AIコードセキュリティ比較
Microsoft MDASH・Claude Security・GitHub Advanced Securityの違いと多層防御

01/注目される背景

相次ぐ情報漏えいの背景：「既知の穴」を突く攻撃の加速と、見つけてから直すまでの時間

2026年9月の終わりから、国内企業による不正アクセスや個人情報の漏えいの公表が続いています。原因が公表されている範囲では、新しい種類の脆弱性よりも、修正が公開済みの既知の脆弱性や、認証・設定・委託先の管理といった、以前から繰り返し警告されてきた弱点を突かれた例が目立ちます。複数の企業が共同で使うSaaSを経由して、複数社に被害が及んだ例も報じられています。

攻撃する側では、AIによって脆弱性を調べ、攻撃コードを書く作業が速く、簡単になりつつあります。脆弱性の公表から悪用までの期間は年々短くなっており、一過性ではなく今後も続く変化と捉える必要があります。守る側に求められるのは、全てを完璧に守ることより、穴を見つけてから直すまでの時間を短くすることです。

数字で見る、いま起きていること

2026年9月6日から10月6日までに公表された国内の事案を集計すると、件数が判明したものが76件（うちサイバー攻撃に起因するもの52件）、100万件を超える事案が9件ありました。漏れた情報の質も重要で、本人確認書類の画像のように後から変えられない情報ほど、件数が少なくても深刻になります。

AIについては、AIが見つけた脆弱性のうち実際に悪用が確認されたのは約1.3%にとどまり、今回の事案の多くも既知の脆弱性や盗まれた認証情報が原因です。AIは主な原因というより、昔からある原因に速さと規模を上乗せする要因と見るのが妥当です。言い換えれば、AIで攻撃が速くなるほど、基本対策の遅れが致命的になります。なお、2022年の改正個人情報保護法で漏えいの報告と本人への通知が義務になったことも、公表が増えて見える一因です。

数値は、公表情報をもとにした当社調べです（2026年10月時点）。

公表事例で指摘されている主な弱点

02/概要

Microsoft MDASH・Claude Security・GitHub Advanced Securityとは：AIと解析エンジンでコードの脆弱性に向き合う3つの選択肢

3製品はいずれも、ソースコードに潜む脆弱性を、開発の流れの中で見つけて直すための仕組みです。ただし、見つけ方（AIの推論か、定義したクエリか）、守る対象（コード、シークレット、依存関係）、提供する基盤（Microsoft Defender、Claude、GitHub）が異なります。どれか1つを選ぶ前に、それぞれが何を得意とし、何を対象にしていないかを知ることが、選び方の出発点です。

03/分類の考え方

比較の前に押さえる3つの軸：見つけ方・守る対象・動くタイミング

3製品を同じ土俵で比べると、違いが見えにくくなります。次の3つの軸で整理すると、それぞれの役割がはっきりします。

04/一覧比較

3製品の比較表：方式・対象・入出力・修正・モデル・提供条件・課金・データ・監査

公表されている情報をもとに、同じ観点で並べます。プレビューやベータの製品は、条件が変わる場合があります。

各社の公式情報（Microsoft Security Blog・Microsoft Learn、Anthropicの発表記事・Claude Help Center・Claude Code Docs、GitHubの発表・GitHub Docs）に基づきます。最新の条件は各社の公式情報で確認してください。

