途切れない、本気の攻撃
AIエージェントが、偵察・認証情報への攻撃・設定不備の探索・脆弱性の悪用といった攻撃者の手口を継続的に実行します。影響の大きい操作は、必ず診断担当者が承認します。
大企業向け AI継続ペネトレーションテスト
年1回の診断では、
毎日の攻撃に
追いつけません。
Redloop（レッドループ）は、契約で許諾された範囲だけを対象に、最新のAIと経験豊富な診断担当者が、外部公開資産・クラウド・ID基盤・アプリケーション・人（標的型メール訓練）まで、攻撃者の視点で継続的に侵入を試みます。見つけた侵入経路は証拠とともにご報告し、修正後は再診断で確認します。
すべての診断は、書面による実施許諾と対象範囲の合意のうえで行います。範囲外のシステムには一切アクセスしません。
侵入シナリオ（例）連鎖
- 更新が止まったVPN機器が、インターネットから到達可能
- 過去に漏えいした認証情報で、管理画面にログインできる
- サービスアカウントに、必要以上の権限が付与されている
- 基幹システムのバックアップまで到達できる
個別には「中」リスクでも、つながれば重大な侵入経路になります。Redloopは、項目ではなく経路を検証します。
こんな課題はありませんか
診断は「年に一度の健康診断」。
攻撃は、毎日届きます。
IPA「情報セキュリティ10大脅威 2026」（組織編）では、1位が「ランサム攻撃による被害」、2位が「サプライチェーンや委託先を狙った攻撃」、4位が「システムの脆弱性を悪用した攻撃」でした。3
診断報告書が届く頃には、システム構成がもう変わっているクラウドの新規アカウント、SaaS、新サービスが毎月のように増えていく。
グループ会社・海外拠点・クラウドまで、診断の手が回らない領域ごとに委託先が分かれ、全体の侵入経路が見えない。
経営会議で「当社は大丈夫か」と問われても、根拠を示せない指摘件数の一覧では、実際の攻撃に耐えられるかは説明できない。
| 項目 | 従来の年次診断 | Redloop |
|---|---|---|
| 実施頻度 | 年1回・数週間 | 継続的（契約形態により選択） |
| 対象範囲 | 領域ごとに別契約 | 外部・クラウド・ID・アプリ・人を一つのプログラムで |
| 報告 | 数週間後にPDFで一括 | 検証が済んだものから順次、チケット管理ツールへ |
| 再診断 | 別途費用が多い | 修正のたびに実施（料金に含む） |
| 侵入経路の可視化 | 指摘事項の一覧 | 脆弱性の連鎖を、到達できる資産とともに提示 |
| 新しく増えた資産 | 次回の診断まで対象外 | 許諾範囲内であれば、追加され次第診断 |
3つの特長
攻撃者と同じ粘り強さで。
委託先として当然の厳格さで。
一覧ではなく、侵入経路で
個々には低・中リスクの指摘を組み合わせ、攻撃者が実際にたどる経路として提示します。顧客情報・基幹システム・ドメイン管理者権限など、何に到達し得るかで優先順位を付けます。
証拠・対策・再診断まで
指摘ごとに証拠、再現手順、具体的な対策をご提示します。修正が反映されたら再診断し、対策が有効であることを確認して完了とします。
診断対象
侵入口となり得る5つの領域を、まとめて。
対象とする領域・資産は、お客様が書面で指定したものに限ります。
外部公開資産
ドメイン、IPアドレス帯、VPN機器などのネットワーク機器、公開サービス、把握漏れのサーバー。
クラウド
AWS・Azure・Google Cloud の設定、IAMの権限経路、ストレージ、シークレット、Kubernetes。
ID・認証基盤
SSO・多要素認証、Active Directory・Entra ID、特権ID管理、トークンやセッションの悪用。
Webアプリ・API
Webアプリケーション、API、業務ロジック、認証フロー、自社で提供する生成AI機能。
標的型攻撃訓練
標的型メール、電話・ヘルプデスクへのなりすまし訓練。人事・法務部門が承認した対象者のみに実施します。
契約と許諾
許諾のない診断は、
一切行いません。
ペネトレーションテストは、対象システムの管理者による承諾があって初めて正当な業務となります。Redloopは、不正アクセス禁止法をはじめとする関係法令を踏まえ、契約書と実施計画書で合意した範囲の中でのみ診断を行います。
許諾なくして
診断なし
診断なし
- 01書面による実施許諾契約・秘密保持契約の締結に加え、権限をお持ちの責任者さまに実施許諾書へご署名いただくまで、診断は開始しません。
- 02対象資産の明確化お客様が所有・管理するドメイン、IPアドレス、クラウドアカウント、アプリケーション、IDを一覧で特定します。一覧にないものは対象外です。
- 03委託先・外部サービスの扱い委託先やクラウド事業者が運用するシステムは、その事業者の公開ポリシーまたは書面による許可がある範囲でのみ診断します。
- 04実施時間帯・除外対象の取り決め実施時間帯、通信量の上限、除外するシステム、追加承認が必要な手法を事前に取り決めます。
- 05緊急連絡体制と即時停止ご担当者さまはいつでも診断を一時停止・中止できます。AIと担当者の全操作はログに記録し、お客様と共有します。
- 06取得情報の最小化と消去影響の証明に必要な最小限の証跡のみを取得し、データの持ち出しは行いません。証跡は契約に定めた時期に消去します。
導入の流れ
ご相談から継続診断の開始まで。
