CITYとは何か。5年分のデジタルインフラを掘り起こし、街にして全員で見えるようにした

012026年8月、5年分のデジタルインフラを棚卸しした

2026年8月の初め、僕らテレポートは創業から5年ほどたっていた。前任者が作ってくれたシステム、テスト用に作ったサービス。デジタルインフラのあちこちに、古いものがたくさん残っていた。

僕らは小さな生成AIのスタートアップで、厳しく管理するシステム管理者もいない。しかもAIを使えば、いろいろなものがどんどん作れてしまう。だから気軽にいろいろなものを公開し、非公開にし、また公開してきた。

さすがにそろそろ良くないよね、ということで、過去5年分のサーバー、メール、プログラム、公開しているサーバーなどを整理することになった。これが、本当に大変だった。新しい何かを開発するよりも大変で、ほかの仕事にならないほどだった。

027割は分かる。3割は分からず、1割は何が何だか分からなかった

分かるものは、すぐに分かる。メールサーバーがどうなっているか、ウェブサーバーがどうなっているか。

けれど、今のチームの誰も知らないドメインや、知らないウェブサービスが出てくる。たどると、5年前に働いていた人が作ったものだったり、2年前に一瞬だけ頼んだ外注の人が作ったものだったりする。連絡が取れるかどうかも分からない。しかも、どこまで調べればいいのかという基準が分からない。

大きな企業で、セキュリティ会社と契約し、システムの部署と厳格なルールがあるなら、あまり問題にならないのかもしれない。でも中小企業なら、パソコンに厳しい決まりがあるわけでもなく、個人で自由に使えるスマートフォンやパソコン、個人で買ったものもある。それをどこかの部署が管理しているかといえば、管理していない会社のほうが多いと思う。うちもそうだった。

社内のパソコン一つをとっても、中のファイルが何なのか分からない。サーバーになるとさらにそうで、たとえば今回のPHPで話題になったWordPressのサーバーを、3年前に社内の誰かが契約している。何に使っているのだろう。

実験もするし、事業も増えていく。結果はこうだった。

7割ほどまでの情報は集められる。でも3割が分からない。そのうち1割ほどは、本当に何が何だか分からない。ここから、本気でやらなければならなくなった。

03「分からない」と「ない」は、違う

分からないのか、ないのか、あるはずのものがないのか。ここから先は、いよいよセキュリティの専門的な話になってくる。

システム管理やセキュリティの世界では、「分からないのか、それとも、ないのか」「何かがあるけれど、それが何か分からない」「あるけれど、鍵が開かない」といった違いが問題になる。

どう整理すればいいのか。もう逃げ場はなかった。そこで、分かる・分からない・ある・ない・見えない、といったことを、この世界ではどう扱っているのかを徹底的に調べた。

04決まった形で書き、AIエージェントと発掘した

調べて分かったのは、こういう情報は、ある一定の形で記録していくといい、ということだった。ただ、その書き方に決まったものはない。学術研究やシステム管理など、いろいろな分野からつぎはぎして、自分たちに必要なものを持ってきた。

そのルールで、もう一度、担当者を探し、システムを探し、パスワードを探し、それが何のためにあったのかを探した。何日も何日もかけて、膨大なデータを見つけていく。本当に発掘作業のようだった。

人間だけではできないので、当然、AIエージェントも使った。必要な情報は、Googleドライブの奥深くや、誰かのハードディスクの奥深くなど、本当にあちこちに散らばっていた。恥ずかしい話だけれど、散らばっているものを集めても、決まったルールに沿って一定の形で書いていかないと、何が何だか分からなくなるし、すぐにまた分からなくなってしまう。

こうして、僕らがCITYと呼んでいるデータの形式と、情報を集めて管理するノウハウがたまっていった。

僕らは人数の少ない会社なので、これ専用の人は置けない。でも、集めたデータを整理して管理していくだけで、社員一人の時間がまるごと消えていくような感じだった。

そこで、またAIエージェントの出番だ。AIエージェントが、僕らと一緒にルールを作りながら、データを管理し、更新し、整理し、分からないものは探しに行く。本当に、発掘とか探偵の気分だった。そうしているうちに、データの形式とエージェントが育っていき、エージェントは決まったルールのもとで動くようになった。

05完璧に整理したのに、誰の頭にも入らなかった

そして、次の問題が出てきた。膨大なデータが集まり、分かっている部分も、分かっていない部分も、確かにデータには書いてある。なのに、人間がそれを認知できない。

これには本当にがくぜんとした。何日もかけて、社員総出でデータをサルベージして、エージェントと一緒に整理した。完璧に整理できたはずなのに、印刷しても、画面に出しても、どうやっても脳みそが追いつかない。

