何ができるのか
ペネトレーションテストとは、攻撃者のつもりでシステムに侵入できるかを試す検査です。
この機能は、弱点を見つけて確かめ、直し方まで提案します。再現手順や検証コード、PDFレポートも出せます。
料金と注意点
料金は作業時間あたり$50で、秒単位で計測されます。日本円では約7,910円（税別の目安）です（サイソク編集部の計算）。
初期費用や最低料金はありません。コードを確認する機能は、まだプレビュー版です。
速報AI・テクノロジーAmazon（AWS）
AWS Security Agentの侵入テスト、一般提供 タスク時間$50の従量課金
AWS Security Agentのペネトレーションテスト機能が一般提供になり、東京リージョンを含む複数リージョンで使えます
- 料金はタスク時間あたり$50の従量課金で、秒単位の計測です。初期費用や最低料金はありません
- 脆弱性の公開から悪用までの平均は、2021年の約1年から2026年には1日以内に短縮したとAWSは説明しました
すぐにできること
- 1自社システムの診断対象を決め、タスク時間あたり$50で何時間分になるか試算する
- 2無償のSHIP（約2時間）の内容を確認し、受付の相談の準備をする
- 3Amazon Inspectorで脆弱性の検出結果を確認し、社内の点検に使う
図：サイソクニュース作成
なるほど
AWSの成熟度モデルで、今の段階を確かめる
- AWSのセキュリティ成熟度モデルは「クイックウィン」「基礎」「効率化」「最適化」の4フェーズで構成され、世界中で50,000以上のお客様が実施している。
出典・aws.amazon.com - Amazon Inspectorは、新しいCVEが公開されると最新の構成情報と照合して継続的に評価し、CVSS・ネットワーク到達性・悪用可能性から優先順位をつける。
出典・aws.amazon.com
要約版：専門用語を控えて説明しています
AWS Security Agentは、ソースコードのセキュリティレビューと、侵入を想定した模擬攻撃によるテストを提供するAIサービスです。AWSの公式ブログによると、2026年7月30日のパートナー向けセミナーでAWSの担当者が解説しました。
4つの機能を個別に利用できる
Security Agentには4つの機能があり、それぞれ単独で使えます。
- 脅威モデル：設計書やソースコードから、想定される脅威を自動で整理します。
- デザインレビュー：システムの設計に対するセキュリティ審査です。
- コードレビュー：対応するコードの保存場所やプルリクエスト（変更の提案）を調べ、弱点や組織のセキュリティ要件への準拠を確認し、修正を提案します。プレビュー提供中です。
- ペネトレーションテスト：必要なときに実行でき、弱点を見つけて検証し、修正を提案します。一般提供が始まっています。
SAST（ソースコードの静的検査）、DAST（動作中のアプリの検査）、SCA（使っている部品の検査）と自律型ペンテストを、1つのサービスにまとめたと説明されています。弱点を連鎖させ、証明・再現できる攻撃に変換することで、誤検出やアラートの多さによる疲れを減らせるとしています。
東京リージョンで使える 料金はタスク時間あたり$50
ペンテスト機能の料金は、タスク時間あたり$50の従量課金です。秒単位で計測し、初期費用や最低料金はありません。アジアパシフィック（東京）を含む複数のリージョンで使えます。
検査対象は、AWS上の任意のリージョン・エンドポイントで、パブリックとプライベートのどちらにも対応します。AWSとオンプレミスの併用、Google CloudやMicrosoft Azure、Oracle Cloudなどのマルチクラウド、SaaSのエンドポイントにも対応するとしています。
結果として、明確な再現手順と検証コードが提供され、推奨される修正コードを生成できます。PDFレポートの出力も可能です。
脆弱性の公開から悪用までの平均時間は1日以内に
AWSが示した背景は、脆弱性の公開から悪用までの時間の短縮です。
Zero Day Clockのデータでは、公開から悪用までの平均時間が次のように変わりました。
- 2021年：平均約1年
- 2026年：1日以内
今後は1時間以内になると予測されています。
AIの普及で、高度な技術を持たない攻撃者でも大規模な攻撃を実行しやすくなりつつあるとAWSは見ています。狙われるのは高度な欠陥だけでなく、公開されたままの管理ポートや弱いパスワード、単一要素認証といった基本的な不備でもあります。
セミナーでは、Anthropicの「Project Glasswing」にも触れました。Claude Mythos Previewと共に発表された取り組みです。
2026年6月2日時点で約5,000件の脆弱性が早期に見つかり、うち約30%がクリティカルから高リスクでした。AWSはローンチパートナーとして参加しています。Anthropicの未公開AIによる脆弱性発見は、サイソクでも報じました（Anthropic、未公開AIでChromeやSafariなどの深刻な脆弱性を発見）。
