Tenable、エージェント型セキュリティ基盤へ転換 エクスプロイトまでの期間は「マイナス7日」へ
投資家向け説明会（ニューヨーク、2026年5月21日）
Tenable Holdingsは5年ぶりとなる投資家向け説明会を開催し、機関投資家に対して同社がもはや単なる脆弱性管理ベンダーではなく、AI時代の「マシン・スピード」で稼働するセキュリティ・プラットフォームであるという方針を強く打ち出した。顧客向けカンファレンス「Exposure 2026」と併催されたこのイベントでは、エージェント型修復エンジン「Hexa」の一般提供開始、Anthropicとの戦略的パートナーシップの締結、そして従来の単体VM（脆弱性管理）製品から「Tenable One」プラットフォームへの移行を加速させるための新たな価格体系とパッケージングが発表された。投資家は、同社の成長アルゴリズムの全容と、今後進むべき道のりについて明確な指針を得ることとなった。
エクスプロイトまでの期間は「マイナス」へ 核心にある危機感
この日、最も衝撃的だったデータは財務スライドではなく、Tenable独自の脅威調査から示された。5カ月前にMicrosoft Securityでの10年のキャリアを経てCTOに就任したVlad氏は、2018年以降の攻撃者のスピードを追跡したグラフを提示した。パッチ公開から実際の攻撃が観測されるまでの平均期間は、2018年には63日だったが、2022年には32日に短縮された。その後、トレンドは一変する。2023年には5日、2024年にはマイナス1日となった。最新のGoogle Mandiantのレポートでは「マイナス7日」となっており、これはパッチが存在するよりも平均で1週間早く、攻撃者が脆弱性を悪用していることを意味する。「この線がゼロを割った瞬間、パッチサイクルは事実上機能しなくなった」と彼は指摘した。Tenableのビジネスケースに対する示唆は明確だ。脆弱性の発見とパッチ適用を中心とした業界の構造は、現在の環境において不十分であり、オーケストレーションと自動修復が可能なプラットフォームはもはや選択肢ではなく必須であるということだ。
CEOのMark Thurmond氏は、事態の深刻さを裏付ける別のデータを提示した。昨年、侵害やランサムウェア攻撃を受けた組織の60%以上において、悪用された脆弱性に対するパッチは既に存在していたが、本番環境への適用が間に合わなかったという。問題は「発見」ではない。優先順位付けと「対応スピード」である。「発見数が増え、ノイズが増えることは、顧客にとっての明確さを低下させるだけだ」と彼は述べた。CVE（共通脆弱性識別子）の数は2020年の約1万8,000件から2025年には4万8,000件以上に急増している。同社は、この数字にはオープンソースコードの脆弱性を積極的にスキャンするAIモデルによる加速効果はまだ反映されていないと指摘する。Anthropicの「Claude OPUS」は2月にオープンソースコード内で500以上の脆弱性を特定した。また、4月にリリースされた「Mythos」は、1999年まで遡る数千件のソフトウェア脆弱性を発見し、その99%が公開時点でも未修正のままだったという。
Hexaの一般提供開始：プラットフォームの「脳」に「体」が連結
今回の発表の目玉は、Tenable Oneの「エクスポージャー・データ・ファブリック」上で稼働する「エージェント型エンジン」として位置付けられるHexaの一般提供開始である。GoogleのChronicle統合を経てCPO（最高製品責任者）に就任したEric氏は、「センサー・ファブリックが『感覚』、エクスポージャー・データ・ファブリックが『脳』だとすれば、Hexaは『体』にあたる」と表現した。同製品は今年初めのRSAで発表され、数十社の顧客による早期アクセスを経て、投資家向け説明会の前日に一般提供が開始された。
Hexaはモデル非依存型のエージェント・ハーネスとして機能し、現在は複数のAnthropicモデルを本番環境で運用中であり、追加モデルもラボで評価中である。Eric氏はそのアーキテクチャについて慎重に説明した。「モデルに公開されるツール、データ供給の仕組み、生成されるコンテキスト、どのモデルをいつ使用するか、そして顧客が『これを実行せよ』と指示した際に、意図通りの決定論的な結果が確実に得られるようにすることなど、多くの知的財産（IP）が投入されている」。このハーネスは、人間による介入（ヒューマン・イン・ザ・ループ）、ロールベースのアクセス制御、権限管理、監査証跡をサポートしており、これらは企業導入において妥協できないガードレールであると同社は考えている。
