はじめに

AWS re:Invent 2025 でプレビューが発表され、2026年3月31日に正式 GA（一般提供） となった AWS Security Agent について、インフラ担当者の視点でまとめました。

正直に言うと、このサービスを調べ始めたきっかけは「外部の侵入テスト業者に依頼するたびに数週間待ちで高コスト」という現状に対する限界感でした。年に1〜2回しか実施できず、その間に新機能がリリースされても都度テストできない。開発スピードと安全性の確保を両立させるのが難しい状況が続いていました。AWS Security Agent はその課題に対する一つの有力な回答だと感じています。

📌 本記事で分かること：AWS Security Agent の概要・3 つのコア機能・アーキテクチャ・対応リージョン・導入手順を AWS 公式ドキュメントをもとにインフラ担当者の視点でまとめています。東京リージョン（ap-northeast-1）でも利用可能です。

AWS Security Agent の概要

AWS Security Agent は、設計（Design）→ 開発（Code）→ 本番（Deploy） の各フェーズでセキュリティリスクを継続的に検出・報告するマネージドエージェントサービスです。インフラ担当者として注目したのは、単なるスキャンツールではなく、ソースコードや設計書を学習した上でカスタマイズされた攻撃シナリオを自動生成できる点です。従来の SAST / DAST では見逃しがちな複雑な脆弱性も検出できます。

フェーズ	機能	概要
Phase 1 — Design	設計レビュー	アーキテクチャドキュメントを解析し、コード実装前にセキュリティリスクをフィードバック
Phase 2 — Code	コードレビュー	GitHub のプルリクエストを自動検査し、開発者に修正ガイダンスを直接提供
Phase 3 — Deploy	侵入テスト	本番・ステージング環境に対して多段階攻撃シナリオを実行し脆弱性を検証

AI エージェント駆動：複数の特化型 AI エージェントが連携し、OWASP Top 10 を超えたビジネスロジック欠陥まで検出します。
数時間で完了：従来は数週間かかっていた侵入テストを数時間に短縮。開発リリースのたびに実施できるサイクルが実現します。
マルチクラウド対応：AWS・Azure・GCP・オンプレミスを横断してテスト可能。複数クラウドを並走させている環境でも一元管理できます。

⚠️ 注意：本記事の情報は 2026年6月時点のものです。サービスは継続的に更新されるため、最新情報は AWS Security Agent 公式サイトおよび AWS ドキュメントをご確認ください。

3 つのコア機能

1. デザインセキュリティレビュー

設計フェーズでアーキテクチャドキュメントを読み込み、コードを書く前にセキュリティリスクを洗い出す機能です。インフラ担当者として特に評価しているのは、「設計段階での指摘」という点。実装後に脆弱性が見つかると修正コストが跳ね上がります。組織のセキュリティ要件（AWS 管理要件またはカスタム定義）への準拠チェックも自動化されるため、コンプライアンス対応の手間も軽減できます。

入力	出力
アーキテクチャドキュメント（PDF・Markdown 等）	セキュリティリスク一覧・コンプライアンス評価・改善提案
API 仕様書・シーケンス図	認証・認可の設計欠陥の指摘
組織のセキュリティポリシー	ポリシー違反箇所のリストアップ

💡 NIST によると、設計フェーズでの修正コストは本番後の修正コストの 約 100 分の 1 とされています。早期発見の効果は数字でも明らかです。

2. コードセキュリティレビュー

GitHub のプルリクエストと連携し、マージ前にコードの脆弱性を自動検出します。開発者の PR に直接コメントが届くため、セキュリティ担当者が都度コードレビューに入らなくても済むのが現場としては助かります。人手不足が続くセキュリティ担当部門の負荷を下げながら、品質を維持できる仕組みです。

検出する主な脆弱性カテゴリ：

SQL インジェクション
クロスサイトスクリプティング（XSS）
SSRF（サーバーサイドリクエストフォージェリ）
安全でない逆シリアル化
不適切なアクセス制御
機密データの平文保存
ハードコードされた認証情報
組織ポリシー違反

✅ GitHub Enterprise 対応：大規模リポジトリ管理にも対応しており、既存の PR レビュープロセスに組み込めます。導入時の開発フロー変更が最小限で済む点も評価ポイントです。

