Falco Feedsは、オープンソースに焦点を当てた企業に、新しい脅威が発見されると継続的に更新される専門家が作成したルールにアクセスできるようにすることで、Falcoの力を拡大します。
1〜3の段階は、調査とレポートの作成だけを行い、環境には変更を加えません。環境に影響を与える操作は、アナリストの判断を経て実行されます（詳しくは本記事の「調査の次のステップ：スキルが進める範囲と、人が判断する範囲」をご覧ください）。
セキュリティコンソールは通常、人がベンダー側で定義された画面を通じて情報を取り込み、調査することを前提に設計されています。しかし、最新のクラウドにおける調査が一つの場所だけで完結することはほとんどありません。インシデントが進展するにつれ、チームはコラボレーションツール、運用ワークフロー、チケッティングシステム、クラウドコンソール、外部のコンテキスト情報源の間を行き来することになります。
このモデルを変えるのが、ヘッドレスクラウドセキュリティです。
先日公開したヘッドレスクラウドセキュリティ紹介のブログでもご説明したとおり、Sysdigはセキュリティを、チームがすでに業務を行っている環境、すなわちAIネイティブなワークフロー、コーディングエージェント、API、自動化システムの中へと組み込んでいきます。チームを新たなベンダー独自のインターフェイスに移してもらうのではなく、セキュリティそのものを運用ワークフローに直接埋め込みます。
このアプローチを示す最初の例の一つが、新しいRuntime Investigation Skillです。
このエージェントスキルの価値は、対話的なインターフェイスそのものだけにあるわけではありません。その裏側にあるSysdigのランタイムデータとインテリジェンス、すなわち高精度なランタイムシグナル、コンテキストを伴う検知、関連するアクティビティ、そして長年のクラウドネイティブセキュリティの知見によって練り上げられた調査ワークフローこそが価値の源泉です。本スキルは、このデータとインテリジェンスを、チームがすでに使っているツールの中から扱えるようにします。
下の動画では、本スキルがSysdigのランタイムデータとインテリジェンスをClaudeに取り込むことで、クラウドセキュリティチームや検知・レスポンスチームが普段のワークフローを離れることなく脅威を調査できる様子をご覧いただけます。
動画内のAIへの指示は日本語でも入力可能です。実際の運用イメージをご覧になりたい方は、デモをご依頼ください。
ランタイムデータとインテリジェンスを運用ワークフローへ
Runtime Investigation Skillは、Sysdigのランタイムデータ、検知コンテキスト、そして調査の知見をAIネイティブなワークフローへ直接届けます。
これが重要なのは、実際の調査が一つのツール内できれいに収まることなど、めったにないからです。重大なアラートはPagerDutyから始まるかもしれません。そして調査は、チームが「何が起きたのか」「何が最も重要なのか」を理解しようとするなかで、ランタイムイベント、クラウドアクティビティ、コラボレーションチャネル、チケッティングシステム、外部の脅威コンテキストへと広がっていきます。
Runtime Investigation Skillを使えば、アナリストは調査をプログラム的に開始し、優先度付けされた所見、関連アクティビティ、攻撃フローのコンテキスト、推奨される次のアクションを、Claudeの中で直接確認できます。
実際のクラウドインシデント対応の経験がある方ならご存じのとおり、最も難しいのは通常、アラートを見つけることではありません。どのシグナルが本当に同じインシデントに属するのかを見極めることです。
本ワークフローは、その負担を軽減することを目的としています。生データを別のインターフェイス越しに見せるのではなく、ランタイムに根ざした調査コンテキストを、チームがすでに業務を行っている運用環境の中に持ち込みます。
ランタイムシグナルから調査コンテキストへ
デモでは、Kubernetesクラスター内で発生した重大度の高いバイナリドリフトイベントを取り上げています。しかし、より重要なのは個々のアラートそのものではありません。ランタイムのアクティビティをどう繋ぎ合わせて、より明確な調査の道筋に変えていくか、という点にあります。
