まず環境全体をグラフ化する。すべてはそこから始まります。

5つの検出結果と、その後に実際に起きること

誰も適用しない対策は、修正とは言えません。修正がコードであれば、当社がそれを書き、貴社のリポジトリに対して ドラフトの プルリクエストを作成します。修正がクラウド設定であれば、当社が触れることは決してありません——修復内容に署名し、貴社が所有する自動化の仕組みに引き渡します。

当社が決して行わないこと。

デフォルトでエージェント不要。 クラウドを接続しても、貴社のサーバーには何もインストールされません。カーネル内の可視性を求めるチーム向けに、オプションの eBPF ランタイムセンサーを用意しています——有効にしない限りオフで、ブロックではなく検知を行います。ほとんどのお客様には不要です。

保有するものを把握する。到達可能なものを実証する。発生源で修正する。

6つの製品領域、3つの役割——それぞれが次へとコンテキストを引き渡します。それこそがグラフの役割です。

攻撃者はひとつのグラフで見ている。これからは、貴社も。

攻撃者はサイロで考えません。関係性をたどります——このエージェントがあの権限を持ち、その権限があのバケットに届く、というように。貴社のツールは一覧で考えます。だからこそ、レイヤーをまたぐリスクは誰にも見えないのです。 Redthread は、AIエージェント・ソースコード・クラウド・インフラを、攻撃者が手作業で組み立てるのと同じ全体像につなぎ、自律エージェントにその経路をたどらせて、実際の侵入口を見つけ出します。

「到達し得る」は推測。「悪用できた」は事実。

他のプラットフォームはすべて、この文の前半で終わります。設定を読み取り、あるものが別のものに 到達し得る と計算し、その一覧を渡して整理を任せるだけです。当社は実際に攻撃を実行します——そして返ってくるのは、より高い信頼度スコアではなく、まったく別の種類の事実です。

同じ2つのアセットでも、優先順位リスト上ではまったく別の対象です——一方は計算結果、もう一方にはリクエスト、レスポンス、再実行可能な実証が添付されています。

数百件のクリティカルは優先順位リストではなく、検出結果はリスクではありません。実際の本番アカウントで、これは 17件の検出結果を1件に 絞り込みました——残る16件も事実でしたが、到達不能でした。

貴社の言葉だけを信じる人はいません——監査人も、顧客のセキュリティチームも。

すべての評価は 3つの成果物を生成します。テスト実施の証明を必要とする人が、侵入の手口を見ることを許された人であることは稀だからです。

検出結果のマッピング先： SOC 2、ISO 27001、ISO 42001、PCI DSS、HIPAA、NIST AI RMF、NIST CSF 2.0、EU AI Act、GDPR 第25条・第32条。これらのマッピングは管理策に向けた証跡として示すものであり、合格判定ではありません。当社は監査人ではありません。認証したと告げるベンダーは、事実でないことを告げています。