調査44倍速・コスト82%減:Vega SecurityがClaudeで築いた「エージェント型サイバー防御」事例を読み解く
Claude公式の顧客事例から、今回はサイバーセキュリティ企業Vega Securityのケーススタディを紹介します。Fortune 200企業やグローバル銀行、大手医療機関を顧客に持つVegaは、Claudeを推論エンジンとするエージェント型サイバー防御プラットフォームを構築し、調査の最大44倍高速化、レガシーSIEM比82%のコスト削減、アナリスト時間の約67%回収という数字を出しています。
プロダクト開発の事例ですが、「モデルの使い分け」「専門知識のスキル化」「人間の承認を残す設計」など、これまで紹介してきたテーマの"本番実装版"として読める内容です。
課題:セキュリティチームは「取り込める分」しか守れなかった
大企業のセキュリティデータは、数十のツールとクラウド環境に散在しています。理論上はすべてをSIEM(セキュリティ情報イベント管理)に取り込めますが、エンタープライズ規模では複雑すぎ、コストも法外。結果として、チームは「取り込む余裕のある一部」だけを取り込み、その外側はすべて死角になる——これが業界の構造的な課題でした。
AIの登場はこのトレードオフをさらに先鋭化させます。共同創業者兼CTOのEli Rozen氏は、AIエージェントの実効性はアクセスできるデータの範囲で決まるのに、多くのセキュリティアーキテクチャは断片化しすぎているか遅すぎる、と指摘します。サンプリングされた一部しか見えないSOC(セキュリティオペレーションセンター)は、そのサンプリングが生んだ死角をすべて引き継ぐ。実際、世界トップ4のある銀行では、VPCフローログ・CloudTrail・Microsoft 365のテレメトリをレガシーSIEMに取り込むには追加で600万ドルかかる計算で、手が出ない状態でした。
Vegaの答えは、データを取り込んで集中させるのではなく、データがある場所で直接、検知→トリアージ→調査→最適化のループを回すというアプローチ。その推論エンジンがClaudeです。
解決策①:1つのモデルファミリーで、層ごとに「適切な知能の深さ」を当てる
Vegaのモデル戦略は、以前紹介した公式のモデル選択ガイドの生きた実例です。まず最も高性能なClaudeモデルで精度のベースラインを確立し、そこから品質を落とさずにコストと効率を最適化する方向へ逆算。そして、Haiku・Sonnet・Opusという単一ファミリー内で、パイプラインの各層に合ったモデル階層を割り当てます——最も深い推論は、リスクが最も高い「確定アラート」に。ログ分析や要約のような大量処理は、軽く速い階層に。
Rozen氏いわく、顧客はこれを「スケールしても速く正確」として体感し、Vega自身は「ユニットエコノミクスを健全に保ちながら、勝負どころではフロンティア級の答えを出せる」体制として実感している、とのことです。
解決策②:Agent Skillsの上に「Detection Skills」というオープン標準を構築
もうひとつの見どころが、AnthropicのAgent Skillsフォーマットの上に築かれた「Detection Skills」です。これは、サイバー防御エンジニアが自分の専門知識——ある検知をどうトリアージし、どう調査し、どう最適化するか——をエージェントのループとしてコード化するオープン標準で、detectionskills.ioとしてコミュニティに公開されています。
検知が発火すると、このループが専門家の判断に基づいて走ります。トリアージスキルがアラートをインシデントに昇格させるかを推論付きで判定し、調査スキルが人間が見る前に仮説を立て、証拠を集め、説明可能な結論と推奨アクションを起案し、最適化スキルが承認済みの判定を検知ルールに書き戻して、次回の発火精度を上げる。そして重要なのが——すべての変更にエンジニアがサインオフすること。判断の所有権は人間に残したまま、反復作業だけが先に終わっている、という設計です。
解決策③:Amazon Bedrockでの本番運用とEUデータレジデンシー
推論はAmazon Bedrock経由で顧客に届きます。ゼロデータ保持、顧客データでの学習なし、VPCエンドポイントでトラフィックをパブリックインターネットから隔離、パススルー価格——という構成で、社内ツールとClaude Codeには直接のClaude APIを併用。利用が拡大しても、Bedrockのクロスリージョン推論が負荷スパイクを吸収するため、その容量を自前で構築する必要がありませんでした。GDPR対応でEUデータレジデンシーが必要になった顧客には、フランクフルトに専用コントロールプレーンを3週間未満で立ち上げ、EUホストのClaudeモデルで対応しています。
成果:数字と、その裏のエピソード
本番展開全体で、顧客はアナリスト時間の約67%を回収、調査は最大44倍高速、データコストはレガシーSIEM取り込み比で最大82%減
Fortune 500の保険会社は、平均トリアージ時間を25分から3分未満に短縮
トップ4銀行は、以前は手が届かなかった600万ドル相当のテレメトリの可視性を獲得
基盤性能としては、17のAWSリージョンにまたがる10億件超のCloudTrailログを41秒でスキャン(手動ベースラインは30分)——サンプルではなく環境全体をAIが推論できる状態を実現
エピソードも具体的です。ある大手セキュリティ企業では、シグネチャベースのツールが完全に見逃していた稼働中のマルウェア感染をVegaが発見。
ある投資銀行はPoV(価値実証)の結果、レガシーSIEMをVegaのプラットフォームで置き換える決定をしました。そして面白いのが、Fortune 500の技術メーカーの使い方——大規模なClaude Code導入を、プロンプト経由の権限昇格や未承認のMCPインストールといった「AIエージェント特有のリスク」の観点で監視するためにVegaを導入した、という事例。AIエージェントの普及が、AIエージェントを監視する需要を生んでいるわけです。
Rozen氏からの3つのアドバイス
事例の締めくくりに、CTOからビルダーへの助言が添えられています。要約すると——①タスクごとに適切なモデルを選び、最大モデルをデフォルトにしない。②本番環境で品質を厳密に測定し続ける。③特定の基盤モデルより長生きする、耐久性のあるプラットフォーム能力を築く。次の展開として、組織のセキュリティ環境全体を横断する複数ステップの脅威ハンティングをAIエージェントが実行する「エージェンティック検索」を準備中とのことです。
まとめ
この事例が示すのは、Claudeを「チャットの相手」ではなく「製品の推論エンジン」として組み込んだときの到達点です。そしてその設計原則——モデル階層の適材適所、専門知識のスキル化とオープン標準化、人間のサインオフを残すループ、本番での品質測定——は、規模こそ違え、私たちが日々のClaude活用で積み上げている型と地続きです。特に「Detection Skills」の発想は、どの業界でも「ベテランの判断をスキルとしてコード化し、全アラート・全案件に適用する」という形で翻訳できる。セキュリティ担当者だけでなく、AIを製品や業務基盤に組み込もうとしているすべての人に示唆のある事例です。
INNOOV株式会社について
この記事は、AtlassianやIntercomなどのSaaS導入支援と、AIを活用した業務プロセス改善を行うINNOOV株式会社がお届けしました。「自社でもこんな仕組みを作ってみたい」「ツール導入を相談したい」という方は、お気軽にお問い合わせください。