3分でわかるAWS Security Agent
■はじめに
こんにちは。トヨタコネクティッドでソフトウェアエンジニアをしている別所です。
この記事では、AWS re:Invent 2025 で発表された新サービス AWS Security Agent について、AWS 公式のブログや現地セッションの内容をもとに、3分でわかる形で紹介します。
■このサービスを簡潔に表現すると？
一言で言うと、設計レビュー・コードレビュー・ペネトレーションテスト (ペンテスト) を、組織のセキュリティ要件に合わせて自動で実行してくれる AI セキュリティエンジニア
です。
設計書をアップロードすると、あらかじめ定義したセキュリティ要件に沿ってレビューしてくれる
GitHub のPRを自動レビューし、OWASP Top 10 などの一般的な脆弱性の指摘や、組織で定義したカスタムセキュリティ要件に準拠しているかを指摘してくれる
Web アプリ・API に対して、文脈を理解したペンテストをオンデマンドで実行してくれる
これらを一つのエージェントが一連の流れで実行してくれるのが特徴です。
■ これまでできなかったことが、どうできるようになる？
1. セキュリティレビューを待つ時間を大幅に短縮できる
従来のやり方だと、
設計レビュー: セキュリティチームにレビューを依頼 ⇒ 結果を数日待つ
ペンテスト：外部ベンダーや社内の専任チームに依頼 ⇒ 結果を数週間待つ
と、外部チームの確認を待つ時間が多く発生していましたが、Security Agent を使うことで、
設計レビュー: 設計書をアップロード ⇒ 数分で結果が出る
コードレビュー: プルリクエストを作成 ⇒ 自動でチェックされる
ペンテスト: ターゲットURLやスコープを指定して実行 ⇒ 最長でも数時間程度でレポートが作成される
と、人手で行っていた時間のかかるチェック作業を大幅に短縮する事ができます。
2. 共通のセキュリティ要件にしたがってチェックを実行できる
Security Agent のコアとなるのは、Security Requirements (セキュリティ要件) です。
AWS が用意したマネージドなセキュリティ要件 (セキュリティのベストプラクティスに基づくもの)
会社ごとのポリシー（個人情報保護ポリシーやネットワーク分離、暗号化キーの要件など）を定義するカスタム要件
これらの要件を定義しておくことにより、設計レビューでは、「ドキュメントが要件を満たしているか」、コードレビューでは「Pull Request のコードが要件に違反していないか」を、共通のセキュリティ要件にしたがって自動でチェックすることができます。
3. ペンテストのハードルが低くなる
従来のペンテストには、
予算と工数の関係でクリティカルなシステムだけが対象になりがちになる
依頼から結果までに時間がかかり、迅速なフィードバック・改善を実施することが難しい
といった問題がありました。
弊社でも過去に、一部サービスで外部コンサルを活用したレッドチーム演習 (各種脆弱性診断を含む) を実施したことがあるのですが、演習自体は非常に有用だった一方で、やはり関係者の調整や準備など人的コストが大きく、継続的な実施のハードルの高さに課題を感じていました。
Security Agent のペンテスト機能には、このように人的・時間的コストのかかっていたペンテストを、オンデマンドかつ自動で実行する仕組みが備わっています。
具体的には、
ターゲットURL・認証情報・設計資料・ソースコードなどを読み込む
アプリの構造やビジネスロジックを理解したうえで脆弱性を探す
実際に攻撃手順を踏んで、再現手順や修正案までをセットでレポートする
という流れで、人間のペンテスターに近いテストを行うことができます。これにより、ペンテストをより広い範囲のシステムに、より高頻度で実施することが現実的になります。
■re:Invent 現地で感じたリアルな印象
現地のセッションでは、"from candle age to electricity age" (ろうそくの時代から電気の時代へ) というフレーズが何度も出てきたのが印象的でした。
これまでのプロアクティブセキュリティ (設計レビューやペンテスト) がいわば「高価なろうそく」だったのが、Security Agent の登場で「誰にでも利用可能な電気」になったのだ、という点が繰り返し強調されていました。
実際、セットアップが手軽にでき、Security Agent が public preview 期間中 (※2026年1月時点) でコストもかからないため、まずは社内の小さなサービスなどを対象に、どの程度まで実務のレビューに使えるのか試してみたいと思いました。