3. オンデマンドペネトレーションテスト

AWS Security Agent の中核機能です。13 のリスクカテゴリにわたって複数ステップの攻撃シナリオを自動実行します。これまで外部業者に依頼していた侵入テストをオンデマンドで実施できるのは、インフラ担当者にとって運用の自由度が大きく上がります。リリース前のタイミングや、大規模な構成変更後にすぐ実行できる点が特に有用です。

対応する 13 のリスクカテゴリ：

認証（Authentication）
認可（Authorization）
インジェクション攻撃
セッション管理
暗号化の不備
安全でない設定
脆弱なコンポーネント
ロギング・モニタリング不足
サーバーサイドリクエストフォージェリ
ビジネスロジック欠陥
API セキュリティ
データ漏洩リスク
インフラ設定ミス

テスト完了後は以下を含む詳細レポートを自動生成します：

レポート項目	内容
CVSS リスクスコア	業界標準の脆弱性スコアリングによる客観的な深刻度評価
アプリケーション固有の重大度	環境コンテキストを加味したリスク評価
再現可能な悪用パス	脆弱性の再現手順を段階的に記述（PoC）
修正提案	すぐに実装できる具体的な修正コードや設定変更の提示
PDF エクスポート	監査・コンプライアンス提出用にカスタマイズ可能なレポートのダウンロード

その他の主要機能

コンテキスト認識テスト

個人的に最も評価している差別化ポイントです。ソースコード・API 仕様書・ビジネスドキュメントを学習させることで、汎用的な自動スキャナーでは到達できないアプリケーション固有の脆弱性を発見できます。「うちのシステムはビジネスロジックが複雑で既存ツールでは検出できない」という悩みを抱えている現場にこそ響く機能です。

従来の自動スキャナー	AWS Security Agent
シグネチャベースの既知パターン検出のみ	アプリのコードと仕様を理解した上でテスト
アプリのビジネスロジックを理解しない	ビジネスロジック上の欠陥も検出
大量の誤検知（False Positive）	精度の高い検出で誤検知を最小化
複数ステップにまたがる攻撃を検出できない	多段階攻撃シナリオのシミュレーション
コンテキストなしの汎用レポート	アプリ固有の修正提案を生成

マルチクラウド対応

AWS 上のアプリケーションだけでなく、Azure・GCP・オンプレミスのリソースも横断的にテストできます。弊社のように複数クラウドを組み合わせて運用している環境では、ツールをクラウドごとに使い分けなくて済む一元管理の恩恵は大きいです。

Amazon Web Services
Microsoft Azure
Google Cloud Platform
オンプレミス
ハイブリッドクラウド

CI/CD パイプライン統合

完全な API 対応により、CI/CD パイプラインへの組み込みが可能です。デプロイのたびに自動で侵入テストを実行し、脆弱性が含まれるリリースをブロックするゲートとして機能させられます。インフラ担当者として「リリース後に問題が発覚して深夜対応」というシナリオを減らせる仕組みとして注目しています。

コードコミット — 開発者が PR を作成
コードレビュー — PR 自動スキャン（AWS Security Agent）
ビルド＆テスト — CI パイプライン通過
侵入テスト — Security Agent が自動実行
承認後デプロイ — クリーンな本番環境へリリース

レポート機能

侵入テスト完了後、カスタマイズ可能な PDF レポートを自動生成します。SOC 2・ISO 27001・PCI DSS などの監査対応に使えるフォーマットで出力できるのは、コンプライアンス要件が厳しい業種では特に助かります。経営層向けのエグゼクティブサマリーと技術担当者向けの詳細版を使い分けられる点も実務で役立ちます。

エグゼクティブサマリー：経営層・CISO 向けのリスク概要
技術詳細レポート：開発・セキュリティチーム向けの再現手順・修正コード付き詳細版
CVSS スコアリング：業界標準の脆弱性重大度評価を全検出項目に付与
修正ロードマップ：優先度別の修正計画テンプレートを自動生成
コンプライアンス対応フォーマット：SOC 2 / ISO 27001 / PCI DSS 監査対応

アーキテクチャ

AWS Security Agent は Agent Space（エージェントスペース） という論理的なスコープ境界を中心に構成されています。テスト対象・セキュリティ要件・アクセス権限をひとまとめにした管理単位で、複数のアプリやチームを運用する環境でも整理しやすい設計です。