Sysdigのランタイムデータとインテリジェンスを用いて、本スキルは環境全体にわたる関連アクティビティを追跡し、複数のアセットを横断して証拠を相関させ、より広範な攻撃フローをマッピングします。これにより、アナリストが分断されたシステムを行き来して手作業で全体像を組み立てなくても、チームは事象の発生順序、影響を受けたリソース、インシデントの想定スコープを把握できます。
アウトプットは、インシデントの概要、攻撃フローマップ、タイムライン、推奨される次の調査ステップを含む構造化された調査レポートです。これによりチームは、レスポンス、ドキュメント化、関係者への共有のための、より明確な引き継ぎポイントを得られます。
デモでは、調査コンテキストがJiraのような運用システムへ流れていく様子もご覧いただけます。チケットを作成する前に、スキルが送信する内容を示し、アナリストが確認してから送信されます。これも重要ですが、より大きな転換点はその先にあります。ランタイムの脅威調査は、もはやセキュリティコンソールの中だけに閉じ込めておく必要がない、ということです。調査コンテキストは、チームがすでに業務を調整しているあらゆる場所に、ワークフローと並走しながら移動できます。
調査の次のステップ：スキルが進める範囲と、人が判断する範囲
Runtime Investigation Skillは、調査とレポートの作成を自律的に進めます。一方で、調査の結果をもとに環境へ手を加えるかどうかは、アナリストが判断します。調査から対応までの役割分担は、次のとおりです。
Runtime Investigation Skill自体は、調査とレポートの作成だけを行うスキルです。ワークロードの停止や隔離、リソースの削除といった環境を変更する操作は実行しません。
調査の次の段階での対応は、ヘッドレスクラウドセキュリティにおける Runtime Remediation Skill のご紹介で詳しく紹介しています。Runtime Remediation Skillは、アクションごとに、そのアクションが何をするのか、何に影響するのか、取り消せるのかを示したうえで、アナリストの承認を求めます。複数のアクションをまとめて承認する「すべて承認」はありません。Runtime Investigation Skillで明らかにした調査の内容を引き継ぐことで、検知から調査、対応までを、チームがすでに使っているツールの中で進められます（Runtime Remediation Skillは、2026年9月23日時点でPublic Betaとして提供されています）。
調査や分析はAIエージェントが自律的に進め、環境に影響を与える操作は人間が承認する、という役割分担は、Headless Cloud Security全体に共通する考え方です。AIエージェントにどこまで任せ、どこで人間が判断するかについては、「ヘッドレスクラウドセキュリティとは？【完全ガイド】」で詳しく解説しています。
セキュリティのワークフローは従来のインターフェイスを越えて広がっています
セキュリティリーダーにとっての課題は、もはや単により多くのセキュリティデータを集めることではありません。本当の課題は、チームが調査を十分なスピードで運用化し、摩擦を減らし、最新の脅威に追いつけるよう支援することです。
ここに、ヘッドレスクラウドセキュリティが根本的に異なる理由があります。
目的はセキュリティコンソールを置き換えることではありません。ランタイムデータとインテリジェンス、そして調査ワークフローを、チームがすでに業務を行っているシステムの中へ拡張することにあります。
AIエージェントがエンジニアリングや運用チームの働き方の一部として浸透していくにつれて、セキュリティのワークフローもそれに合わせて進化させていく必要があります。ランタイムデータとインテリジェンス、調査コンテキスト、レスポンスワークフローは、チームが日々利用しているインターフェイスや運用環境を横断して、いつでも利用できる状態である必要があります。
調査で明らかになった脅威への対応は、Runtime Remediation Skillが引き継ぎます。検知から調査、対応までの一連の流れを、チームがすでに業務を行っている環境の中で進められます。
Runtime Investigation Skillは、その転換を実際の形で示した初期の例の一つです。最新のクラウド環境では、脅威を最も早く調査するチームが、しばしば最も早く封じ込めるチームでもあるからです。Sysdigがヘッドレスクラウドセキュリティを通じて、AIネイティブなワークフローへランタイム調査をどう持ち込んでいるか、ぜひデモをリクエストしてご覧ください。