AWSは今後予想される脅威を2種類に分けました。
- 管理された脅威：大量のCVE（脆弱性の識別番号）が公開され、パッチ適用の負荷が増えることが想定される。
- 未知の脅威：AIが未知の脆弱性を自律的に見つけて悪用する可能性。
管理された脅威への短期的な対策として、Amazon Inspectorによる迅速な検出、AWS WAFによる多層防御、パッチ適用の日常業務化を挙げました。中長期では、マネージドサービスを活用し、OSやミドルウェアのパッチ責任をAWSに移すことなどが挙げられました。
未知の脅威への対策としては、短期的にはAIを活用した脆弱性スキャンやレビュー、パッチ適用の日常業務化を紹介しました。中長期では多層防御と検知・対応能力の強化を挙げています。
無償のSHIPは10のユースケースで改善を支援
AWSは、無償のSecurity Health Improvement Program（SHIP）も紹介しました。10のセキュリティユースケースにわたるデータを基に、サービス活用の不足を特定し、ベストプラクティスに関する指針を提供します。
約2時間のプログラムで、内訳は次のとおりです。
- 打ち合わせ：45分
- 実施：60分
利用前に確認したい費用と提供状況
コードレビュー機能はプレビュー提供中です。ペンテストの料金はタスク時間に応じて決まるため、総額を見積もるには必要なタスク時間が分かる必要があります。資料には、アプリの規模ごとのタスク時間の目安は示されていません。
判断ガイド試すかどうか、迷ったときの決め方
判断ガイド
試すかどうか、迷ったときの決め方
状況ごとのおすすめと理由です。どれを選ぶかは、ご自身の状況で決めてください。
ペンテスト機能を今すぐ試す？
- 状況
- 自社システムの診断対象が決まっている
- おすすめ
- 少量の診断で費用を見てから判断してよい
- 理由
- 1タスク時間あたり$50の従量課金で、初期費用や最低料金はありません。ただしアプリ規模ごとの総額の目安はまだ発表されていません。
- 出どころ
- 出典・aws.amazon.com
- 状況
- 診断対象がまだ決まっていない
- おすすめ
- 対象の洗い出しを先に行い、急がなくてよい
- 理由
- 対象が決まっていないと試算できません。AWS上の任意のリージョンやエンドポイントに加え、オンプレミス、マルチクラウド、SaaSも対象にできます。
- 出どころ
- 出典・aws.amazon.com
コードレビュー機能も今すぐ使う？
- 状況
- コードレビュー機能にも興味がある
- おすすめ
- 一般提供の時期が発表されるまで、現状を確認しておく
- 理由
- コードレビュー機能はまだプレビュー提供中で、一般提供の時期は発表されていません。今回一般提供になったのはペネトレーションテスト機能です。
- 出どころ
- 出典・aws.amazon.com
不安Q&A
基本の不備は残っていない？
AWSのセキュリティ対策は、どこから始めればいい？
AWSはセキュリティ成熟度モデルを公開し、組織の成熟度に合わせて対策の優先順位を決める枠組みとして、「クイックウィン」「基礎」「効率化」「最適化」の4フェーズを示しています。50,000以上のお客様が実施しているとされます。
出典・aws.amazon.com今できること成熟度モデルで今の段階が4フェーズのどこに当たるかを確かめ、次にやることを決める。
公開された管理ポートや弱いパスワードは狙われる？
AWSは、攻撃が高度な欠陥だけでなく、公開されたままの管理ポート、弱いパスワード、単一要素認証といった基本的な不備にも向いていると見ています。
出典・aws.amazon.com今できること管理ポートが外部に開いていないか、単一要素認証のままの箇所がないかを社内で点検する。
見つかった脆弱性は、どれから直せばいい？
Amazon Inspectorは、新しいCVEが公開されると最新の構成情報と照合して継続的に評価します。CVSS、ネットワーク到達性、悪用可能性を組み合わせ、本当に危険なものから優先して対処できるよう支援します。
出典・aws.amazon.com今できることAmazon Inspectorの検出結果を確認し、危険度の高いものから直す順番を決める。
診断の結果は、どんな形で受け取れる？
結果は、明確な再現手順と検証コード、推奨される修正コード、PDFレポートとして出力できます。修正コードはAWSセキュリティベストプラクティスを活用して生成されます。
出典・aws.amazon.com今できることPDFレポートの再現手順と検証コードを確かめ、推奨修正を社内の担当者と進める。
AWS Security Agentを使わない場合、無料で現状を診断する方法はありますか？
