Flatt Securityとは、AIエージェントを活用してWebアプリケーションの脆弱性診断を支援する日本発のセキュリティサービスです。
AIにコードを書かせる時代の本当のボトルネックは、生成スピードではなく「安全に出せるか」です。Flatt Securityはまさにそこを埋めるサービスで、AIエージェントがWebアプリの脆弱性を洗い出し、判断が難しい部分は日本人セキュリティエンジニアが手で詰めます。GitHub CopilotやCursorのような実装支援ツールとは目的が真逆で、両方を併用するのが現実的な使い方になります。
この記事では、料金・主要機能・始め方・他ツールとの違いまで、導入を検討するチームが知りたい順番で整理しました。
Flatt Securityとは何か
Flatt Securityは、AIと専門エンジニアの両輪でWebアプリケーションの脆弱性診断を行う、東京拠点のセキュリティ企業のサービスです。2024年以降はGMOグループ入りし、現在は「GMO Flatt Security株式会社」として運営されている。
特徴は、診断を一回きりの外注作業で終わらせず、開発フローの中に組み込める設計にある点です。AIエージェント「Takumi」が常時診断を回し、見つかったリスクを開発チームが修正サイクルの中で潰していきます。受託診断の精度と、ツールの継続性を両取りしようとしているサービス、と理解すると位置づけが掴みやすいです。
セキュリティ分野のツールを横断で見たい人は、AIツールのカテゴリ一覧から他の選択肢と並べて検討するとよいです。
AIエージェント「Takumi」がやること
Takumiは、Webアプリのソースコードや挙動を解析し、脆弱性の候補を継続的に提示するAIセキュリティエージェントです。人手の診断を毎日回すのは現実的でないが、AIなら開発の都度チェックを差し込めます。
従来の静的解析ツールが苦手としてきた「文脈を踏まえた判断」をAIで補おうとしているのがポイントです。たとえば、ある入力欄が単なるバリデーション不足なのか、認証回避につながる致命的な穴なのかは、コードの一行だけでは判断できません。Takumiはアプリ全体の構造を踏まえてリスクの重みづけを試みます。
OWASP基準の脆弱性診断
診断の軸はOWASP Top 10とOWASP ASVSで、Webアプリで起きやすい代表的なリスクを体系的にカバーします。XSS、SQLインジェクション、認証・認可の不備、アクセス制御の欠落などが主な対象です。
特に強いのが、入力値の問題にとどまらない「ビジネスロジック起因のリスク」の検出です。権限設計のミス、想定外の操作フロー、決済や会員機能における抜け道など、仕様を理解しないと見つからない種類の脆弱性を診断対象にできます。ここは自動ツール単独では取りこぼしやすく、Flatt Securityが手動診断を残している理由でもあります。
専門エンジニアによる手動診断
プランによっては、Flatt Securityのセキュリティエンジニアが手作業で診断を行います。AIや自動スキャンが「怪しい」と出した箇所を、人間が実際に攻撃の可能性まで掘り下げて検証する形です。
自動診断は網羅性、手動診断は深さで役割が分かれます。重要な機能ほど自動だけでは判断材料が足りず、リリース可否を握る部分では手動診断の併用が効いてきます。日本語でレポートと修正方針が返ってくる点は、英語前提の海外サービスにはない実務上の強みです。
ソフトウェアサプライチェーン対策(2026年の新領域)
2026年、Flatt Securityは診断対象を自社コードの外側まで広げました。2026年5月26日には「ソフトウェアサプライチェーン診断」と「攻撃演習」の提供を開始しています。
背景にあるのは、依存パッケージを踏み台にした攻撃の急増です。近年はライブラリやCI/CDパイプラインを経由した侵害が相次ぎ、自社コードがクリーンでも外部依存から崩される事例が現実になっています。
さらに2026年3月からは「Takumi Guard」を投入し、CI/CD環境で悪性パッケージのダウンロードをブロックする仕組みも提供しています。診断して終わりではなく、攻撃の入口そのものを塞ぐ方向に踏み込んだのが2026年の動きです。これは下表のように整理できます。
| サービス | 主な対象 | 何を防ぐか |
|---|---|---|
| Webアプリ脆弱性診断 | 自社のWebアプリ | XSS・SQLi・認可不備など |
| サプライチェーン診断 | 依存パッケージ・CI/CD | 依存関係を悪用した侵害 |
| Takumi Guard | CI/CD環境 | 悪性パッケージの取り込み |
| 攻撃演習 | 開発組織・対応体制 | インシデント時の対応力不足 |
自社アプリだけでなく、ビルド環境や依存ライブラリまで含めた「開発組織全体」をセキュリティの単位として見ているのが分かります。
料金プラン
Flatt Securityはfreemium型で、まず無料で診断の流れと自社プロダクトとの相性を確かめられます。小さな対象で試してから本格導入を判断できるのは、いきなり受託契約を結ぶ従来型の診断にはない入りやすさです。
ただし無料の範囲では診断回数や機能に制限があります。手動診断、Webペネトレーションテスト、クラウド診断、サプライチェーン診断といった本丸の機能は有料プランが前提です。
具体的な金額・上限・契約条件は対象範囲やプロダクト規模で変わるため、公開価格ではなく商談ベースで提示されます。最新の料金は公式サイトで見積もりを取って確認してほしいです。本記事で暫定の数字を出すと、判断を誤らせるおそれがあるためあえて記載しません。
始め方(3ステップ)
導入は難しくないが、最初の対象選びで診断の価値が大きく変わります。次の順番で進めるのが現実的です。
- アカウントを作成する。公式サイトから登録する。最初は本番全体ではなく、小さく重要な機能に絞って試すと結果を読み解きやすい。
