セキュリティ専任チームがいなくても回せる、AIによる外部攻撃面の運用 ― PentaTrail（ペンタトレイル） CTEM/ASM

株式会社ペンタコン研究所（所在地：東京都中央区、代表取締役：平舘一哉）は、企業の外部攻撃面を継続的に監視・管理するCTEM/ASMサービス「PentaTrail（ペンタトレイル） CTEM/ASM」の正式提供を2026年8月に開始しました。ベータ提供で得た知見を反映し、セキュリティの専任チームがいない企業でも外部攻撃面を運用しきれるように、発見から脆弱性の実証、対処、経営への報告までをAIで自動化し、営業や見積もりを介さずに始められる形にしました。

PentaTrail のタイトルスライド。「セキュリティ専任チームがいなくても、回せる」の見出しと、「AIによる外部攻撃面の運用 ― CTEM / ASM プラットフォーム」「発見から脆弱性の実証・対処・経営報告まで。人手のアナリストを前提にしない作りで、月額40,000円から。」の説明

背景 ― 見えない外部資産が、最大の侵入口に

攻撃の起点は、企業が把握しきれていない外部の資産に移っています。ランサムウェア被害の侵入口は8割超がVPNなど外部に公開された機器で〔注1〕、攻撃者に見えているものが自社に見えていないことが、そのまま最大の弱点になっています。直すまでの猶予もなく、インターネットに面した機器では、公表された時点ですでに悪用が確認されている脆弱性が半数を超えていました〔注2〕。経済産業省が取引先のセキュリティ対策を評価する制度（SCS）を整えており〔注3〕、自社の状態を客観的に説明できるかも問われ始めています。

対策が必要だとわかっていても、セキュリティの専任チームを置ける会社は限られます。外部の攻撃面を継続的に見るサービスは、人が伴走する形をとると費用がふくらみ、価格が公開されていないと比較そのものが商談から始まるので、多くの会社はその手前で足を止めます。

なぜこの価格で、商談を挟まずに出せるのか

セキュリティ運用の費用の多くは、これまで人の時間でした。アナリストが結果を読み、コンサルタントが対処を助言し、営業が見積もりを作る。PentaTrailは、そこを作り替えています。

製品そのものを生成AIで全面的に開発しているため、従来のソフトウェア開発で最大のコストだった開発者の人件費が、ほとんどかかりません。運用も同じで、資産の発見はDNS・証明書ログ・OSINTといった確定的な技術で自動化し、脆弱性の実証、対処ガイダンス、経営向けレポートはAIが生成します。人のアナリストが継続対応する型（月額数十万円〜）のような人件費が、料金に乗りません。価格も機能も実物のレポートも公開しているので、見積もりや商談の手間もかかりません。問い合わせて日程を調整して提案を受ける、という往復が要らないぶん始めるまでが速く、最短5分で登録して、数時間後には初回の攻撃面が見えます。

値引きではなく、つくり方が違うということです。セキュリティの専任チームがいなくても、中小・中堅の企業が人を増やさずに外部攻撃面を回せるようにする。それがPentaTrailの立ち位置です。

裏付け ―「見つける」で終わらせない

CTEM の全5段階を示した図。範囲確定（Scoping）・自動発見（Discovery）・優先順位（Prioritize）・実証（Validation）・対処と報告（Mobilize）を並べ、継続的に反復すると示す。下にプラン別のカバー範囲の表があり、ASM は範囲確定・発見・危険度づけ・AIガイダンス閲覧まで、CTEM は実証と対処・報告を含む全5段階

PentaTrailは、代表が長年マネージドセキュリティサービスの現場で培ってきた脅威インテリジェンスの経験を、製品全体の設計に落とし込んでいます。Gartnerが2022年に提唱したCTEM（継続的脅威エクスポージャ管理）の5段階に沿って、一度きりの診断ではなく発見から対処までを繰り返し、攻撃面を縮小し続けます。資産の発見はAIの推論に頼らず、公開情報を突き合わせて実在するものだけを挙げます。AIが働くのはその先で、見つけた脆弱性が悪用しうるかをシステムに影響を与えない範囲で確かめ、直す手順と順番を示し、経営への報告まで組み立てます。

