Oracle、OpenAIのサイバーセキュリティモデルを活用したAIセキュリティメッシュを発表

Oracleは2026年10月27日、ラスベガスで開催されたOracle AI Worldで、OracleのAIセキュリティメッシュを発表しました。これはOpenAIの最先端サイバーセキュリティモデルを活用したマネージドプラットフォームで、組織がセキュリティの脆弱性をより迅速に発見し、修正できるよう支援することを目的としているとOracleは述べています。

このサービスは、生体認証を使って人の身元を確認するOCI Identity Assuranceと、ネットワークのアクセス制御を適用して重要なシステムやデータを保護するOCI Zero Trust Packet Routingを補完する。

「AIエージェントが担う役割が増すなか、企業には、こうしたシステムの動作に歩調を合わせられるセキュリティが必要です」と、Oracleのセキュリティおよびアイデンティティ担当シニアバイスプレジデント、Phil Newmanは述べた。Newmanによると、これらの機能を組み合わせることで、機密性の高い操作を誰が承認できるのか、またAIワークロードがどのシステムにアクセスできるのかを管理しながら、組織がセキュリティリスクをより迅速に特定し、解決できるよう支援することを目指している。

このプラットフォームは、オンプレミス、OCI、その他のクラウドで稼働するアプリケーションとインフラストラクチャを対象とする。OpenAIの最先端サイバーセキュリティモデルに、Oracleのテストツールと、顧客が自社システムについて提供する情報を組み合わせる。Oracleによると、モデルはアプリケーションの動作を推論し、潜在的な弱点がどのように悪用され得るかを調査することで、セキュリティチームが最も重大なリスクを優先して対処できるよう支援する。

テストと修復の仕組み

プラットフォームは、検出事項ごとに、再現手順やテスト結果などの根拠を提示し、チームによる修正案の評価を支援する。テストは顧客が承認した範囲内で行われ、修正案がアプリケーションの想定どおりの動作に与える影響も確認される。顧客が承認するまで、修復のための変更は適用されない。各エージェントは、それぞれ固有のIDを持ち、定義されたタスクの範囲とジャストインタイムの権限のもとで稼働する。また、独立した監視機能が、承認された範囲を逸脱する活動を検出し、停止できる。

Oracleの製品ページによると、探索フレームワークは、顧客が提供する情報とアクセス権を使って顧客のシステムとその接続関係を自動的にマッピングし、テストエージェントが手作業での準備を減らしながら弱点を発見できるようにする。専門エージェントは、システム間で弱点がどのようにつながっているかをたどり、攻撃経路の可能性を検証する一方、別のエージェントが検出事項を再現できるか確認する。発見事項は各企業専用の非公開ナレッジベースに保存されるため、評価を重ねるたびにエージェントがそれまでに学習した内容が活用され、プラットフォームは確認済みの弱点のうち最も深刻なものを優先する。チームは、推奨される修正やエージェントが支援したコード変更を確認してから、再テストを行う。

2026年10月27日付のブログ記事で、OracleのAI担当プロダクトマーケティングマネージャーであるJordan Acostaは、OpenAIのサイバーセキュリティモデルを含む最先端AIモデルと、Oracleのセキュリティに関する専門知識を組み合わせたマネージドプラットフォームについて説明した。同氏が示したワークフローは次のとおりだ。Oracleが顧客のシステムをマッピングし、承認を得るためのテスト計画を提示する。専門のAIエージェントが弱点を調査し、攻撃者がそれをどのように悪用できるかを検証する。別のエージェントがテストを繰り返し、問題が実在することを確認する。コーディングエージェントがチームの承認に向けたコード修正の準備を支援する。変更が適用された後、プラットフォームが問題の解消と通常の動作の継続を確認する。