05/視点別の比較

経営・セキュリティ・開発・基盤管理・監査・AI推進、6つの立場から見た3製品の違い

06/メリット・デメリット

3製品それぞれのメリットとデメリット

どの製品にも、得意な領域と、対象にしていない領域があります。デメリットは、製品の欠点というより、その製品の役割の外側を示しています。

07/得意・不得意

場面別の向き・不向き：シークレット・PRの検査・深い欠陥・依存関係・組織の是正

08/よくある誤解

AIコードスキャンにまつわる6つの誤解と、実際のところ

09/用語集

比較の理解に役立つ用語集：推論型・クエリ型・シークレット・依存関係の基本用語

10/1製品の限界

1製品では足りない理由：守る対象・タイミング・方式のすき間

3製品は、守る対象と動くタイミングが異なります。どれか1つだけでは、どこかにすき間が残ります。

11/多層防御の考え方

コードセキュリティの6層：送信時・PR時・深い走査・集約・修正・統制

多層防御は、1つの層をすり抜けた問題を、別の層で受け止める考え方です。開発の流れに沿って、6つの層を重ねます。

12/組み合わせプラン

多層防御の4つの組み合わせプラン：GitHub中心・Microsoft中心・重要資産の二重化・段階導入

組織の基盤と、守りたい資産の重さに応じて、組み合わせを選びます。いずれも、GHASを日常の全変更を見る土台に置き、推論型を重要な資産の深い走査に使う構成です。

13/推奨構成

推奨構成：問題の捉え方で変わる、2つのリファレンスアーキテクチャ

多層防御の重心は、何を主な脅威と捉えるかで変わります。公表事例の多くは、インフラや公開ソフトウェアの既知の穴を突かれたものです。この捉え方に立つと、構成Aのように、外周の既知の穴を塞ぎ、直すまでの時間を縮めることが出発点になります。一方で、自社開発のソフトウェアが事業の中核を担い、AIによって未知の欠陥まで突かれることに備えたい組織には、3製品を主役にした構成Bが合います。2つは対立するものではなく、AからBへ段階的に広げられます。

14/選び方

条件別の選び方とDiscovery質問

15/運用設計

組み合わせて使うときの6つの論点：集約・重複・承認・費用・データ・結果のぶれ

16/当社の強み

6つの層を横断して支える当社のケイパビリティ：GitHub・Microsoft・Claude・ハーネス設計

当社は、GitHubチャネルパートナーとしてGitHubソリューション（GHASを活用したDevSecOpsを含む）を提供し、MicrosoftのAgentic DevOps Specialization、Claudeを統制環境で運用するAI駆動開発、AIエージェントの統制を担うAgentic Securityに取り組んでいます。特定の製品に偏らず、3つの基盤を横断して層を組み合わせられることが、当社の特長です。AI駆動開発をチーム全体で推進している環境では、検査と修正もAIエージェントと同じ開発の流れに乗せられるため、セキュリティ対策のハードルが大きく下がります（Agentic DevSecOps）。当社は2026年8月末から、Claude Securityによる脆弱性診断を先行して検証し、有効性を確認しています。

17/当社の支援内容

多層防御の支援：比較診断・構成設計・GHASの土台づくり・推論型スキャナーの併用・指摘の一本化・AI生成コードの検査

製品の比較から、構成の設計、各層の導入、運用の定着までを、フォワードデプロイ（FDE）で現場に入って進めます。MDASHとClaude Securityは各社が提供する製品で、利用には各社の提供条件が適用されます。

18/導入ステップ

比較診断から多層防御の定着までの5段階導入

19/想定ROI

アラート対応・シークレット事後対応・重要資産の監査工数の削減効果

多層防御の効果は、日常の検査の自動化と、重要な資産の深い監査にかかる工数の削減に表れます。

代表的なリポジトリ1〜2件で、現行の工数を測定し、試算を実測値に置き換えてご判断いただけます。

20/当社について

Claude Securityによる脆弱性診断の先行検証（2026年8月末〜）

当社は2026年8月末から、Claude Securityによる脆弱性診断を先行して検証し、有効性を確認しています。GHASを活用したDevSecOpsの実績とあわせて、推論型スキャナーを組み合わせた多層防御の設計に生かしています。

GitHubチャネルパートナー認定とAgentic DevOpsソリューションの提供開始（2025年10月）

GitHubテクノロジーパートナー（2024年8月）に続いて、GitHubチャネルパートナーに認定されました。GitHub Copilot Coding Agentを用いたAI駆動開発、GitHub Copilotを活用したマイグレーションAIエージェント、Azure AI FoundryとGitHubを活用したAgent Opsなど、GitHubを活かしたサービスを、多くのエンタープライズ企業に提供しています。

