編集部が読み解く! 3行でわかるテックニュース第24回

そのCVE、本番では動いてすらいないかもしれない――New Relicの脆弱性管理「Security RX」が実行中のライブラリだけを選り分ける

6:20

New Relicが脆弱性管理ソリューション「New Relic Security RX」のアプリケーション版とインフラストラクチャ版を国内で一般提供開始。あわせてクラウド環境向けのパブリックプレビュー版も提供する。既存のAPM／Infrastructureエージェントとクラウドインテグレーションが収集するデータを使うため、新たな導入工数はかからない
アプリケーション版は実行環境上で実際にメモリにロードされているライブラリの脆弱性をリアルタイムに検知・追跡する。CVSSの深刻度に加え、30日以内の悪用確率(EPSS)と実際の悪用実績(CISA KEV)を自動照合し、対応すべき優先度を算出する
SREエージェント「New Relic Autopilot」と連携する「Security RX Agent」をパブリックプレビューで公開。本番メモリ上の実行ライブラリバージョンや呼び出し経路などの事実情報をAIコーディングエージェントに引き渡し、修正プルリクエストの自動生成までを担う

📝 Think IT編集部の見解 📝

この製品が解こうとしているのは、脆弱性管理における「分母の問題」だ。

スキャンをかければCVEは大量に出る。しかし、その中で本番環境で実際に呼び出されているコードパスに存在するものはどれだけあるか。依存関係に含まれてはいるが一度もロードされないライブラリ、使われていない機能に紐づく脆弱性。そうしたものまで含めた一覧を前にして、エンジニアはCVSSスコアの高い順に手をつける。リリースが「影響度の低い脆弱性対応に追われる」と表現する状況である。

Security RXの着眼点は、この分母をランタイムの事実で絞ることにある。実行環境上でメモリにロードされているかどうかを見る。既にAPMエージェントが入っている環境なら、その情報は取れているはずだという発想だ。脆弱性管理ツールを新たに導入するのではなく、オブザーバビリティ基盤の延長として提供する構成には合理性がある。

もう1つ注目したいのは、EPSSとCISA KEVを優先順位付けに組み込んでいる点だ。CVSSは脆弱性そのものの深刻度を示すが、実際に悪用されるかどうかは別の話である。EPSSが示す悪用確率と、CISA KEVが示す悪用実績を掛け合わせることで、理論上の危険度ではなく現実の危険度に近づける。この考え方自体はリスクベース脆弱性管理として知られてきたが、ランタイム情報と組み合わせて製品化した例は多くない。

Security RX Agentについては、慎重に読む必要がある。AIコーディングエージェントに渡すのが「本番メモリ上の実行ライブラリバージョン、呼び出し経路、エンティティ構造、リアルタイムメトリクス」という事実データであるという点は、8月に取り上げたTricentisがTabnineのEnterprise Context Engineを買収した狙いと重なる。AIに何を与えれば使える出力が返るか、という同じ問いへの別の回答だ。ただし現時点ではパブリックプレビューであり、生成されたプルリクエストの精度がどの程度かは実運用での検証を待つ方が良い。

背景として金融庁のガイドラインと2026年5月の要請が挙げられている点も、日本の読者には見逃せない。フロンティアAIによる脅威変化を踏まえた短期的な対応が求められる中、パッチ適用の速度が規制対応の論点になりつつある。脆弱性管理をコンプライアンス業務ではなく運用上の信頼性問題として捉え直すという同社の主張は、SREの文脈からも受け入れやすいだろう。

📰 リリースまとめ 📰

New Relic、脆弱性管理ソリューション「Security RX」を国内で提供開始

デジタルビジネスにオブザーバビリティ(可観測性)プラットフォームを提供するNew Relic株式会社(本社：東京都中央区、執行役員社長：古舘正清)は2026年9月16日、アプリケーションおよびインフラストラクチャ環境におけるリアルタイムな脆弱性管理ソリューション「New Relic Security RX」のアプリケーション版「Security RX for Applications」およびインフラストラクチャ版「Security RX for Infrastructure」の日本国内における一般提供を開始した。

あわせて、クラウド環境向けの「Security RX for Cloud」のパブリックプレビュー版を提供開始する。さらに、同社のSREエージェント「Autopilot」と連携し、本番環境の動的コンテキストを活用した自律型AI機能「Security RX Agent」もパブリックプレビューとして公開した。脆弱性のリスク評価からAIコーディングエージェントへの指示、最適な修正プルリクエストの自動生成までを一気通貫で自動化する、新たなDevSecOpsワークフローを実現するとしている。