Acostaは、注文アプリケーションにアクセス確認の処理が欠けている場合を例に、どのようなリスクが生じるかを説明した。注文を確認するためにサインインした顧客が、別の人の注文情報まで取得できてしまい、日常的な業務上のやり取りが個人情報への侵入経路になり得るという。企業のセキュリティテストでAIモデルを有効に機能させるには、システムのマッピング、ツールの接続、調査の調整、検出事項の検証、テスト実行の管理が必要だと同氏は記した。Oracleは、自社システムを大規模にテストするなかで磨き上げた手法、ツール、保護策を基盤として、これらの機能をマネージドプラットフォームにまとめた。そのため顧客は、テスト用インフラストラクチャを自ら構築、運用する必要がない。

人による承認を生体認証で確認

支払いの実行やアクセス権限の変更など、機密性の高い操作を行う前に、OCI Identity Assuranceは生体認証を利用して、承認者本人の身元とその場にいることを確認できる。Oracleによると、AIエージェントのワークフローでは、これにより、承認が本人確認済みの人から行われたことを確かめられる。この機能はOCI Identity and Access Managementに組み込まれており、OCIやOracleのアプリケーションを含む、すべてのOracle Cloudサービスで利用できる。

Oracleによると、生体認証機能は採用から企業システムへの継続的なアクセスまで、従業員のライフサイクル全体も保護する。OCI Identity Assuranceは、本人確認書類の検査と生体認証を組み合わせ、北朝鮮のIT労働者を利用した計画に関与する者など、なりすましを検出できるよう支援する。さらに、生体認証による確認を行うことで、企業リソースにアクセスしている人が登録済みユーザーと一致するかを確かめ、なりすましやアカウントの受け渡しを発見しやすくする。

ゼロトラスト・パケットルーティングと活用例

OCI Zero Trust Packet Routingは2024年に導入され、Oracleは、自社プラットフォームに新興のオープン標準を実装した最初のクラウドプロバイダーだと述べました。OCIのネットワーク基盤に直接組み込まれ、アプリケーションやエージェント自体より下位の層でアクセス・ポリシーを適用します。組織は、人が読める形式のポリシーによってセキュリティ上の要件を定め、どのリソース間の通信を許可するか、また、どの経路から機密データにアクセスできるかを指定します。保護対象のリソースへのトラフィックは、パケットルーティング・ポリシーと既存のネットワーク制御の両方で許可されなければなりません。また、ネットワーク構成が変更されても保護は維持されます。Oracleによると、これにより設定ミスによって機密リソースが露出するのを防ぎやすくなります。

Oracleによると、AIワークロードにおいて、この機能は独立したインフラストラクチャー上の保護策として機能し、侵害されたワークロードを封じ込め、不正なラテラルムーブメントを阻止し、データ流出につながる経路を制限できます。Oracleの実装は、業界の取り組みを通じて策定されたオープン仕様に基づいており、幅広い導入と相互運用性を促進するため、オープンソースのリファレンス実装も公開されています。

OpenAIのサイバーセキュリティ責任者であるJohannes Landgraf氏は、最先端のAIによって、組織がますます巧妙化するセキュリティ脅威を特定し、対応するための新たな機会が生まれていると述べました。Landgraf氏は、「OpenAIの高度なモデルとOracleのエンタープライズ向けセキュリティ機能を組み合わせることで、セキュリティチームが複雑な問題を調査し、重大なリスクに優先順位を付け、必要な管理体制を維持しながら是正措置を迅速化できるよう支援できます」と述べました。

Oracleの製品ページには、4つの業界にわたる想定ユースケースも掲載されています。SaaSアプリケーションを開発・運用するチームは、リリース前に、ある顧客が別の顧客のデータにアクセスできる可能性がないかを検証できます。医療機関のチームは、連携するポータルやアプリケーションを通じて、本来アクセス権のない人に患者記録が公開されていないかを確認できます。金融サービス企業のチームは、口座データや取引データに至る可能性のある攻撃経路を検証できます。また、製造業者は、サプライヤーポータル、在庫システム、ERPアプリケーション間の接続を調べ、生産や受注処理に影響を及ぼすおそれのある不備を特定できます。

Oracleは、このプラットフォームに関心のある組織に対し、利用開始に向けて問い合わせるよう案内しています。