見つけて危険な順に並べるところまでがASMプラン、実際に確かめて対処を運用しきり、経営に報告するところまでがCTEMプランです。

優先順位づけの考え方を示した図。「CVSSスコアだけで、並べない」の見出しのもと、脅威ディスカバリレベル（深刻度・悪用確率・検出根拠の確かさ）、エビデンスグレード（A〜D）、BIスコア（用途・データ種別・可用性）の3つを説明し、脅威ディスカバリレベル×業務影響で脅威エクスポージャーリスクを出してS・A・B・C・Dの5バンドに分ける。右側の散布図は右上（悪用されやすい×影響が大きい）から着手すると示す

料金

ASMプランが月額40,000円、CTEMプランが月額68,000円（いずれも税抜）。どちらも3ドメイン・5ユーザー込みで、追加のドメイン・ユーザーの単価もサービスサイトに掲載しています。

料金の2プランを比べた表。ASM は月額40,000円で「見つけて、監視して、危険な順に並べる」、CTEM は月額68,000円で「実際に確かめ、直しきって、経営に見せる」。外部資産の自動発見・日次スキャン・危険度づけ・AI対処ガイダンスの閲覧・MCP連携は両方に含まれ、脆弱性の実証・対処タスクの運用・経営報告レポートは CTEM のみ。どちらもドメイン3つ・5ユーザー込み

実際に出力されるレポートは、見本を公開しています。

CTEM 週次レポートの見本の1ページ目。総合スコア288/400、脅威エクスポージャーリスク・管理成熟度・対応状況の3つの指標、ホスト・IP・ポート・URL・技術・バケット・Findings の発見サマリーが並ぶ。冒頭にAIが生成した週次のセキュリティサマリーが載る（架空企業のデータで作成した見本）

AIエージェントとの連携

PentaTrailはMCP（Model Context Protocol）サーバーを標準で備えています。利用者が承認したAIツールから、把握している資産や脆弱性の状況を読み取り、対処タスクの登録といった操作までを行えます。担当者がダッシュボードを開いて内容を書き写す代わりに、普段使っているAIアシスタントに尋ねて、そのまま次の手を打てる形です。

代表コメント（代表取締役平舘一哉）

「サイバー攻撃には訓練された人間にしか対処できない。長くそう信じて、セキュリティ運用の現場に立ってきました。ただ、この一年でAIの実力は、その前提を覆すところまで来ています。事実で裏付けるべき発見のような工程は人が設計した仕組みで固め、脆弱性の実証や対処の指示といったAIが本当に効くところに、AIを使う。PentaTrailは、その切り分けを形にしたサービスです。」

会社概要

株式会社ペンタコン研究所は、CSIRT・セキュリティガバナンス運営など20年以上の実務経験を持つ代表・平舘一哉が、2026年2月に創業しました。開発をAIに全面的に寄せる「AIネイティブ開発」で、人手に頼るセキュリティをどこまで変えられるか挑戦していきます。

項目	内容
会社名	株式会社ペンタコン研究所
代表者	代表取締役平舘一哉
設立	2026年2月
所在地	東京都中央区日本橋茅場町二丁目17番6号
資本金	1,000万円
事業内容	情報セキュリティSaaSの開発・提供、セキュリティコンサルティング、AI技術のリサーチ
URL	https://pentatrail.co

本件に関するお問い合わせ

株式会社ペンタコン研究所お問い合わせフォーム

出典

〔注1〕警察庁「令和7年上半期におけるサイバー空間をめぐる脅威の情勢等について」。ランサムウェア被害のうち感染経路が特定された事案に占める割合で、VPN機器・リモートデスクトップなど外部に公開された機器が84%。 https://www.npa.go.jp/publications/statistics/cybersecurity/data/R7kami/R07_kami_cyber_jyosei.pdf
〔注2〕Verizon「2025 Data Breach Investigations Report」。同報告書が分析したエッジ機器の脆弱性17件について、CVE公表から「悪用が確認された脆弱性」（CISA KEV）への登録までの日数の中央値がゼロ日で、うち9件は公表当日かそれ以前にすでに登録されていた。 https://www.verizon.com/business/resources/reports/2025-dbir-data-breach-investigations-report.pdf
〔注3〕IPA「サプライチェーン強化に向けたセキュリティ対策評価制度」特設サイト https://www.ipa.go.jp/security/scs/index.html