いちばん頑張っていたエンジニアは、もちろん理解できる。でも、たった数人の会社なのだから、全員が理解するべきだ。そこで、デジタルインフラというものを見たことがあるか、という話になった。全員が頭の中で想像していて、それぞれ違うものを思い描いていた。

063Dにしたら、データの中から街が浮かび上がった

そこで、これを3Dにしてみようと、AIエージェントを使って作っていった。すると、データの中から、都市のような道路や建物が浮かび上がってきた。

ここからの画面は、映像のために架空の会社の情報で作った例だ。

1. 1GitHub の建物（コード）
2. 2AWS の区画
3. 3建物どうしを結ぶ線

それを社内の大きなモニターに映し、指をさしながら、「ここがこうなっていたんだ」「ここが問題なんだ」「ここは結構整理されているね」と、エージェントと一緒に話し合った。

中を歩いて回り、ぐるぐる回して上から見たり下から見たりしながら、「ここはちょっと守りが弱いよね」「このサーバーのデータが分からないんだよね」「中身を開けられないようになってるね」「このあたりはまだ探していないから、もやがかかっているね」と話した。

07CITYで、会社のデジタルインフラの何が見えるか

街のようなデジタルインフラを、3Dでリアルタイムに、エージェントと人間が一緒に確かめる。そうして、ようやく自分たちのデジタルインフラがどういうもので、どこに問題を抱えていて、どこが見えていて、どこが見えていないのか、どれくらいの規模なのかが分かった。

問題が起きたら、誰から誰にどう連絡や通知が行くのか。どこで課金されているのか。どのクレジットカードと、どのアカウントがつながっているのか。ありとあらゆるものが見えるようになった。

AIエージェントは、新しく起きた変化にも印を付ける。

1. 1AI エージェントが描き直した日
2. 2その日に現れた変化の印
3. 3赤い点線で囲まれた区画

このデータの形式に、僕らはCITYという名前をつけた。いまは、それを街として見せる画面と、保ち、説明するAIエージェントまで含めた全体を、CITYと呼んでいる。いまテレポートの中では、全員が自分たちのデジタルインフラを、実際にこの目で見られる。パソコンを開けば、自分たちのサーバーやアカウント、決済の情報がどうなっているのかをCITYで知ることができ、CITYを見ながら議論できる。

1. 1棚卸しで見つかった 3 つ
2. 2ID の核（アカウント）
3. 3AWS（クラウド）の区画

1. 1閉じたものにチェック
2. 2理由を残して一つずつ閉じた

08PHPの夜は、チャットでエージェントを呼ぶところから始まった

そんなときに、PHPの事件が起きた。

PHPは、世界中の多くのウェブサイトのサーバーで動いているプログラムの言葉だ。2026年10月21日、その重大な脆弱性の修正版が公開され、銀行やネットショップなど多くのサービスが、守るために一時的に止まった。

僕らは普通にCITYを広げて、エージェントを呼び、「この問題はどういう影響があるの？」と聞いた。すると約5分で、うちのAIエージェントは「ここに一つPHPがあります。これは何年何月に誰々さんが使ったものです」と答えた。

そこからは、こんなやりとりだった。

この会話は、チャットの画面でしていた。具体的にはLINEだ。うちのエージェントの仕組みは、LINEでもSlackでもDiscordでも、どのチャットツールの中にも来られるようになっている。だから、セキュリティのエージェントをLINEに呼んで話したり、Slackで話したりできる。

端末に向かう必要もない。CITYの3Dの地図はスマートフォンでも見られるので、スマートフォンでエージェントと話しながら、一緒にCITYをぐるぐる回して見て対策を取り、30分以内に全ての対応を終えた。

もしCITYがなかったら、エージェントがいなかったらと考えると、少し怖くなる。8月に何日も何日もかけて探し、掘り起こして、CITYを作り上げていたからこそ、30分で終わって何事もなかった。もしそのサーバーが動いていて、PHPがもっと使われていて、それが前任者や前々任者の作ったものだったら、どこにあるのかさえ分からなかったはずだ。だから僕らは、「CITYを作っていてよかったね」と話していた。

