇格させ、429件の脆弱性を修正した。これは単一のChromeアップデートとしては過去最多である」としています。

ベンダー各社は、AIによって引き起こされたこの脆弱性急増のペースについていくのに苦慮しています。企業は新たなパッチの重圧に翻弄されており、悪意ある攻撃者はベンダーがパッチを提供する前に脆弱性を悪用できる状況が増えています。Act Securityは、未パッチの脆弱性を悪用可能にしてしまうクラウドインフラ内のアクセス面を縮小、あるいは排除することで支援を提供します。同社は脆弱性そのものにパッチを当てるわけではなく、パッチが適用されるまでの間に悪用される可能性を取り除くのです。

そのアプローチは、人間、ワークロード、AIエージェントがそれぞれ到達できる範囲を限定する決定論的な境界を強制することにあります。Act SecurityのCEO兼共同創業者であるJonathan Langer氏は、次のように述べています。「当社の顧客から見えてくる実態として、クラウドアクセスの約97%が休眠状態で使われていません。そして今、AIエージェントはこうした古い人間の権限をそのまま引き継ぎ、24時間体制で機械的な速度で稼働していますが、そこには人間が発揮するような判断力は一切ありません」。

「どれほど努力しても、パッチだけですべてを解決することはできません。可視化ツールは何千もの検出結果を表示しますが、チームはその一つひとつの症状に対処するだけで、根本原因であるアクセス設計そのものは手つかずのままです。私たちは検出結果を追いかけるのではなく、リスクが侵害へと転じる条件そのものを取り除きます。これにより、攻撃が発生する前にクラウドを構造的に安全な状態にするのです」。

Act Securityのプラットフォームは、企業が攻撃者に悪用される露出経路を排除できるようにするほか、AIワークロードの周囲に境界を設けることで、必要な範囲にしかアクセスできないよう制限しながら自社のエージェントを安全に運用できるようにします。さらに、NIST 800-53、PCI DSS、HIPAAなどが求める管理策に直接対応することで、コンプライアンス達成も支援します。

Actは、Jonathan Langer氏(CEO)、Itay Kirshenbaum氏(CTO)、Pini Pinhasov氏(CPO)によって設立されました。この3人は、2017年にMedigateを設立し、2022年1月にClarotyへ4億ドルで売却した際の同じチームです。