Azulは、自然言語によるクエリインターフェース「Azul Intelligence Cloud AI Assistant」を発表しました。これは、IT、DevOps、セキュリティの各チームに対し、本番環境のJava資産のどこにライセンスやセキュリティのリスクが潜んでいるかを示すものです。
このアシスタントは、生成された瞬間から陳腐化していく静的なレポートに代わり、ライブのランタイムデータに基づいた回答を提供します。
拡大する攻撃対象領域
今回の発表は、Javaのセキュリティリスクを担う人々にとって、脅威の状況が急速に変化している時期に行われました。今年初め、Anthropicは自社のMythosモデルが数千件におよぶ未知のソフトウェア脆弱性を自律的に発見したことを明らかにしています。その中には数十年にわたって検出されずにいた欠陥も含まれており、人間の介入なしに実際に動作するエクスプロイトまで構築されていました。
OpenAIも同様の成果を報告しており、GPT-5を搭載したエージェント「Aardvark」がオープンソースコード内の実在する脆弱性を自律的に発見・開示し、そのうち10件は正式なCVE識別子を取得しています。
英国の国家サイバーセキュリティセンター(NCSC)は、AIを活用したサイバーツールの拡散によって、2027年までにAIを活用した侵入能力へのアクセスが国家・非国家を問わず幅広い攻撃者に拡大する可能性が非常に高いと評価しています。つまり、今後1~2年のうちに、敵対勢力の手にも同等の能力が渡ることになります。
AIやビジネスクリティカルなワークロードをJava上で稼働させている企業にとって、実務上の影響は明白です。共通脆弱性識別子(CVE)が公開されてから実際に武器化されるまでの期間は、すでに5日未満にまで短縮されており、これは中央値32日というパッチ適用サイクルと比べても、その差はますます広がっているのです。
静的レポートでは稼働中のJava資産の変化に追いつけない
多くのITおよびエンジニアリングチームは、いまだに静的なIT/ソフトウェア資産管理(ITAM/SAM)レポートやコードスキャンツールでJavaのリスクを管理しています。しかし、これらは生成された時点でのスナップショットに過ぎず、その瞬間こそ正確であっても、Java仮想マシン(JVM)が起動・パッチ適用・変化・廃止されるたびに、内容はどんどん実態とかけ離れていきます。このギャップは、Java資産の規模が拡大するにつれて相互に絡み合う、次の3種類のリスクとして表面化します。
- 商用ライセンスリスク:誰にも把握されないまま稼働している、ライセンス未取得(例: Oracle Java)または非サポートのJVM。
- セキュリティリスク:パッチが適用されていない脆弱なJavaバージョンが本番環境で稼働し続けている状態。
- 保守の負担:使われていないデッドコードであっても、安全に削除できるかどうかを誰も判断できないため、チューニングやテスト、そしてすべての移行作業に引き継がれ続けてしまう状態。
Java資産の規模が大きくなるほど、これら3つのリスクはすべて拡大し、インシデントや監査での指摘、あるいは侵害に発展する前にそれらを捉えることは、ある一時点のレポートではますます困難になっていきます。
レポート作成は不要、リアルタイムで回答を取得
Azul Intelligence Cloudは、IT・DevOpsチームに対し、Java資産に関する2種類の継続更新型レコードを提供します。ひとつは、オンプレミス・クラウド・コンテナを問わず、あらゆる場所で稼働するすべてのJVMインスタンスをライブで記録する「JVM Inventory」。もうひとつは、単にプロビジョニングされているだけのコードと、実際に本番環境で実行されているコードを区別するランタイム記録「Code Inventory」です。
新たに登場したAI Assistantは、これら両方の上に、最新のLLMモデルを活用した対話型レイヤーを重ねます。これにより、チームはレポートを作成したりクエリを書いたりすることなく、これらの情報を利用できるようになります。単に次のように尋ねるだけで済むのです。
- 「最新のアップデートが適用されていないJavaバージョンで稼働しているJVMはどれか?」
- 「現在、本番環境でOracle Javaが稼働しているのはどこか?」
- 「過去4四半期にわたって実行されておらず、削除しても安全なコードはどれか?」
すべての回答はライブの本番データから得られるため、チームは次回のスケジュールされたスキャンを待つことなく、その場で詳細を掘り下げたり、手がかりを追ったり、新たな仮説を即座に検証したりできます。
