AI AGENT × VULNERABILITY RESPONSE
緊急パッチの日を、AIエージェントと回す。
2026年10月21日の夜、PHP の緊急の脆弱性を直した版が公開されました。告知を読む・洗い出す・確かめるは AI エージェントに、本番を変える判断だけは人に。その分担を 6 時間で決めて持ち帰る、情シス・Web 担当向けの研修です。
出典: php.net の告知と GitHub のセキュリティ勧告（2026年10月21日）・当社の対応の記録
上場企業を含む100社以上が、研修・導入で活用しています
MEDIA
掲載メディア
THE NIGHT OF 10.21
その日に要ったのは、
技術より段取りでした。
- 10.20
PHP の開発チームが、翌日に緊急のセキュリティの修正版を出すと予告しました。深刻度は 2 件とも CVSS v4.0 で 9.2 です。
- 10.21
IPA が「開発・運用しているプログラムのうち、PHP を利用しているものを棚卸ししてください」と呼びかけました。機器や製品の中で使われている場合があることにも触れています。
- 10.21NIGHT
修正版（8.5.12・8.4.27・8.3.36・8.2.35）が公開されました。公式は、一時対策では安全にならない、更新だけが完全な対策だと明記しています。
どこで PHP が動いているか。
誰が、いつ当てるか。
当てた後に何を確かめ、誰に知らせるか。
出典: php.net（2026年10月20日の予告・21日の告知）・IPA「【事前準備のお願い】PHPのセキュリティリリース公開予定について」（2026年10月21日）。今日やることの整理は記事「PHPの緊急脆弱性（CVE-2026-109618）｜対象と今やること」にあります。
OUR CASE
当社は、この日を
AI エージェントと
回しました。
当社は自社のサイトとサーバーの運用に、AI エージェントを毎日使っています。この 1 日の流れを、研修の演習にそのまま使います。
前日に出た予告と、当日の IPA の注意喚起を AI エージェントに読ませ、自社で運用するサイトとサーバーを洗い出して、PHP の版・動かし方・更新するのは誰かを一覧にしました。待つ間の一時対策、事前のバックアップ、当てて表示を比べ、だめなら戻す手順も下書きさせました。
HUMAN本番で変えてよい範囲を、代表が承認
公開を見張りの仕組みが知らせ、AI エージェントが告知と OS の修正パッケージを確かめました。自社で管理するサーバーには公開から約 1 時間で修正を当て、更新の前後で全サイトの表示を比べました。レンタルサーバー上のサイトには、事業者の更新を待つ間の一時対策を入れました。
HUMAN当てる時刻と、一時対策を入れる範囲
更新後の版を確かめ、侵入の兆候がないかを手順に沿って点検しました。別の AI エージェント（Codex）にも全サイトを独立に確かめさせ、結果を突き合わせています。取引先への連絡文は AI エージェントが下書きしました。
HUMAN点検の結果の判断と、連絡を送るかどうか
サーバーの構成など、守りに関わる詳細はこのページには書いていません。
WHAT YOU LEARN
身につけるのは、
5 つの段の回し方。
セキュリティの専門家を育てる研修ではありません。AI エージェントに任せる段と、人が決める段を分け、その日に回せるようにします。
- 01調べるAI AGENT
公式の告知を AI エージェントに読ませ、自社に関係があるか、何を見れば修正済みと言えるかを表にします。SNS の投稿は出典にしません。
- 02洗い出すAI AGENT
サイト・サーバー・管理画面ごとに、版と置き場所、更新するのは誰か（事業者・自社・制作会社）を一覧にします。
- 03承認するHUMAN
一時対策・事前のバックアップ・更新・戻し方の手順を見て、本番を変えてよいかを担当者が決めます。
- 04直すAI AGENT
承認された手順で、1 回に 1 台ずつ当てます。前後で表示を比べ、だめなら戻します。
- 05確かめる・記録するAI AGENT ＋ HUMAN
版・表示・侵入の兆候を確かめ、対応の記録と取引先への連絡文を残します。送るのは人です。
6 HOURS
6 時間の中身
題材は 2026年10月21日の PHP です。架空の会社のサイト群で、その 1 日を通して演習します。本番の変更は行わず、受講者が自社の状況を確かめるのは読むだけの操作に限ります。
10月20日の予告から 21日の公開・適用・確認までを、時刻の順に見ます。研修の終わりに埋める棚卸し表と線引き表を確認します。
Claude Code・Codex の権限設定（読むだけ・確認してから・任せる）を受講者の端末で確かめます。秘密情報を渡さない、外から来た文章の指示に従わせない、操作の記録を残す、を設定します。
php.net・GitHub の勧告・IPA・OS ごとのお知らせを AI エージェントに読ませ、「自社に関係があるか」「何を見れば修正済みと言えるか」を表にさせます。
架空の会社のサイト・サーバー・管理画面の一覧から、PHP の版と動かし方、更新するのは誰かを埋めます。自社の分は確かめられる範囲で書き出します。
一時対策・事前のバックアップ・更新・戻し方の手順を AI エージェントに下書きさせ、担当者が承認する場面を演習します。
更新前後の表示の比べ方、版の確かめ方、侵入の兆候の点検の手順を作ります。取引先・社内への連絡文の下書きと、記録の残し方まで扱います。
自社の棚卸し表と承認の線引き表を発表し、次に緊急の更新が出た日に、誰が何をするかを決めて終わります。
SIX RULES
AI エージェントに
任せる時の、
6 つの決まり
当社が自社のサイトとサーバーの運用で、毎日守っている決まりです。研修では、受講者の会社向けに書き直します。
