Security RXは、New Relicが収集しているアプリケーションやインフラのデータを活用し、こうした「実際の環境」を踏まえて脆弱性を評価する。

　アプリケーション向けの「Security RX for Applications」では、実行環境でメモリにロードされているライブラリの脆弱性をリアルタイムに検知・追跡する。インフラ向けの「Security RX for Infrastructure」では、OSパッケージやミドルウェアの脆弱性を継続的に監視する。

　さらに「Security RX for Cloud」では、AWS Security Hubなどのクラウドセキュリティツールと連携し、クラウド環境の設定ミスや脅威イベントも含めて管理できるようにする。

「危険そうなもの」ではなく「今対応すべきもの」を絞り込む

　もう一つのポイントが、脆弱性への優先順位付けだ。

　脆弱性管理では、CVSSのスコアが高いものから順番に対応する方法が一般的だが、スコアだけでは実際の攻撃リスクまでは判断しにくい。

　Security RXでは、CVSSに加えて、今後30日以内に悪用される可能性を示すEPSSや、実際に悪用が確認された脆弱性をまとめたCISA KEVなどの情報を組み合わせ、リスクベースで対応優先度を判断する。

　これにより、単純に「脆弱性の数を減らす」のではなく、「本当に対応を急ぐべき脆弱性はどれか」を絞り込むことを狙う。

　また、New RelicのTeams機能と連携し、どのシステムをどのチームが担当しているのかをひも付ける。セキュリティ部門が脆弱性を発見した後、担当部署を探して連絡するといった作業を減らし、開発・運用・セキュリティ間の連携を進める。

AIが「調査」だけでなく「修正」まで支援

　Security RXのもう一つの特徴が、SREエージェント「New Relic Autopilot」と連携した「Security RX Agent」だ。ここでは、脆弱性を検知して通知するだけでなく、本番環境のデータをAIによる修正に利用する。

　New Relicのデータベースに蓄積された、実際に動作しているライブラリのバージョンや呼び出し経路、システム構成、リアルタイムのメトリクスなどをAIに渡し、脆弱性への修正案を生成する。

　AIコーディングエージェントと連携することで、企業固有のアプリケーション構造や依存関係を踏まえた修正プルリクエストの自動生成も可能にする。エンジニアは脆弱性を一から調査して修正コードを書くのではなく、AIが作成した修正案をレビューし、承認するという運用を想定する。

　「Jira」や「GitHub Issues」との連携にも対応し、脆弱性の検出から担当者への割り当て、修正、ステータス更新までを開発ワークフローに組み込める。

セキュリティ対策と開発スピードをどう両立するか

　企業にとって難しいのは、脆弱性を放置しないことだけではない。急いでパッチを適用した結果、アプリケーションの性能が低下したり、別の障害が発生したりする可能性もある。

　Security RXでは、New Relicの「Change Tracking」と連携し、パッチ適用の前後でエラー率やパフォーマンスがどう変化したかを確認可能にする。セキュリティ対応を開発・運用から切り離すのではなく、本番環境の信頼性を維持するための運用として扱う考え方だ。

　つまり、Security RXが目指すのは「脆弱性をたくさん見つける仕組み」だけではない。実際の本番環境を基にリスクを絞り込み、担当チームを特定し、AIによる修正までつなげ、その修正がシステムに与えた影響も確認する。脆弱性管理を、検知から修復までの一連の運用として捉え直している。

　AIによってサイバー攻撃のスピードが高まる一方、企業側の脆弱性対応が人手中心のままでは、見つかる脆弱性の増加に追い付けなくなる可能性がある。今後のセキュリティ運用では、「どれだけ脆弱性を検出できるか」だけでなく、「本当に危険なものをどれだけ早く見極め、安全に直せるか」が問われることになりそうだ。