- 対象範囲を設定する。認証が必要な画面、管理画面、決済・会員機能など、リスクの高い機能を優先的に登録する。ここで対象の優先度を決めておくと、後のレポートが意思決定に直結する。
- 最初の診断を実行する。まず自動診断でXSSや認可不備などを洗い出し、修正優先度をつける。そのうえで、致命度の高い箇所に手動診断やペネトレーションテストを追加する。
最初から全部を完璧に診断しようとせず、「壊れたら一番痛い機能」から始めるのが鉄則です。
こんなチームに向く / 向かない
向き不向きがはっきりしているサービスなので、導入前に自社の目的と照らし合わせておくとよいでしょう。
向いているチーム
- リリース前後のセキュリティ確認を開発フローに組み込みたい
- OWASP Top 10 / ASVSの観点で体系的に診断したい
- 日本語でレポートと修正方針を受け取りたい
- 依存パッケージやCI/CDまで含めて守りたい
向かないチーム
- 求めているのがコード補完やチャット型の実装支援だけ
- 無料プランの範囲だけで無制限に使いたい
- 診断結果を読み解く時間をまったく割けない
- Webアプリ以外の領域だけが主目的
実装の高速化が目的なら、Flatt SecurityではなくCursorやGitHub Copilotの方が筋がいいです。逆に「AIで速く作った分だけ、安全性の確認も速く回したい」なら噛み合います。
よく比較されるツールとの違い
セキュリティ系ツールは目的が似て見えて、守備範囲がかなり違います。代表的な比較先を整理しておきます。
Snykは、依存ライブラリやコンテナの既知脆弱性を開発者目線で管理する強みがある。Flatt Securityはアプリ本体のロジックや認可まで踏み込む点で性格が異なる。Semgrepはルールベースの静的解析で軽快に回せる一方、文脈判断や手動検証は別途必要になる。
GitHub Copilotはそもそも実装支援ツールで、診断とは目的が違う。競合ではなく、Copilotで書いてFlatt Securityで点検する補完関係と見るのが自然だ。判断に迷うときは、各ツールの比較ページで軸を揃えて並べてみるとよい。
編集部の評価
率直に言って、Flatt Securityの立ち位置は2026年の流れにかなり噛み合っています。AIで開発速度が上がるほど、人手の診断が追いつかなくなります。この構造的なズレを、AIエージェントと手動診断の併用で埋めにきている設計は理にかなっています。
特にサプライチェーン診断とTakumi Guardまで広げてきた動きは正直好印象です。診断レポートを出して終わりにせず、攻撃の入口を塞ぐところまで踏み込んでいます。受託診断会社が「製品」へ脱皮しようとしている、という見方ができます。
一方で、料金が商談ベースで事前に読みにくい点は、小規模チームには検討の壁になります。まずは無料枠で「自社アプリにどれだけ刺さるリスクが出るか」を試し、手応えがあってから有料機能を相談します。この順番なら導入の失敗は避けやすいです。安全性の確認に人手を割けないチームほど、検討する価値がある一択寄りのサービスです。
よくある質問（FAQ）
Q. Flatt SecurityはAIコードエディタの代わりになりますか？
なりません。Flatt Securityは脆弱性診断に特化しており、コードを書く機能はありません。実装はCursorなどのエディタで行い、その成果物をFlatt Securityで点検する役割分担になります。
Q. 無料で使えますか？
無料で始められますが、診断回数や機能に制限があります。手動診断やペネトレーションテスト、サプライチェーン診断などの主要機能は有料プランが前提です。
Q. 日本語に対応していますか？
対応しています。日本発のサービスで、レポートや修正方針も日本語で受け取れます。英語前提の海外ツールに比べ、社内共有や経営層への報告がしやすい点は実務上の利点です。
Q. どんな脆弱性を見つけられますか？
OWASP Top 10やASVSを軸に、XSS・SQLインジェクション・認証認可の不備に加え、ビジネスロジック起因のリスクまで対象にします。2026年からは依存パッケージやCI/CDのサプライチェーンリスクも含みます。
Q. 小さなスタートアップでも導入できますか？
可能です。無料枠で小さな対象から試せるため、まずは最重要機能だけ診断し、価値を確かめてから有料機能を相談する進め方が現実的です。
まとめ
Flatt Securityは、AIエージェント「Takumi」と専門エンジニアの手動診断を組み合わせ、Webアプリからサプライチェーンまでを日本語で守る診断サービスです。実装を速くするツールではなく、速く作ったものを安全に出すためのツールだと捉えると判断が早いです。
コード生成が主目的ならGitHub CopilotやCursor、依存管理中心ならSnykが候補になります。「AIで上がった開発速度に、セキュリティ確認の速度を追いつかせたい」チームには、まず無料枠で試す価値があります。
関連記事
- Aikido Security 代替7選と無料枠比較 料金と選び方 (2026年版)
- 警備業の現場でAIは何ができる？実務での使い道 (2026年版)
- AI議事録の法人導入ガイド｜セキュリティ要件と選定チェックリスト(2026年版)
- AIツールのセキュリティとプライバシー｜企業が安全に導入するための完全ガイド (2026年版)
- MAI-Cyber-1-Flashの代替7選｜無料・日本語・オープンソースで選ぶ (2026年版)
各ツールの公式サイト（一次情報）
料金・機能・対応範囲は各社公式が一次情報です。本記事は公開時点の検証に基づきますが、最新かつ正確な条件は必ず各公式ページで確認してください。
- Flatt Security：公式サイト（AI PICKSの詳細）
- Cursor：公式サイト（AI PICKSの詳細）
- GitHub Copilot：公式サイト（AI PICKSの詳細）