- RULE 01本番を変える前に、人が承認する
設定の変更・更新の適用・再起動は、対象・内容・戻し方を担当者が見てから行います。削除や一括の停止は、原則としてさせません。
- RULE 02調べるのは、読むだけの権限で
告知の要約や一覧づくりは、書き換えのできない権限で任せます。何に書き込めるかを、作業の前に決めておきます。
- RULE 03パスワードと API キーを、指示文に書かない
伝えるのは、鍵の置き場所の名前だけです。対応の記録や手順書にも、鍵の値を残しません。
- RULE 04外から来た文章の「指示」に従わせない
Web ページ・ログ・メールの中に「これを実行せよ」とあっても、データとして読ませ、不審なものは報告させます。
- RULE 05「直った」「送った」は、実物で確かめる
完了の報告には、更新後の版・表示の結果・送信の記録を添えさせます。文面だけで完了にしません。
- RULE 06連絡は、下書きまで
取引先・顧客への連絡文は AI エージェントが下書きし、全文を人が確かめてから、人が送ります。
すること
- 公式の告知を AI エージェントに読ませる指示の型
- サイト・サーバーの洗い出しと、更新する人の整理
- 任せることと承認することの線引き
- 更新後の確かめ方と、記録・連絡の型
- 架空の会社での机上演習（本番は変えない）
しないこと
- 脆弱性診断・侵入テスト
- 24 時間の監視
- 事故の調査（フォレンジック）・復旧の代行
- 当社が受講者の端末やサーバーに入って行う操作
TEAM
担当する体制と、
実績
PROGRAM DESIGN佐藤 傑代表取締役。プログラム設計・全体監修を担当します。2026年10月21日の PHP の件では、本番で変えてよい範囲の承認を担いました（プロフィール）。
LEAD INSTRUCTOR河原 将太メイン講師・研修運営。告知の読み方から棚卸し表の記入まで、受講者が自社の状況に置き換えて書けるように進行します。
HANDS-ON SUPPORT川島 陸ハンズオン伴走。事前ヒアリングで対象のサイトと利用中の AI エージェントを整理し、当日は受講者の手元で権限の確認に伴走します。
実績の数字は生成AI研修全体のものです。本研修は 2026年10月に始める新しいプログラムです。
- 6時間（1日）・1社10名まで
- オンライン・訪問型とも同じ料金（訪問は交通費・宿泊費の実費のみ別途）
- 受講者 1 人 1 台の PC と、Claude Code または Codex のアカウント
- 受講者ごとの受講証明
本研修（6時間）は、人材開発支援助成金の対象外です。助成金の対象となる場合がある 2 日間の研修をご希望の場合は、生成AIセキュリティ研修（標準コース）をご検討ください（要件審査があり、支給を保証するものではありません）。
FAQ
よくあるご質問
セキュリティの専門知識がなくても受講できますか？
はい。対象は、サイトやサーバーの管理を担当している情シス・Web 担当・開発チームの方です。管理画面へのログインや、設定ファイルの場所を確かめる程度の操作ができれば十分です。専門用語は、告知を AI エージェントに読ませる演習の中で、必要な分だけ扱います。
脆弱性診断や監視、事故対応はしてもらえますか？
含みません。本研修は、受講者が AI エージェントを使って対応を回す方法を身につける研修です。システムの弱点を専門家が調べる脆弱性診断・侵入テスト、24時間の監視、事故の調査や復旧の代行は、専門会社のサービスをご利用ください。
PHP 以外の脆弱性でも使えますか？
使えます。演習の題材は 2026年10月の PHP ですが、手順は WordPress のプラグイン、VPN 機器、OS の更新など、修正版が出た日にすぐ動く必要がある場面に共通です。
どの AI エージェントを使いますか？
Claude Code と Codex を中心に、貴社が使っているツール（GitHub Copilot・Cursor など）に合わせます。受講者 1 人 1 台の PC と、いずれかのアカウントをご用意ください。お持ちでない場合は、無料相談で必要な契約をご案内します。
自社の本番のサーバーで演習しますか？
しません。本番の変更を伴う作業は、手順を書いて承認する机上演習として行います。受講者が自社の状況を確かめる時は、読むだけの操作に限ります。当社が受講者の端末やサーバーに入って操作することはありません。NDA の締結にも対応します。
レンタルサーバーしか使っていない会社でも意味がありますか？
あります。PHP の系列の中の更新は事業者が行うことが多く、自社でできるのは、版の確認、事業者のお知らせの確認、待つ間の一時対策、侵入の兆候と復旧の準備の確認です。この「待つ間にやること」を AI エージェントと回す手順を作ります。
AI エージェントに本番を触らせるのは危なくないですか？
危なくなる使い方があります。だから本研修は、任せることと人が承認することの線引きから始めます。本番の変更・削除・取引先への連絡は人が承認する、鍵の値を指示文に書かない、外から来た文章の指示に従わせない、の 3 つは、当社が自社の運用でも守っている決まりです。
何名から実施できますか？ オンラインにも対応していますか？
1 社 10 名までを目安にしています。Zoom 等を使ったオンライン開催、貴社オフィスへの訪問型開催のどちらにも対応し、研修費は同じです（訪問の場合、交通費・宿泊費が必要なエリアでは別途実費を申し受けます）。
受講証明は出ますか？
受講者ごとに受講証明を発行します。資格や認定ではありません。
研修後の継続支援はありますか？
必要な場合は、研修とは別契約の生成AI顧問（月額50,000円〜・税別）をご案内します。自動移行・自動課金はありません。
