Tuskiraは、Tuskiraプラットフォーム内の新機能「Agentic Control Plane for Exposure Management」を発表しました。この機能は、AIが発見した脆弱性をスキャンから検証済みの解消まで一貫して統制するものです。今回の追加により、Tuskiraが従来から持つゼロデイ対応・露出対応機能が、フロンティアモデルによるスキャンにも拡張されることになります。
Tuskiraは、AIおよび既存のスキャナーによるワークフローに対して企業ポリシーを適用し、検出結果を実際のデプロイ環境にマッピングします。そのうえで、どの露出が到達可能かつ未防御であるかを判定し、承認済みの代替コントロールを適用したうえで、恒久的なコード修正をルーティングし、攻撃経路を再テストして解消済みであることを検証します。
Agentic Control Planeは、脆弱性管理、アプリケーションセキュリティ、クラウド、エンドポイント、ID管理、ネットワーク制御、SIEM、ITサービス管理にまたがる150以上の連携先から得られる本番環境のコンテキストと、これらの検出結果を結び付けます。検出結果、判定、対応アクションは、顧客が承認したコネクタとデータスコープポリシーを通じて統制され、すべてのステップが完全な監査証跡として記録されます。
Tuskiraは、モデル選択、リポジトリアクセス、データスコープ、保持期間、承認プロセスについて企業側が定義した統制を適用します。これにより、ソースコードや脆弱性データが認可済みのワークフロー内にとどまり、サードパーティモデルの学習に利用されないことを保証します。
フロンティアモデルは、脆弱性の発見手法そのものを変えつつあります。これらのモデルは、従来型スキャナーでは検出できなかった未知の欠陥を明らかにすることができますが、その検出結果にはCVE番号やCVSSスコア、ベンダーによるパッチ、エクスプロイトの成熟度を示すシグナル、明確な担当者が伴わないケースがあります。企業の脆弱性管理ポリシーやSLA、チケットルーティングのプロセスは、こうした従来の情報を前提に構築されてきました。
同時に、AIを活用した攻撃の高速化により、検証と対応にかけられる時間の猶予も狭まっています。Tuskira Researchが2026年5月22日時点で実施した調査によると、AIによる脆弱性発見のペースは、目に見える形での修復ペースを約16.5倍上回っており、あるAI主導のパイプラインでは63日間で1,596件の検証済み脆弱性が公表されたといいます。調査の詳しい手法はtuskira.ai/researchで公開されています。
AIスキャナーは、ソースコード内の脆弱なパスを特定することはできますが、それ単独では、そのコードが実際にデプロイされているか、インターネットから到達可能か、既存の統制によって保護されているか、あるいは重要な資産に接続されているかどうかまでは判断できません。これこそが、単なる「コード上の検出結果」と「実際の本番環境リスク」との違いです。Tuskiraはこのリスクが検証された段階で、統制の効いたセキュリティオペレーションのワークフローへと変換します。具体的には、SOC(セキュリティオペレーションセンター)が露出の判定結果と推奨される即時対応策を受け取る一方で、恒久的なコード修正は該当するアプリケーションやエンジニアリングの担当者へルーティングされます。
Tuskiraは、このギャップを「Exposure Response Loop(露出対応ループ)」によって埋めます。
- オーケストレーション: 顧客が承認したフロンティアモデルを適切なリポジトリとリスク階層に振り分け、AIが発見した検出結果を既存のVM、SAST、SCA、クラウドの検出結果と併せて正規化。
- ガバナンス: モデル選択、リポジトリおよびデータスコープ、支出上限、承認ワークフロー、保持ポリシーを適用し、何を、どのモデルで、なぜスキャンしたかを網羅した完全な監査証跡を確保。
- コンテキスト化: 脆弱なコードが実際にデプロイされているか、到達可能か、未防御か、侵害経路に接続されているかを判定。
- 対応と検証: WAF、EDR、IAM、ネットワークポリシーを通じて承認済みの代替コントロールを適用し、恒久的なコード修正をルーティングしたうえで、モデル化した経路を再テストして解消を証明。
多くの露出管理のワークフローは、発見と優先順位付けの段階で止まってしまいます。これに対しTuskiraは、検証済みの露出を、代替コントロールの適用、恒久修正のルーティング、解消の証明までを含む統制されたSOC対応ワークフローへと変換します。
別の事例として、金融サービス業界のグローバル企業への導入では、Tuskiraは1,230万件に上る生の検出結果を、対応が必要なものはわずか0.46%にまで絞り込み、露出のトリアージにかかる時間を3週間から30分へと短縮しました。
Tuskiraの最高経営責任者(CEO)であるPiyush Sharma氏は次のように述べています。「AIは脆弱性発見を工業化しました。新たなボトルネックとなっているのは、どの検出結果が実際の本番環境リスクを生み出すのかを見極め、パッチが提供される前にそれを解消することです。Tuskiraの Agentic Control Plane for Exposure Managementは、フロンティアモデルが企業のセキュリティオペレーションにどのように関与するかを統制し、到達可能性と防御カバレッジを検証したうえで、解消が証明されるまで対応をオーケストレーションします。脆弱性を発見すること自体はコモディティ化しつつあります。これからの製品価値は、正しい露出を証拠とともに解消することにあります」
