「Strix」とは？単一URLのAI診断が約78秒で完了！検証の条件

Strixは、AIがWebアプリやソースコードを調べ、脆弱性の発見から検証結果の報告までを進める診断ツールだ。ブラウザで画面を操作する機能や、HTTP通信を調べる機能を備えている。

この記事では、Strixの機能と利用の流れ、我々が単一URLを診断した検証結果を紹介する。

Strixは何をするツールか

公式READMEでは、複数のAIエージェントが検査を分担し、見つけた情報を共有する構成が紹介されている。AIエージェントは、Strixに備わる次の機能を使って検査を進める。

Strixの機能	検査で行うこと
ブラウザ操作	ページを開き、ボタンやフォームを操作する。
HTTP通信の確認	Webアプリへ送った要求と、返ってきた応答を記録して調べる。
ソースコードの確認	ファイルを読み、脆弱性の原因になりそうな処理を調べる。
検証と報告	脆弱性の候補を検証し、確認結果と修正案を報告する。

自分の環境で動かす場合は、利用するAIモデルを選び、検査するWebアプリのURLやソースコードを指定する。手元のソースコードとGitHub上のコードに対応し、URLとソースコードを同時に渡して調べることもできる。

診断を始めると、検査結果は実行ごとに保存される。付属のWeb画面では、見つかった脆弱性の内容と深刻度、各AIエージェントの作業状況を確認できる。検査中の進み具合も、終了後の結果も同じ画面で追える。

我々の2026年10月8日の検証は、GLM-5.2と意図的に脆弱性を持たせたWebアプリを使った。Strixの単一URLに対する診断1回は約78秒、モデルへの要求12回、0.7034米ドルだった。準備と人による確認の時間は含めていない。

条件と結果の詳細は既存の検証記事にまとめた。現在のStrixや別モデルの性能値として転用せず、まず同じ種類の記録を自社の試験で残す。

報告を採用する前に、実際のデータが返ったのか、エラー文をデータと誤認していないか、試験アカウントに元から権限がなかったかを確かめる。再現できた不備には、影響する操作と修正後の期待結果を付ける。

担当者が判断に使えるのは、脆弱性名の一覧よりも「誰が、どのデータを、どの操作で扱えたか」という記録だ。未確認の指摘を再現済みの指摘と混ぜずに管理する。

AIを活用した脆弱性診断やセキュリティ対策について、お気軽にご相談ください。