- スコーピング30分のオンライン面談で、対象領域、制約条件、守るべき重要資産を伺います。
- 契約・許諾契約書、対象資産一覧、実施計画書、緊急連絡先を書面で取り交わします。
- 初回診断許諾されたすべての領域を一通り診断し、結果をご報告します。
- 継続診断構成の変化に合わせて診断を継続。検証済みの指摘から順次ご報告します。
- 修正・再診断修正後に再診断で有効性を確認。四半期ごとに経営層向けの報告書をお渡しします。
稟議・社内説明もお手伝いします
お見積書、実施計画書のひな形、経営会議向けの説明資料を日本語でご用意します。情報システム部門・法務部門・経営層それぞれへのご説明にお使いください。
AIと人の役割分担
地道な試行はAIが。
最終判断は人が。
AIエージェントが担うこと
- 許諾された資産を継続的に洗い出し、変化を追跡
- 人手では時間が足りない数の攻撃パターンを試行
- 設定・権限・コードの流れを、攻撃者の視点で読み解く
- 小さな弱点をつなぎ、現実的な侵入経路として組み立てる
診断担当者が担うこと
- 影響の大きい操作・業務に支障が出得る操作の事前承認
- すべての指摘を検証してからご報告（誤検知をそのまま渡しません）
- 標的型攻撃訓練のシナリオを人事・法務部門と設計
- 情報システム部門・経営層へのわかりやすいご報告
契約形態と料金
診断の頻度と深さに合わせて、お選びいただけます。
スポット診断
初めての全体把握や、監査・認証取得の前の確認に。
1回あたり380万円〜 （税別）
- 約3週間、最大3領域
- 侵入経路レポート（証拠・対策付き）
- 90日以内の再診断1回
- 経営層向け報告会
四半期診断
リリースや構成変更のペースに合わせた定期診断に。
四半期あたり260万円〜 （税別・年間契約）
- 年4回、5領域を順番に診断
- 修正後の再診断は回数無制限
- 標的型攻撃訓練 年1回
- 四半期ごとの経営層向け報告書
継続診断
許諾されたすべての領域を、常時診断します。
月額200万円〜 （税別・年間契約）
- 5領域すべてを継続的に診断
- 検証済みの指摘をJira・ServiceNow・Slack等へ順次連携
- 修正のたびに自動で再診断
- 標的型攻撃訓練 四半期ごと、専任リード担当
表示価格は税別です。最終的なお見積りは対象範囲の規模により異なり、スコーピング後に書面でご提示します。初期段階でエージェント等の導入は不要です。
先行導入枠のご案内
現在、初期導入企業さまを順次お迎えしております。先行導入枠のお客様には、開始時期を優先的にお選びいただけるほか、最初の12か月間は先行導入価格を適用します。ご予約に費用はかかりません。
スコーピング（診断範囲）の
ご相談を予約する
3つの項目にお答えいただくと、初回のお打ち合わせをより具体的に進められます。現在、順次ご案内しておりますので、準備が整い次第、担当者よりメールで日程をご連絡いたします。
- 営業担当ではなく、診断担当者が30分で伺います
- 対象範囲のたたき台と概算費用をお持ち帰りいただけます
- 契約締結前に、診断行為は一切行いません
お申し込みを承りました。
現在、初期導入企業さまを順次ご案内しております。準備が整い次第、担当者よりスコーピングの日程についてメールでご連絡いたします。
今すぐ日程をお選びになる場合は、こちらからどうぞ。
15分のオンライン面談を予約社内共有用 PDF・A4 1枚
1枚でわかる
AIペネトレーションテストの仕組み
診断の流れ、安全のための取り決め、AIと人の役割分担、そしてAI診断事業者を選ぶ際に確認すべき10の質問をA4 1枚にまとめました。情報システム部門内や経営層へのご説明にご活用ください。
ありがとうございます。資料をダウンロードいただけます。
PDFをダウンロードよくあるご質問
ご検討時によくいただくご質問
従来の脆弱性診断（ツール診断）とは何が違いますか。
ツール診断は既知の脆弱性を一覧化するものです。Redloopは攻撃者と同様に実際の侵入を試み、複数の領域にまたがる弱点の連鎖を検証し、影響を証拠とともに示します。すべての指摘は、診断担当者が検証してからご報告します。
本番環境の業務に影響はありませんか。
実施時間帯、通信量の上限、除外するシステムを実施計画書で取り決めます。業務に支障が出得る手法は個別の承認を必須とし、影響の大きい操作は担当者が事前に承認します。ご担当者さまはいつでも診断を停止できます。
委託先やクラウドサービスも診断対象になりますか。
お客様が所有・管理する資産が対象です。委託先や外部事業者が運用するシステムは、その事業者の公開ポリシーまたは書面による許可がある範囲でのみ診断します。許諾範囲外のシステムに触れることはありません。
グループ会社や海外拠点も対象にできますか。
対象とする各社・各拠点について、適切な権限をお持ちの方から実施許諾をいただければ、同じプログラムの中で診断できます。範囲と許諾の取り方はスコーピングでご相談ください。
報告書は日本語ですか。
はい。報告書、経営層向けの要約、稟議用の説明資料は日本語でご用意します。英語版が必要な場合も対応いたします。
現在、すぐに利用できますか。
現在、初期導入企業さまを順次お迎えしております。ご相談の予約または先行導入枠のご予約をいただいた方へ、準備が整い次第メールでご案内いたします。契約締結まで費用は一切発生しません。