Security Health Improvement Programが使えます。約2時間で、全AWS顧客が無料で受けられ、サポートの種類は問いません（AWS公式ページ、11/12確認）。
AWS Continuumのペンテストには無料トライアルがありますか？
新規の顧客には、最初の実行から2か月の無料トライアルがあります。各月400タスク時間までで、超えた分は従量課金です（AWS公式ページ、11/12確認）。
パートナー企業は自社テストや顧客向け診断に活用
セミナーでは、システム構築での活用に加え、次の例が挙がりました。
- 自社サービスのセキュリティテスト
- 顧客向け診断サービスの高度化
- マネージドセキュリティへの組み込み
利用を検討する際は、まず検査対象の環境と、タスク時間あたり$50という料金を確認するとよいでしょう。
よく読まれている記事
なぜ起きた？なぜ悪用が早くなったのか
背景
なぜ悪用が早くなったのか
脆弱性が公開されてから悪用されるまでの時間が、2021年の平均約1年から2026年には1日以内へ短縮されたためです。AIの普及で、高度な技術がない攻撃者でも大規模な攻撃をしやすくなったとAWSは見ています。
出典・aws.amazon.com手順と公式窓口上の「すぐにできること」の手順と、困ったときの連絡先
すぐにできること
今日、社内で確かめられること
自社システムの診断対象を決め、タスク時間あたり$50で何時間分になるか試算する
- 1-1ブログの「ペネトレーションテスト機能の詳細」を開く
- 1-2料金はタスク時間あたり$50の従量課金（秒単位）と確認
- 1-3初期費用や最低料金がないことを確認
- 1-4診断対象のリージョンやエンドポイントを書き出す
無償のSHIP（約2時間）の内容を確認し、受付の相談の準備をする
- 2-1ブログの「Security Health Improvement Program（SHIP）」を開く
- 2-245分のディスカバリーと60分の実施の内訳を確認
- 2-310のセキュリティユースケースで診断されることを確認
Amazon Inspectorで脆弱性の検出結果を確認し、社内の点検に使う
- 3-1Amazon Inspectorを開く
- 3-2エージェント不要でニアリアルタイムに脆弱性を管理できると確認
- 3-3新しいCVEが公開されると継続的に評価されると確認
公式窓口
問い合わせ先と、読むべきページ
SMSやメールに書かれた連絡先ではなく、ここにある公式の窓口を使ってください。
Security Health Improvement Program（SHIP）
10のセキュリティユースケースを対象に、2時間のエンゲージメント（45分のディスカバリー＋60分の実施）で行われます。
公式ページを開く（aws.amazon.com）使う人への影響
- セキュリティ担当は、模擬攻撃の診断をタスク時間あたり$50（約7,910円・税別の目安）で試算できます。
- 自社の弱点を先に知りたい企業は、無償のSecurity Health Improvement Programで約2時間の診断から始められます。
発表内容をもとにした一般的な情報です。導入や契約の判断は、公式情報を確かめたうえでご自身で行ってください。
今すぐ使える
サイソクの判定
自社システムの診断を外部委託している企業は、東京リージョンで$50/時の従量課金を試算するとよいでしょう。
- 利用できる
- タスク時間$50の従量課金
- セキュリティ担当
11/12時点の判定。発表内容をもとにAIで判定しています。最新の提供状況は公式情報をご確認ください。
出典を見る（3件）
・確認方法・更新履歴
- 出典（公式）
- AWS ブログ（日本）「【開催報告 & 資料公開】Claude Mythos 時代の AWS セキュリティ対策 ～ AWS Security Agent ご紹介 ～」
- 確かめた資料
- 料金：Anthropic公式の料金ページ（11/11確認）
- 計算：サイソク編集部の計算（元記事と上の資料の数字から）
- 日時
- 公式発表 サイソク掲載
- 確認方法
- 公開前に、本文を出典と自動で照合しています（事実確認 90点／100点、70点未満は非公開）。制作と確認の方法
毎朝7時、暮らしとお金のニュースの要点を5本
前日に出た記事から、給付・税・料金・値上げなど暮らしとお金に関わる話を中心に選び、1本2行でまとめてメールで届けます。無料・いつでも解除できます。
大きな速報を、通知ですぐに
主要企業の大きな発表だけ、1日4回まで。夜22時〜朝7時は鳴らしません。いつでも解除できます。
本記事は公式発表の文章をもとにAIが要約・解説して自動生成したものです。誤りが含まれる可能性があるため、正確な仕様・料金は公式発表をご確認ください。元記事を読む制作方法と事実確認の手順は編集方針をご覧ください。誤りのご指摘はお問い合わせから受け付けています。