コンポーネント	役割
Agent Space	テスト対象・セキュリティ要件・権限を管理する論理コンテナ。アカウント内に複数作成可能
AI エージェント群	偵察・攻撃・検証・レポートを担当する特化型エージェントが連携して動作
セキュリティ要件エンジン	AWS 管理の標準要件またはカスタム定義を参照し、テスト基準を動的に調整
レポートエンジン	検出結果を集約し CVSS スコアリング・修正提案を付けて PDF・API 形式で出力
GitHub 統合レイヤー	PR イベントをトリガーにコードレビューを自動起動し、結果をコメントとして投稿

IAM Identity Center または IAM ベースのアクセス制御を利用し、管理者・セキュリティ担当・開発者など役割ごとに権限を細かく分離できます。最小権限の原則を守りながら運用できる点はインフラ担当者として安心できます。

対応リージョン（GA 時点）

プレビュー時点では米国東部（バージニア北部）のみでしたが、GA（2026年3月）で 6 リージョンに拡大されました。アジアパシフィック（東京：ap-northeast-1） も含まれており、データの国内残留要件がある場合にも対応できます。

リージョン名	リージョンコード
米国東部（バージニア北部）	`us-east-1`
米国西部（オレゴン）	`us-west-2`
ヨーロッパ（アイルランド）	`eu-west-1`
ヨーロッパ（フランクフルト）	`eu-central-1`
アジアパシフィック（シドニー）	`ap-southeast-2`
アジアパシフィック（東京）★	`ap-northeast-1`

利用開始手順

AWS Management Console から数ステップで開始できます。インフラ担当者として最初に確認すべきは IAM 権限の設計です。最小権限で運用できるよう、専用ロールを事前に用意しておくことを推奨します。

IAM 権限の設定：AWS Security Agent 用の IAM ロールを作成します。IAM Identity Center または IAM ベースのアクセス制御を構成してください。
Agent Space の作成：利用するリージョン（例：ap-northeast-1 東京）で Agent Space を作成し、テスト対象のアプリケーションとスコープを定義します。
セキュリティ要件の設定：AWS 管理の標準要件セット、またはカスタム要件（自社ポリシー準拠）を選択・設定します。
利用する機能を有効化：デザインセキュリティレビュー・コードセキュリティレビュー・侵入テストの中から必要な機能を有効にします。
GitHub リポジトリ連携（コードレビュー使用時）：GitHub または GitHub Enterprise リポジトリを接続し、PR 作成時に自動でコードセキュリティレビューが起動するよう設定します。
侵入テストの実行：テスト対象の URL・API エンドポイントを指定してテストを開始。完了後はダッシュボードから PDF レポートをダウンロードできます。

📎 参考：AWS CLI v2 以降で aws securityagent コマンドが利用可能です。CI/CD パイプラインへの統合や自動化に活用できます。

まとめ

インフラ担当者の立場から見ると、AWS Security Agent は「セキュリティテストの内製化」という長年の課題に対して現実的な解を提示しているサービスです。特にコンテキスト認識によるテスト精度と、設計・コード・本番という3フェーズをカバーする一貫した仕組みは、従来の自動スキャナーや外部業者依存の体制からの脱却を後押しします。

項目	内容
向いているケース	高頻度リリースを行う組織、侵入テストの内製化を目指すチーム、マルチクラウド環境を運用する企業
3 つのコア機能	デザインセキュリティレビュー / コードセキュリティレビュー / オンデマンドペネトレーションテスト
東京リージョン	ap-northeast-1 で利用可能。データ国内残留要件がある場合も対応可
コスト	外部業者への手動テスト依頼と比較して大幅な低コスト化が見込める。まず 2 ヶ月無料トライアルで検証を推奨
CI/CD 統合	API 完全対応。GitHub 連携で PR ごとの自動セキュリティゲートを構築可能
弊社評価	★★★★★ — 開発速度を落とさずセキュリティ品質を高める有力なソリューション

弊社では今後、実際の検証環境での動作確認や、AWS DevOps Agent との連携シナリオについても記事化していく予定です。ご興味があればお気軽にお問い合わせください。

参考リンク：
AWS Security Agent 公式サイト / AWS Security Agent ユーザーガイド / AWS ブログ：プレビュー発表（2025年12月）

# 自動化

設計からデプロイまでアプリを守るAWS Security Agentの概要と各機能紹介