Microsoft Azure の AI Platform/Agentic DevOps Specialization取得

ヘッドウォータースは「Microsoft Solutions Partner for Digital & App Innovation（Azure）」の認定に加え、上位資格である「AI Platform on Microsoft Azure」「Agentic DevOps with Microsoft Azure and GitHub」の2領域のSpecializationを取得しています。Azure上のAI基盤構築から、GitHubを活用したエージェント駆動のDevOps自動化まで、Microsoftのエコシステムを横断してカバーします。

GitHub Copilot for Businessの全社導入（2023年4月）とCopilot内製化支援

AIプログラミングアシスタント「GitHub Copilot for Business」を、2023年4月に全社導入しました。自社での利用で得たナレッジをもとに、2023年11月から「Copilot内製化支援サービス」を提供しています。

Anthropic「Claude」を活用したガバナンス対応型AI駆動開発を本格推進（2026年3月）

GitHub Copilotを介してClaudeモデルを運用し、アクセス管理・変更管理・監査証跡を前提とした統制環境で、コーディング支援と設計書・仕様書の自動生成を行っています。大手事業者を含む複数の受注プロジェクトで実運用しています。

Microsoft AI Innovation Partner of the Year 2024 受賞

「AI イノベーション パートナー オブ ザ イヤー アワード」は、マイクロソフト製品の活用によってAI分野で革新を起こしたパートナーに贈られるアワードとして2024年に新設され、ヘッドウォータースは初代受賞パートナーとなりました。日本航空（JAL）様のSLM活用や大和証券様のAIオペレーター、JR西日本様の「Copilot for 駅員」など、エンタープライズ企業向けの大規模AIエージェント開発を数多く手がけてきた実績が評価の背景にあります。

21/はじめ方

スタートプラン：重要リポジトリ1〜2件での多層防御PoC（約8〜12週間）

多層防御は、製品の設定だけでなく、指摘の受け皿、重複の統合、修正の承認、費用の確認までを含めて検証する必要があります。そのため当社は、対象を重要なリポジトリ1〜2件に絞った、約8〜12週間のPoC（概念実証）から始めることをおすすめしています。日常の検査の土台と、深い走査の試行、指摘の運用までを実データで確かめ、本格導入の構成と費用を判断していただけます。

22/関連ソリューション

GitHub導入から、 Agentic DevOpsまで。

GitHubソリューション. GitHub Enterpriseの導入支援、DevOps伴走支援、GitHub Advanced Securityを活用したDevSecOps、GitHub Copilot Coding Agentを活用したAI駆動開発までを支援します。

AIエージェントがSDLC全体を 進化させる。

Agentic DevOpsソリューション. GitHubチャネルパートナーとして、Microsoft Azure、GitHub Copilot、当社のAIエージェントとAI駆動開発のナレッジを組み合わせた、Agentic DevOpsを提供します。

ソフトウェア開発を、 AIで進化させる。

AI駆動開発. GitHub CopilotやMicrosoft Azureを活用し、開発組織の生産性向上と内製化を支援します。

Claudeを、統制の効いた 開発環境で使う。

Claudeを活用したガバナンス対応型AI駆動開発. GitHub Copilotを介してClaudeを、アクセス管理・変更管理・監査証跡を前提とした統制環境で運用し、複数の受注プロジェクトで実運用しています。

AIエージェントのID・権限・実行履歴を、 統制する。

Agentic Security. AIエージェントが利用するID・権限・データ接続・実行履歴を継続的に把握・保護し、検知から検証までのセキュリティ運用にもAIエージェントを活用する運用基盤です。

AI駆動開発を、 組織標準にする。

AI駆動開発（SAIDDar）. 案件の改善を標準・テンプレート・エージェント定義へ還元し、人のレビューと責任者の確認を前提に、AI駆動開発を組織標準へ進めます。

Azure上のエージェント基盤で、 Agent Opsを回す。

Microsoft Foundry（Azure AI Foundry）エージェント. モデルの選定・評価・デプロイ・運用の基盤を設計・導入し、Agent Opsによる継続的な改善を支援します。

最初の1業務を、 2日間で試作する。

HWS Agent Camp. 専門エンジニアが伴走する2日間の集中ハッカソン。約2週間の事前準備のうえで、AIエージェントの本格的なプロトタイプを構築します。

23/よくあるご質問