09守るプロではない僕らが、CITYを皆に出す理由

本来なら、話はここで終わる。でも、僕らはふと思った。

その後、さまざまなサービスが止まり、多くの人がAIによる攻撃やAIのセキュリティを、とても怖がっていた。僕らの周りにも、「インターネットを使うのがちょっと怖い」「いろいろなサービスで自分のパスワードが盗まれたらどうしよう」という人がいた。エンジニアたちは泊まり込みで、帰れずに対応に追われていた。実際に、本当にたくさんのサービスが次々と止まっていった。

僕らはセキュリティ企業ではないし、セキュリティのプロでもない。守ることについては、プロでもなんでもない。でも、見えるようにしてみんなで見ることと、AIエージェントを開発して運用することについては、自信を持ってプロだと言える。

僕らがやったのは、何十年も見えなかったデジタルインフラを、どんな人でもゲームの画面のように見られるようにし、それを説明してくれるAIエージェントと、管理し維持してくれるAIエージェントを用意したことだ。エージェントは、毎日でも毎週でも、セキュリティのニュースを自分で探しに行き、自分たちに対応が必要かどうかを報告し、説明してくれる。そういう仕組みを、社内で動かしている。

それなら、この分野では、多くの人にCITYを届けることが、いい活動になるかもしれないと思った。

同時に、情報とAIのセキュリティのリテラシーの問題もある。何をしていいのか、何をすべきなのか、何をしてはいけないのか。このあたりの情報は錯綜している。セキュリティやシステムの専門家に向けたメディアはあるし、専門家向けの見える化の道具もある。でも、経営者や社員、普通の中小企業の人たちに向けたものは、驚くほど何もない。

だから僕らは、PHPの事件が起きた翌朝、社内で話し合って、このData is CITYプロジェクトを立ち上げた。

10CITYを始めるときに要るのは、数日の発掘だ

実際にCITYを使う場合も、最初に情報を集めるところには、それなりの苦労がある。発掘していく感じだからだ。でも、僕らが作ったCITYという形式に沿って、エージェントも使いながら探していけば、おそらく数日で、いったん情報が分かる状態になると思う。

そうなったら、パソコンやスマートフォンで見られる。できればみんなで見たほうがいいので、大きなディスプレイやプロジェクターに映して、ようやく社内のデジタルインフラをみんなで見ることができる。

そこには、メールサーバーやウェブサーバーだけでなく、さまざまなパスワードや鍵がどこに保存されているのか、ドメインやファイルの置き場など、ありとあらゆるものが街のように並んでいる。データがどう動いているのか、どこがどこに依存しているのかも見える。

CITYは、まだ一般には公開していない。ウェイティングリストに登録した人は、一般より先に試せる。

CITYが届けたいのは、こういうことだ。

• 今まで誰にも見えなかったデジタルインフラを、全社員で、特に経営者も一緒に見られる
• みんなで同じものを見ながら話し合える
• AIエージェントとも話し合える。対策をAIエージェントに任せることもできる

僕らはセキュリティ企業ではないので、自信を持ってきちんと届けられると言えるのは、見えるようにして、対策を出すところまでだ。

そして、これはセキュリティに関わるものでもあるので、僕らのような会社が中身の分からない箱として出すのはふさわしくないと思った。だから、CITYの基本の部分は、ソースコードも含めて誰でも見られる形にしていこうと、いまは考えている。

11「一か所に集めたら危ないのでは」という疑問に、いま考えていること

よく聞かれる質問がある。

• CITYを使ったら、かえってセキュリティが危ないのではないか
• 一か所に情報を集めたら、より危険ではないか
• ソースコードが見えるなら、そこから悪いことができるのではないか

基本的には大丈夫だと考えている。実際に見えるようにするときには、みんなで見る場面では大事な情報が分からないようにする。一か所に集めることが問題だと言われるけれど、集めた場所が突破されないようにすることもまた大切だ。散らばっていて誰にも分からないほうが、かえって危ないという考え方もある。このあたりは、一つひとつがセキュリティの話になってくる。

12Data is CITY Mediaの第一弾は、映像と授業のスライド

ここまで、なぜCITYが生まれたのか、CITYをどう使っているのかを話してきた。

いちばん大事なのは、ITのリテラシーと、正しい情報だと思う。Data is CITY Mediaを通じて、みんなと一緒にAIのリテラシーを高め、セキュリティのニュースを、専門家だけでなく、理解したいと思ったあらゆる人が理解できる形で届けていきたい。

その第一弾として、8分あまりの映像と、小学生・中学生・高校生に向けたAIセキュリティのスライド教材を公開した。会社やいろいろなプロジェクトで使える情報も、これから増やしていく。