AWS Continuum登場 脆弱性を発見から修正まで一括

AIが脆弱性を次々と見つける時代に、セキュリティチームが抱える課題は「検出の後」に移っています。AWSは2026年6月17日のAWS Summit New Yorkで、脆弱性のライフサイクル全体をAIで回す新プラットフォーム「AWS Continuum」を発表しました。

この記事では、Continuumが解決する課題と4つの処理フェーズ、既存のAWS Security Agentとの関係、導入時の運用モードまでを整理します。

• Continuumが担う4つのフェーズ（発見・優先順位付け・検証・緩和）
• learnモードとenforceモードの段階的な信頼設計
• Amazon GuardDutyやAWS Security Hubとの連携
• 先行導入企業と利用可能な状態

https://aws.amazon.com/continuum/

脆弱性バックログがAIで膨らむ背景

従来のセキュリティ運用は、テレメトリの収集・保存・クエリ・ダッシュボード監視が中心でした。AWSは公式ブログで、このモデルがもはや追いつかないと指摘しています。フロンティアAIモデルはソフトウェアの脆弱性を機械速度で発見し、複雑な攻撃経路を推論できるようになりました。Claude Mythosのようなモデルが登場したことで、検出件数は指数関数的に増えています。

一方で、どの脆弱性が自社のビジネスに本当に影響するか、実際に悪用可能か、どう修正するかという後工程は、依然として人手と部門間調整に依存していました。Continuumはこの「検出後の壁」を埋めるために設計されています。

Continuumが変えること

Continuumは、組織のAWS環境全体にアクセスし、インフラ・権限・ネットワーク構成・コードといった構造化データに加え、文書やコミュニケーション、事業優先度といった非構造化データも文脈として取り込みます。既存ツールの検出結果と自前のスキャン結果を統合し、脆弱性ごとの攻撃経路まで含めた全体像を構築します。

プラットフォームはモデル非依存で、用途ごとに最適なフロンティアモデルを組み合わせます。新しいモデルが登場しても取り込める設計です。

4つの連続フェーズ

Continuum for code vulnerabilitiesは、次の4段階を機械速度で回します。

1. 発見（Discovery）

既存の脆弱性バックログを取り込み、環境全体の独自スキャンも実行します。他ツールで見つかった結果と合わせ、攻撃経路を含む包括的な一覧を作ります。

2. 優先順位付け（Prioritization）

各検出結果を環境文脈で評価します。対象コンポーネントが本番にデプロイされているか、外部から到達可能か、本番経路に含まれるか、悪用時のビジネス影響はどの程度かを判断し、根拠付きの優先リストを出力します。

3. 検証（Validation）

誤検知を事前に除外するため、サンドボックス環境で動作するエクスプロイト例を構築します。再現可能な証拠を提示し、チームが無駄な調査に費やす時間を減らします。

4. 緩和と修復（Mitigation and remediation）

検証済みの問題に対し、既存のブロッキング制御・代替制御・検知機構を評価したうえで、ネットワーク変更・ポリシー変更・コードパッチのいずれかを推奨します。パッチ案も脆弱性確認と同じ検証システムを通過します。影響範囲の可視化と、可能な場合はロールバック経路も示します。

信頼は段階的に積み上げる

Continuumは最初「learnモード」で動作し、人間がループに入ります。すべての推奨には根拠が添付されます。運用に慣れて信頼が育ったら「enforceモード」へ移行し、定義したカテゴリとリスクプロファイルに応じて修復を自動化できます。ガードレールはいつでも変更可能です。

Security Agentからの統合と新機能

既存のAWS Security Agentの機能はContinuumブランドに統合されました。

• Continuum pen testing（プレビュー）: オンデマンドのペネトレーションテスト。週単位だった検証を時間単位に短縮し、再現証明付きの多段階攻撃シナリオを生成します。
• Continuum code scanning（プレビュー）: 組織のコンプライアンス要件や既知のエクスプロイトパターンに照らしてコードを深く分析します。
• Continuum threat modeling（プレビュー）: 設計書やソースコードからSTRIDE形式の脅威モデルを自動生成します。STRIDEは、なりすまし（Spoofing）・改ざん（Tampering）・否認（Repudiation）・情報漏洩（Information disclosure）・サービス拒否（Denial of service）・権限昇格（Elevation of privilege）の6分類で脅威を整理する手法です。

これらは検出・分析の入力源として、発見から修復までのループにフィードされます。

既存サービスとの位置づけ

ContinuumはAmazon GuardDutyやAWS Security Hubといった既存のAWSセキュリティサービスと併用する前提です。検出ツールを置き換えるのではなく、検出後のトリアージと修復の自動化レイヤーとして機能します。コードの第1・第3者コンポーネントから着手し、他のセキュリティ領域へ拡張する計画です。

利用状況と申し込み

Continuum for code vulnerabilitiesは現在ゲート付きプレビューです。Capital One、MongoDB、Rivian、Robinhoodがデザインパートナーとして参加しています。金融・自動車・テクノロジー各業界の顧客とも協力して製品を磨いています。アクセスはAWS Continuumの製品ページから申請できます。

同じサミットでは、エージェント向けの知識グラフ「AWS Context」も発表されました。Continuumと並ぶAI基盤の一角として、セキュリティ自動化の文脈理解を強化する動きと見られます。