ニュース
ソフトバンクとOpenAIの合弁、日本企業のレガシー刷新とAI脆弱性診断に挑む
長年SIerへ個別発注してきた基幹システムを、脆弱性を直しながら使い続ける会社は珍しくありません。そのレガシー環境にAIはどこまで切り込めるのでしょうか。ソフトバンクグループとOpenAIの合弁会社が描く戦略から、手がかりが見えてきます。
何が起きたか
ソフトバンクグループとOpenAIの合弁会社であるSB OAI Japanが設立されてから、約1年が経過しました。同社は「クリスタル・インテリジェンス」という構想を掲げ、日本企業のAI化を推進しています。最高サイバーセキュリティ責任者（CCSO）の金澤謙悟氏とCEO室室長の一色健人氏が、現在の戦略を明らかにしました。
同社が目指すのは、企業内のあらゆるシステムやデータを横断してAIが自律的に連携する「エンタープライズAGI」の実現です。この構想のもと、ソフトバンク自身を「実験場」とし、作り上げたプロダクトを自社で使いこなす「カスタマー・ゼロ」を実践しています。
現在力を入れているのが、セキュリティ領域のソリューション「Patching as a Service」です。自律推論モデルを使い、システム全体の構造や業務の流れをシミュレーションしながら脆弱性を見つけ出し、修正案までAIが提示します。この診断と対応の提供を、金融機関や製造業など3000社に進めているといいます。
さらに同社は、脆弱性対策にとどまらず、日本企業が抱えるレガシーシステムそのものの刷新（モダナイゼーション）を最終的な目標として位置付けています。
背景・解説
「エンタープライズAGI」とは、企業内の複数のシステムや部門をAIが横断的に連携させ、部分最適ではなく全体最適で動かす状態を指す言葉です。一色氏は、これまでの企業のAI導入が「この業務ではChatGPTを使い、別の業務ではClaudeを使う」といった部分最適に陥りがちで、経営全体としては機能しにくいという課題を指摘しています。
SB OAI Japanが日本市場に特化した合弁会社として設立された背景には、日本企業特有の事情があります。欧米企業がトライ＆エラーで新技術を導入するのに対し、日本企業はリスクやセキュリティを慎重に見極めながら採用を進めるため、海外で成功した手法がそのまま通用しないといいます。加えて、国内企業の多くはシステムインテグレーター（SIer）に個別発注した独自のレガシーシステムを抱えており、刷新のハードルが高くなっています。
Patching as a Serviceが従来の脆弱性診断と異なるのは手法です。既知のパターンに当てはめて探す「パターンマッチ法」に対し、同サービスは自律推論モデルでシステム全体の構造や業務上の挙動まで踏まえて分析し、コードを見ただけでは分からない脆弱性を見つけ出します。背景には、2026年春ごろにAnthropicが「Claude Mythos」を使った検証で複数のソフトウェアの脆弱性を多数発見し話題になった出来事があり、金澤氏もSB OAI Japan社内のシステムを同様に診断したところ、これまで見つけられなかった脆弱性を多数発見したと述べています。
仕事や業務への影響 — AI Topicaの見方
レガシーシステムを長年使い続けている企業ほど、今回の取り組みから得られる効果は大きくなります。たとえば、従業員800人規模の製造業で、20年前にSIerへ個別発注した基幹システムをいまも使っている会社なら、毎年の脆弱性診断や改修にかかる工数を減らせる余地があります。情シス担当2〜3人で手作業のパターンマッチ診断を回している体制では、AIによる自律推論診断に置き換えることで、担当者の負担を軽くできます。
3000社という規模を金融機関や製造業に広げている点も見逃せません。業種を問わず独自システムを抱える企業にとって、脆弱性の発見だけでなく修正案まで提示してもらえる仕組みは、セキュリティ人材が不足している中堅企業にとって実務的な価値になります。専任のセキュリティエンジニアを1人しか置けない従業員300人の金融系企業なら、外部ベンダーへの都度相談を減らし、AIが出す修正案をもとに社内で一次対応できる体制に近づきます。
一方で、SB OAI Japanが見据えるのはパッチ対応にとどまらず、レガシーシステムそのものの刷新です。古いインフラの上で動くシステムを修繕し続ける限り、新たな脆弱性が繰り返し生まれる構造は変わりません。経営層は、目先の脆弱性対応だけでなく、数年単位のシステム刷新計画にAIをどう組み込むかを検討すべき段階に入っています。
不確かな点・注意
Patching as a Serviceの提供時期や料金、契約条件については明らかにされていません。金融機関や製造業など3000社への展開も「進めている」とされるのみで、実際に契約済みの社数や導入後の効果を示す具体的な数値は示されていません。レガシーシステムのモダナイゼーションについても、具体的な工程やスケジュールは語られておらず、方針の段階にとどまります。AnthropicのClaude Mythosによる脆弱性発見についても、発見件数や対象ソフトウェアの詳細は出典内で明示されていません。