事態を重く見たコステア氏は、クラウド環境ならではの複雑な脅威シナリオに対応するため、単にアラートを上げるだけの従来型ツールからの脱却を決意した。SAPが運用する複雑なシステムでは、攻撃が成立するために複数の前提条件があるケースもある。前提条件は12項目に及ぶこともあり、「リアルタイムで状況を把握したかった」と同氏は述べる。

　コステア氏の狙いは、自社システムで稼働する各アプリケーションの最新状態に基づいて、攻撃が成立するリスクがあるかどうかを即座に判断できるようにすることだ。これはXDR（Extended Detection and Response）ツールなど既存の脆弱性管理ツールでは実現が難しいと同氏は考えていた。

　セキュリティデータ分析に新たなアプローチが求められる中、SAPは作業負担を軽減するため、AI（人工知能）技術を活用したクラウドセキュリティベンダーUptycsと提携し、同社のAI分析ツール「Juno AI」（以下、Juno）を導入した。

　「当社はクラウドインフラのセキュリティを専門とし、SAPが巨大なクラウドインフラにシステムを構築する際の連携技術を提供している」と、Uptycsの創業者兼CEOであるガネーシュ・パイ氏は語る。

　Uptycsが提供するのは、一連のセキュリティ制御を可能にする「CNAPP」（クラウドネイティブアプリケーション保護プラットフォーム）だ。これによって企業はガバナンスの維持や脅威検出、インシデント対処といった事前／事後の対策を実行できるようになる。

Junoの役割

　Junoは、AIエージェントと人間のアナリストが1つのチームとして共同作業することを可能にする。AIエージェントが単調な作業を処理する一方で、人間は高度な脅威ハンティングや、より深い攻撃経路の分析に集中できるようになる。

　パイ氏によれば、Junoはもともとクラウドサービスとオンプレミスシステム向けの脅威ハンティングツールとして開発された。しかし、SAPなどの企業と協力する中で、2026年4月時点では標準的な脅威検出の枠を超え、戦略的なAIコンサルタントとしてより大きな価値を提供している。

　「数多くのAIツールが出回る中、われわれはユーザー企業のデータレイクとJunoを連携させ、ユーザー企業が信頼できる情報を提供している」とパイ氏は述べる。

　セキュリティ制御に関するエンドユーザーからの質問に対して、AIツールが明確な根拠を示して回答する。エンドユーザーにとって、この「確証を得られること」が重要なポイントだ。

　脅威ハンティング用のAIツールの中には、火災報知器のように「火事だ」と叫ぶだけで理由を説明しないものがある。パイ氏によれば、Junoはそれらとは異なり、出力結果を人間が検証できる。AIツール自身が情報源を提示し、判断の証跡を示すからだ。「この仕組みこそがJunoの真価だ。人間が数週間かける手順を自律的に実行し、瞬時に処理する能力を追求した」と同氏は語る。

　Uptycsが「サイバーの『Wikipedia』」というキャッチコピーを付けたJunoは、戦略コンサルタントが作成するような高品質のリスクレポートを、わずか数分で作成可能だという。

　「セキュリティ担当者は中身のないセキュリティ情報や、推測に基づくAIツールにうんざりしている。AIエージェントと人間のアナリストが共同で調査できるJunoの仕組みによって、セキュリティ対策は事後対処型の受け身的行為から戦略的な変革に移行できる」（パイ氏）

Junoの運用

　SAPにおけるJunoの運用については、データ分析システム「Databricks」と大規模なデータレイクを組み合わせた構成が、運用の中核を担っている。コステア氏によれば、これは「プライベートクラウド内の社内システム」のような役割を果たしており、リアルタイムの検索と洞察を実現している。費用を抑えつつ、従来は難しかった詳細な分析が可能になっているという。

　コステア氏が常に警戒しているのは、「目立たず緩慢な動き」から不審な試みへと発展する兆候だ。例えば、正規IDを持つエンドユーザーがAWSインスタンスにアクセスし、通常の開発における権限を利用したとする。その後、特定のインスタンスにアクセスして権限を強化したり、データを別のアカウントに持ち出したりする。一見すると、管理者による通常の作業と区別がつかない。システム管理者にとって、日常的な操作だ。コンテキストや行動などを詳細に監視してログデータと関連付けなければ、不審な動きだと判断するのは難しい。

　「Junoで膨大なデータを検索し、IDの出どころや実行コマンドなどの証拠を抽出できる。あらゆる痕跡をたどることで、通常の活動ではない奇妙な振る舞いを判断できるようになる」。コステア氏はそう説明する。

　SAPにとって最も重要なのはこうした細かい部分だという。なぜなら、最終的にそれによって、防御チームが矛盾や異常を見つけ出し、事態が深刻化して大きな騒ぎになる前（最悪の場合はランサムウェア被害に発展する前）に対処できるようになるからだ。

新しいツールがもたらす変化

　Junoがもたらした価値は、現場の反応に如実に現れている。コステア氏はチームの様子を、「親に新しいおもちゃを自慢する子ども」のようだと表現する。「彼らは新しいおもちゃ（ツール）を手に入れたことに大興奮しており、その能力を最大限に引き出そうと試行錯誤している」と同氏は語る。

　SAPのセキュリティ担当者は、これまで見えなかった脅威や、存在しないと思われていた脅威を発見し始めている。

　Junoが可視化する情報の大半は、発見時点では悪意のあるものだとは限らない。むしろ、本来すべきではない操作や、制限されるべき権限が放置されているといった「隙」を示している。こうした情報はセキュリティチームにとって非常に価値がある。もし管理者が危険な操作を実行できる状態にあれば、社内ネットワークに侵入した攻撃者にも同じことができてしまうからだ。SAPはこの知見を得ることで、以前は盲点だった攻撃シナリオの検証が可能になった。

　「クラウドサービスが中心となって動いている今日のビジネスには、脅威を検出するだけではなく、戦略的な意思決定を助けるツールが求められている」とコステア氏は語る。

　UptycsとSAPの提携は、根拠に基づく検証可能な対策を追求する決意の表れであり、リスクの先手を取るための変革を推し進めるものだ。