株式会社エーアイセキュリティラボは2026年10月1日、クラウド型Webアプリケーション脆弱性診断ツール「AeyeScan」に、生成AIを活用してAndroidアプリの脆弱性診断を自動化する新機能を追加し、2026年9月28日から提供を開始したと発表した。
事案の詳細
今回のニュースは、株式会社エーアイセキュリティラボが「AeyeScan」に生成AIを搭載したAndroidアプリ向けの脆弱性診断機能を追加したという発表に関するものだ。従来のWebアプリケーション診断に加え、モバイルアプリの画面操作やバックエンドAPIを含むセキュリティテストを自動化する。
同機能では、生成AIと自律型UIクローラーを組み合わせ、アプリの画面を視覚的に理解しながら、ボタンや入力欄などの画面要素を認識して巡回する。スクリーンショットを基にした認識を活用するため、XMLやDOM構造の解析だけに依存せず、独自のUIフレームワークを採用したアプリや難読化されたコードを含むアプリにも対応できるとしている。
また、画面の自動操作に加えて、バックエンドAPIを含む網羅的なセキュリティテストを実行する。これにより、モバイルアプリ開発で課題となる専門家不足、高コスト、テストの形骸化への対応を目指す。検索結果で確認できた範囲では、今回の発表で明示されている対象プラットフォームはAndroidであり、iOSへの対応状況、具体的な診断項目、料金、利用条件などの詳細は現時点で不明である。
影響と背景
モバイルアプリでは、画面上の機能だけでなく、アプリとバックエンドAPIの通信、認証・認可、保存データ、アプリのバイナリなどを横断して確認する必要がある。診断を自動化することで、専門人材や手動テストに依存していた工程の効率化が期待される一方、自動診断だけで全てのリスクを把握できるとは限らないため、重要なアプリや高リスク機能については手動診断やコードレビューなどを組み合わせる必要がある。
今回の機能追加は、生成AIによる画面認識と自律型UIクローラーを利用し、Androidアプリの診断を自動化する取り組みである。AeyeScanがWebアプリケーション、API、モバイルアプリを横断した診断に対応することで、開発ライフサイクル全体でセキュリティ確認を行う選択肢が広がる。
対策・今後の展望
組織側は、モバイルアプリをリリースしてから診断するのではなく、設計、開発、テスト、リリース後の運用に診断を組み込む必要がある。自社開発・委託開発を問わず、アプリ本体、バックエンドAPI、認証基盤、管理画面、外部サービスとの連携範囲を整理しておくことが重要になる。
- 棚卸し：利用中および開発中のモバイルアプリ、対応OS、バックエンドAPI、認証方式、提供・運用主体を整理する。
- 診断の位置付け：リリース前、重要機能の追加時、認証方式やAPIの変更時、OS更新対応時など、診断を実施するタイミングを決める。
- 自動診断と手動確認の使い分け：自動診断で広範囲を確認したうえで、認証・認可、決済、個人情報処理などの重要領域は手動診断やコードレビューも実施する。
- 結果の扱い：指摘事項の受け取り先、リスクに応じた改修期限、再診断の方法、修正完了の確認者をあらかじめ定める。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIが支援する中小企業の診断現場では、モバイルアプリ自体の脆弱性診断が未実施のまま運用されている例があります。MDR運用でも、モバイル起点の不審なログイン試行やアカウント悪用が後から発覚し、端末、アプリ、API、ID管理の責任範囲が分断しているケースが課題になります。ただし、これらは個別の支援現場に関する見解であり、今回の発表で確認された事実ではありません。
【平易な解説】モバイルアプリは、会社の受付窓口がスマートフォンに移ったものと考えられます。画面の操作だけでなく、受付の裏側にあるAPIや認証の仕組みに弱点があると、権限のない操作や情報取得につながる可能性があります。脆弱性診断は、アプリの画面と裏側の仕組みを点検し、問題の修正につなげる作業です。
【今週中にできること】まず、業務で使うAndroidアプリの一覧と、開発会社・運用部署などの担当窓口を確認してください。次に、アプリが接続するAPI、認証方式、直近の更新予定や機能追加の有無を整理し、更新の前後で診断や確認を行う方針を決めます。最後に、診断結果の受け取り先、改修の優先順位、再診断の手順を文書化しておくと、問題発見後の対応が円滑になります。