AWSが発表した「AWS Continuum」——コードだけでなくインフラとビジネスコンテキストまで読む脆弱性推論の意味
コードスキャンは既にあった。AWS Continuumが加えたのは「そのコードが本番のどこに存在し、悪用されたらビジネスにどう響くか」という推論の層だ。
出典: AWS、コードだけでなくインフラ構成とビジネスコンテキストも理解した上で脆弱性を推論する「AWS Contiuum」発表。特定のAIモデルに依存せず
要点 (事実のみ)
- AWSは「AWS Continuum for code vulnerabilities」を発表。コードスキャンに加え、インフラ構成・アクセス許可・ネットワークトポロジー・ビジネス上の優先事項・非構造化ドキュメントをコンテキストとして活用し、脆弱性を推論・優先順位付けする
- 既存サービス「AWS Security Agent」はAWS Continuumの一部となり、「Continuum for penetration testing」および「Continuum for code scanning」に統合される
- 設計ドキュメントやソースコードから脅威モデルをSTRIDE形式で自動生成する「Continuum for threat modeling」もプレビューで提供開始
- サンドボックス環境で実際にエクスプロイト例を構築し、再現可能な証拠を提供する設計
- 特定のAIモデルに依存しない設計で、複数の最新モデルを領域ごとに使い分け、新モデルを取り込めるよう構築されている
徐 聖博の見解
私がこの発表で最も注目したのは、「インフラ構成とビジネスコンテキストをコンテキストとして活用する」という設計方針だ。従来のSASTやDASTは、コードや通信パターン単体を見て脆弱性を列挙する。その結果として現場に積み上がるのは大量のアラートで、優先順位付けにエンジニアの工数が吸い込まれてきた。Continuumはその優先順位付けをアーキテクチャとビジネス優先度の情報を使って自動化しようとしている。アプローチとしては筋が通っている。
ただし、「作る側」の目で見ると、ここで鍵になるのはビジネスコンテキストをどのように構造化してシステムに渡すかという入力設計だ。インフラ構成はコードとして取得できるが、「このサービスが本番でどれだけ重要か」という優先事項は非構造化ドキュメントやオーナーの判断の中にある。精度が実務に耐えるかどうかは、この非構造化データの読み取り品質に強く依存する。現時点では「プレビュー」段階の機能も含まれており、プロダクション環境での再現性は引き続き検証が必要だろう。
発注側・中小企業の観点でも意味のある変化だと思う。これまでセキュリティ診断は外部の専門業者に委託するか、大手企業だけが内製できるものだった。Continuumのようなサービスが成熟すれば、開発チームが日常的なサイクルの中でリスク優先度付きの診断結果を受け取れるようになる。開発支援の現場でもセキュリティを「後工程で別途発注」ではなく「CI/CDに組み込む常時監視」として提案しやすくなる。特定AIモデルに依存しない設計は、モデルの陳腐化リスクを下げる運用上の配慮としても評価できる。
(編集レンズ: 実装・運用視点 / 発注側・中小企業・開発実務への含意 / AIを「作る側」の目線)
シンシアの開発事例
**2026年2月の開発着手から約5.5ヶ月で、アパレル企業向けAIクリエイティブ基盤としてプレスリリース公開まで到達しました（2026年7月29日発表）。**
Cloverse様の発表によれば、Clovia Enterprise は PUMA社・ルック社をはじめとする**30社以上のアパレルブランドとの検証**を経ており、現在は先行導入企業（Founding Partner）を限定募集する段階に入っています。
開発規模は次のとおりです（2026年7月29日時点、リポジトリ実測値）。
| 指標 | 実績 |
|---|---|
| 開発体制 | エンジニア4名 |
| 開発期間 | 2026年2月13日〜（継続中） |
| コミット数 | 約1,480 |
| プルリクエスト | 373本 |
| 対応イシュー | 428件 |
| 実装計画ドキュメント | 162本 |
| データモデル | 83テーブル |
### この事例からの示唆
**生成AIプロダクトの難所は、モデルではなく業務側にある。** 画像を1枚生成すること自体は、いまや誰でもできます。事業として成立させるために必要だったのは、マスター管理・制作進行・レビュー・権限・課金・非同期処理といった、業務を回すための地味な設計でした。83テーブルという規模は、その事実を素直に表しています。
**未知の業界のプロダクトは、業務を理解した側が設計しないと形にならない。** アパレルEC制作の工程を知らないまま「AIで画像生成する機能」を作っても、現場では使われません。ヒアリング・R&D・プロトタイプ・提案までを開発チームが担ったのは、そうしないと仕様が決まらない領域だったからです。この構造は[「使われないシステム」が生まれる要件定義の失敗](https://blog.xincere.jp/articles/why-unused-systems-are-born-requirements-definition)とちょうど裏返しの関係にあります。
**モデル選定に正解が無い領域では、検証を設計プロセスに組み込む。** どの生成モデルを使うかは半年で変わります。だからこそ、モデルを差し替えられる構造と、検証結果を機能設計に反映し続ける進め方の両方が必要でした。
### よくある質問
**Q. 生成AIを使ったプロダクトの開発は、通常のシステム開発と何が違いますか。**
A. 最も違うのは、着手時点で仕様が確定できない点です。どのモデルがどの品質を出せるかは検証しないと分からないため、R&Dとプロトタイプを設計工程に組み込む必要があります。一方で、組織・権限・課金・非同期処理といった土台は通常のSaaS開発と同じ設計が求められます。
**Q. 業界知識がない領域でも開発支援を依頼できますか。**
A. できます。この事例ではアパレルEC制作の業務理解から入り、ヒアリングとプロトタイプを通じて要件そのものを一緒に作りました。仕様が固まっていない段階からのご相談のほうが、むしろ手戻りが少なくなります。
**Q. どのくらいの体制・期間の支援ですか。**
A. エンジニア4名、2026年2月から継続中です。プレスリリース公開までは約5.5ヶ月でした。規模や費用感の考え方は[システム開発とは](https://blog.xincere.jp/articles/what-is-system-development)で解説しています。
### 関連する支援領域
- [AIシステム開発とは？開発の流れ・費用相場・失敗しない進め方](https://blog.xincere.jp/articles/ai-system-development-guide) — 生成AIプロダクト開発の全体像
- [AI PoCの進め方5ステップ｜「PoC止まり」を防ぎ本番導入につなげる実践手順](https://blog.xincere.jp/articles/ai-poc-how-to-proceed) — 検証を本番に接続する設計
- [FDE（Forward Deployed Engineer）が示す、上流から伴走できるエンジニアの価値](https://blog.xincere.jp/articles/fde-forward-deployed-engineer-upstream-value) — 本事例の進め方の背景
生成AIを使った新規プロダクトの立ち上げや、仕様が固まりきっていない段階からの開発支援については、[開発のご相談](https://blog.xincere.jp/contacts)からお問い合わせください。
**出典:** [アパレル企業向けAIクリエイティブ基盤「Clovia Enterprise」提供開始（株式会社Cloverse / PR TIMES, 2026-07-29）](https://prtimes.jp/main/html/rd/p/000000024.000139250.html)
株式会社Cloverseの事例を読む →