「AzulはIntelligence Cloudプラットフォームを新たなAI Assistantで拡張し、企業がJavaランタイム環境を自然言語インターフェースで把握できるようにしました。これにより、未使用のコード、冗長なJVM、把握されていないデプロイメントの特定が容易になります。何十年にもわたるJavaの技術的負債を抱える組織にとって、このツールはこれまでこのレベルでは対応されてこなかったギャップに取り組むものです」と、451 Research by S&P Global EnergyのリサーチディレクターであるWilliam Fellows氏は述べています。
ビジネスユーザーが初めて全体像を把握できる
これまでJava資産の全体像を把握するには、レポートを実行できる人物、すなわちDevOpsエンジニアやプラットフォームチーム、セキュリティアナリストを介する必要があり、それ以外の人々は誰かが「翻訳」してくれるのを待つしかありませんでした。
Azul Intelligence Cloud AI Assistantは平易な言葉で回答するため、同じ本番稼働中のランタイムデータを、そのデータが関わるビジネス上の意思決定を担う当事者が直接利用できるようになります。監査に備えるコンプライアンス責任者、契約更新を前にOracleのライセンスリスクを検討するCFO、取締役会に向けてより説得力のある最新の回答を必要とするCISOなど、いずれの立場の人でも、技術チームによるデータの抽出・解釈を待つことなく、自ら情報を取得して評価できます。
この直接アクセスの利点は、顧客に代わってJava資産を管理するパートナー企業にも及びます。複数の顧客のJava環境を横断的に管理するMSPやシステムインテグレーターにとって、AI Assistantは単発の対応ではなく、継続的なマネージドサービスの一環として提供できるオンデマンドの成果物となります。
CFO、CISO、パートナー企業のいずれの場合であっても、AI Assistantが環境に対して何らかの操作を行うことはありません。あくまでJVM InventoryとCode Inventoryが実際の本番環境から収集したランタイムデータに基づいて質問に答えるだけであり、その回答は生成された要約ではなく、実際に本番環境で実行された内容にまで遡って追跡可能です。
あらゆるJVMベンダーに、ひとつの対話で対応
Azul Intelligence Cloud AI Assistantは、どのベンダーのJVMが導入されているか、また稼働しているアプリケーションの新旧や規模を問わず利用できます。JVM InventoryとCode Inventoryはコンポーネントとコード使用履歴を時系列で保持しているため、AI Assistantは現在から過去にわたって、実際に本番環境で稼働してきたコード、JVM、アプリケーションについて推論できます。そのうえで、たとえばOracle JVMが最後に稼働していたのはいつか、実際に実行されたコードは何か、安全に削除できる未使用・デッドコードはどれかといった情報を、平易な言葉で提示します。
これほどの洞察が得られながらも、本番環境への負荷が増すことはありません。LLMベースのAI Assistantは、Azul Intelligence Cloudが稼働中のJVMからすでに収集しているJavaランタイムデータに対してクエリを実行するため、パフォーマンスへの追加負荷は発生しません。
「長年にわたり、企業はJava資産で実際に何が稼働しているかを把握するためにダッシュボードやレポートを構築してきました。しかし、レポートが適切に要約・レビューされる頃には、そこに記載されたリスクはすでに変化してしまっていることがほとんどでした」と、AzulのCEOであるScott Sellers氏は述べています。
「以前はそれが生産性の問題に過ぎませんでした。しかし今やAIが数週間ではなく数時間で脆弱性を発見し武器化できる時代となり、これはセキュリティ、コンプライアンス、そして監査で表面化するライセンスリスクにとって、れっきとしたビジネスリスクとなっています。Azul Intelligence Cloud AI Assistantを使えば、ITチームやセキュリティチームは平易な言葉で直接質問を投げかけるだけで、現在実際に本番環境で稼働している内容に基づいた回答を得られるほか、さらなる分析のために過去の情報を照会することもできます」とSellers氏は締めくくりました。
翻訳元: https://www.helpnetsecurity.com/2026/09/24/azul-intelligence-cloud-ai-assistant/