背景——従来型の脆弱性管理が抱える3つの課題

高度なフロンティアAIの台頭に伴い、未発見のゼロデイ脆弱性が短期間で大量に発掘され、サイバー攻撃に悪用されるリスクが急速に高まっている。これに対し金融庁も近年のガイドライン等で24時間365日のリアルタイム監視や迅速なパッチ適用体制を強く要請しており、業界・業種を問わず全社レベルでのサイバーレジリエンス強化が急務となっている。

しかし従来型の定期的な脆弱性スキャンや静的な統制、手動プロセスや一般的なCVE情報のみに依存した脆弱性管理では、以下のような課題が生じていたとNew Relicは指摘する。

優先順位付けの困難さ(アラート疲弊)については、CVSS等の技術的スコアだけでは本番環境で実際にリスクが高いかを判断できず、急増する脆弱性に対して調査および手動トリアージに膨大な工数が割かれる。

本番実行情報の欠如については、従来の静的セキュリティ診断では過去の脆弱性スキャン時の情報しか読み取れず、該当ライブラリが本番メモリ上で実際に実行・呼び出しされているかが不明なため、影響度の低い脆弱性対応に追われる。

修復・デプロイへの懸念については、開発・セキュリティ・運用チーム間の情報の分断や、パッチ適用に伴う二次障害への懸念から、迅速なデプロイに踏み切れない。

Security RXの主な特長

セキュリティ脆弱性管理ソリューション「New Relic Security RX」

Security RXは、新たな導入工数をかけることなく、New Relicの既存のAPM／Infrastructureの各エージェントおよびクラウドインテグレーションを通じて収集されるデータをもとに、システム全体のセキュリティリスクを一元的に可視化・評価する。

対応領域は3つに分かれる。Security RX for Applicationsは、実行環境(ランタイム)上で実際にメモリにロードされているライブラリの脆弱性をリアルタイムに検知・追跡・報告する。Security RX for Infrastructureは、OSパッケージやミドルウェア層の脆弱性を常時監視し、インフラ全体のセキュリティリスクを一画面で把握・管理できる。Security RX for Cloudは、AWS Security Hub等の主要クラウドセキュリティツールと統合し、クラウドインフラの設定ミスや脅威イベントを統合管理する。

即時のリスク評価と自動優先順位付け(RBVM)では、CVSSの技術的深刻度に加え、30日以内の悪用確率(EPSS)や実際の悪用実績(CISA KEV)を自動で照合する。対応すべき脆弱性の優先度を自動的に算出し、今すぐ対応すべき真の危険リスクのみを即座に特定するとしている。

統合プラットフォーム基盤による運用連携としては、New Relic Teams機能との連携により、システムの所有権をマッピングし、担当システムに対するチーム単位での脆弱性・稼働状況の確認が可能となる。組織間のたらい回しを防ぐ狙いだ。Change Tracking機能との連携では、セキュリティパッチのデプロイ前後におけるエラー率やパフォーマンスの変動をリアルタイムに計測し、二次障害のリスクを低減する。

Security RX Agentによる自律的な修復

Security RX Agentは、Security RXとSREエージェントであるNew Relic Autopilotが連携し、単なる脆弱性通知にとどまらず修復プロセス全体をAIで自律化する機能だ。

New Relicのデータベース(NRDB)が捉えている本番メモリ上の実行ライブラリバージョン、呼び出し経路、エンティティ構造、リアルタイムメトリクス等の事実情報を自動的に抽出し、パッケージ化してAIコーディングエージェントに直接引き渡す。

本番データに基づくリアルタイムのコンテキストを受け取ったAI(GitHub Copilot、Claude等)が、自社アプリケーションの既存構造や依存関係に適合した修正提案を生成する。エンジニアは一から調査してコードを書く作業から解放され、AIが提示した修正プルリクエストをレビュー・承認する運用へと変わり、脅威の露出期間を最小化しMTTR(平均復旧時間)を短縮するとしている。

またJiraとの双方向のリアルタイム同期やGitHub Issuesとの連携により、脆弱性の検出から担当者への割り当て、修正プルリクエストの起票、ステータス同期までのサイクルを自動化する。

脆弱性管理を「運用上の信頼性」として捉え直す

New Relicは、脆弱性管理を従来のようなコンプライアンス業務としてではなく、システムダウンやサービス劣化を防ぐ「ビジネス運用上の信頼性問題」としてオブザーバビリティプラットフォーム上で一元管理するのがSecurity RXだと位置づけている。

手作業による膨大なセキュリティ調査作業(トイル)を回避し、脆弱性への対応と開発スピードを両立させる。パッチ適用前後におけるパフォーマンスやエラー率の変化はChange Trackingで検証することにより、二次障害のリスクを低減しつつ安全かつ高頻度なデプロイサイクルを回し続けるサイバーレジリエンスを構築するとしている。