記事のサマリー（TL;DR）
- サイボウズがAIモデル「Mythos」の脅威に備え、2025年6月に社内横断チーム「Logos プロジェクト」を発足
- Claude Opus 4.8 ベースのセキュリティスキャンハーネスで主要アプリの脆弱性候補260件を検出、約50件を認定・修正リリース済み
- 2ヶ月でハーネスを完成させ、現在は PSIRT が引き継いで継続運用フェーズへ移行
国内 SaaS 事業者・情報システム部門が注目すべきAI脅威対策の実装モデル
サイボウズの取り組みは「AI がコードを読んで脆弱性を探す」という実験フェーズを卒業し、組織横断のプロセスとして定着させるまでの道筋を示した点で注目に値します。
日本国内でも kintone や Garoon など業務 SaaS を中核に据える企業は多く、「自社サービスのリポジトリに AI をあてても誤検出ばかり」という壁に直面しているケースは珍しくありません。サイボウズが実証したのは、その壁をハーネス設計（タスク分割・重複フィルタ・半自動再現確認・フィードバックループ）と横断チーム編成で乗り越える方法論です。
特に実用上のポイントは、「相談が必要な部署をそのままメンバーに引き込む」という体制設計です。AI ガバナンスチーム・PSIRT・製品チームを一つの即席チームに集め、経営層のトップダウン承認を得てスピードを確保した手法は、稟議プロセスが長くなりがちな国内の大企業・中堅 SaaS 事業者でも再現性のあるパターンです。kintone 上に専用承認フローを組む、Salesforce の PSIRT 相当機能と連携する、といった構成でも同様の横断チーム設計が応用できます。
詳細
Logos プロジェクトの発端
2025年4月、AI モデル「Mythos（ミュトス）」の存在がアナウンスされました。サイボウズのサービスにも攻撃リスクがあると判断し、5月から一人のエンジニアが複数モデルを使った検証を開始。6月に「Mythos が近く公開される」という続報を受け、社内で本格的な対策プロジェクト「Logos（ロゴス）」を発足させました。
プロジェクト名の由来は対比にあります。
| 名称 | 意味 |
|---|---|
| Mythos（ミュトス） | 神話・物語・語られるもの＝人を動かす物語 |
| Logos（ロゴス） | 説明可能な言葉・理性・理論＝物語を検証する |
実際には、Mythos 相当の高性能モデルはセーフガードを搭載した「Fable」の公開にとどまり、Mythos 本体は現在も一般公開されていません。しかし、オープンウェイトモデルを含む各モデルが進化し続ける限り、AI を悪用した攻撃リスクは恒常的に存在するという認識がプロジェクトの前提にあります。
セキュリティスキャンハーネスの設計思想
単純に「リポジトリを AI に渡して脆弱性を探させる」手法では、一般的な Web サービスの脆弱性パターンに対する誤検出ばかりが出てくる課題がありました。そこでサイボウズはセキュリティスキャンハーネスを独自開発しました。ハーネスが備える主な機能は次のとおりです。
- 製品情報の把握 — 製品固有のコンテキストをモデルに正確に与える
- タスク分割実行 — 長大なスキャンを細かいタスクに分解して順次実行
- 重複・誤検出フィルタ — 検出結果から不要なノイズを除去
- 半自動再現確認 — 脆弱性候補が実際に再現可能かを半自動で検証
- フィードバックループ — 結果を次回スキャンに反映して精度を向上
当時利用していたモデルは Claude Opus 4.8 相当。繰り返し実行によって精度を上げつつ、上位モデルが公開されたらモデルだけを差し替えられる設計にしました。「Mythos へのアクセスが得られなくても、ハーネスがあれば事前準備ができる」という発想です。
横断チームの編成と経営層の関与
ハーネスの開発を一人で進めるには多くの障壁がありました。社内 AI サービスのルール・利用可能なアカウント・実行サンドボックス・予算承認など、それぞれの担当部署に個別に相談しなければ前に進めない状況です。さらに、検出された脆弱性候補が「本当に脆弱性かどうか」を判断する専門知識、修正後の製品リリースを実行するエンジニアリング体制も必要でした。
この問題をサイボウズは「相談しなければならないチームそのものをメンバーに組み込む」という方法で解決しました。
| 参加チーム | 役割 |
|---|---|
| AI やっていきチーム | 社内 AI ルールの整備・アカウント管理。新モデルの試験導入も担当 |
| PSIRT | 脆弱性報奨金制度の運営・セキュリティスキャン担当。AIレポートを直接トリアージし脆弱性認定 |
| 製品チーム | 脆弱性報告の受け取り・修正・リリースを実施 |
経営層も含めた状況説明を行い、トップダウンで承認を得た即席の横断チームです。このチームで「ハーネス開発 → 製品スキャン → 修正・リリース」のサイクルを2ヶ月間回し続けました。
Logos プロジェクトの成果と次フェーズ
6月の発足から2ヶ月で以下の成果を達成しました。
- スキャン結果: サイボウズ主要アプリで AI が約 260 件の脆弱性候補をレポート
- 脆弱性認定: そのうち約 50 件を脆弱性として認定
- 修正・リリース: 重要度の高いものは修正済みリリースを完了
現在、ハーネスは PSIRT に引き継がれ、継続的な改善・運用フェーズに入っています。Logos チームはすでに解散し、各メンバーは通常業務に戻りながら、必要に応じてハーネスへのコントリビュートを続ける体制に移行しました。
サイボウズは今後、このセキュリティスキャンハーネスの全容と取り組みの詳細を、複数回にわたって追加公開する予定です。