デモでは（セッション途中に技術的なトラブルはあったものの）、4つのユースケースが示された。IDアクセスとAI学習データ、モデル汚染リスクを紐付ける「攻撃パス分析」、動的な資産タグ付けを伴う「自動スキャン」、Jiraワークフロー統合による「自動パッチ適用」、そして所有者が特定できない高リスクの攻撃スコアに基づく「ID隔離」である。4番目のデモでは、4つのOktaアカウントを60秒以内に隔離してみせた。Eric氏は市場でのポジショニングを端的にこう語った。「スプレッドシートではもはや追いつけない。マシンと戦えるのはマシンだけだ」
Anthropicとの提携は戦略的かつ不可欠
CFOのStephen Vintz氏は、最先端モデル企業が脅威となるのではないかという投資家からの懸念に対し、正面から回答した。「最先端モデル企業は、データセンターにスキャナーを導入したり、電力網や浄水場、石油精製所で稼働するOTネットワークにセンサーを設置したりするビジネスは行っていない。深夜3時にクラウド設定を監査し、サポート電話に対応するようなビジネスでもない。彼らは、Fortune 500企業のドメインコントローラーに導入されるだけの信頼を、まだ獲得していない。我々はそれを長年かけて築き上げてきた」
カンファレンスで正式に発表されたAnthropicとの提携には、非公開モデルへのアクセス、エージェント型ワークフローに関する共同研究、攻撃パス分析と修復オーケストレーションの高度化に向けた協力が含まれる。Tenableのデータは顧客のファイアウォールの背後で運用され、独自性が保たれているため、モデルの公開学習には使用されない。CFOのMatt Brown氏は質疑応答で、TenableがAnthropicと全社的な支出に関する交渉済みの契約を結んでおり、Hexaの売上原価も含まれていること、そしてプラットフォーム移行による増分収益は「コストを十分に賄える」と明言した。利用枠を超えた分についてはトークン単位の課金モデルが適用される。また同社は、OpenAIの「Trusted Access for Cyber」プログラムへの参加も明らかにしており、製品開発と研究チームの両面で早期モデルアクセスが可能となる。
新価格体系で6%〜60%のアップリフト 真の狙いは「拡張」
プラットフォーム移行の財務メカニズムについては、Brown氏と70日前に就任したばかりのCRO（最高収益責任者）Dino氏が詳細を説明した。4月下旬に開始された新パッケージでは、Tenable Oneを「Foundation」と「Advanced」の2階層に簡素化した。従来の単体VM製品も存続するが、移行先としては推奨されない。Hexaは両階層に含まれ、利用量は資産数に応じて段階的に設定され、上限を超えると従量課金となる。Hexaをより高度に機能させる「攻撃パス分析」はAdvanced階層限定となる。
単体VMからTenable One Foundationへの価格アップリフトは6%、Advancedへは60%となる。Brown氏は、この提示価格が主要な財務レバーではないと強調した。「我々が期待しているのは、VM顧客がTenable One Foundationに移行すれば、その後の拡張がはるかに容易になるということだ」。プラットフォーム利用顧客の年間契約額は非プラットフォーム顧客の2〜3倍に達し、拡張ペースは2倍、契約期間も平均で10%長い。競合との比較検討においても、プラットフォームを前面に押し出すことで勝率が大幅に向上している。
現在、Tenable Oneは総収益の3分の1強を占め、15%前後の成長を遂げている。ビジネスの3分の2を占める非プラットフォーム収益は、一桁台半ばの成長にとどまる。同社の2029年の目標は、プラットフォーム収益が総収益の半分を超え、引き続き15%前後の成長を維持し、非プラットフォーム収益も一桁台半ばの成長を継続することだ。この複合効果により、連結収益成長率は2026年の高い一桁台から、2029年には高い一桁台から低い二桁台へと加速し、成長率で2〜3ポイントの押し上げを見込む。同社は2029年までに「Rule of 40（売上成長率と利益率の合計が40%以上）」の達成を掲げており、営業利益率は約28%、レバレッジを考慮しないフリーキャッシュフロー（FCF）マージンは31%を目指す。これは2026年のガイダンス中間値のそれぞれ24%と27%から向上する見通しだ。
巨大なインストールベースと差し迫る緊急性
4万社を超える顧客を抱えるTenableにとって、既存顧客の開拓は大きなチャンスである。現在、Tenable Oneを利用している企業顧客は3分の1に過ぎない。同社は社内で移行加速を明言しており、営業担当者にはTenable Oneの成約に対するインセンティブが強化され、チャネル向けの強力なプログラムも導入されている。Dino氏は、年内の市場展開の優先順位として「Tenable Oneでの新規獲得」「VMベースの迅速な移行」「AIを活用した営業活動の効率化」の3点を挙げた。
顧客の成功事例もプラットフォーム戦略を裏付けている。GEICOのCISOは、Tenable Oneを活用することで、取締役会での議論を「CVEのSLAテーブル」から「収益への影響を伴う5つの悪用可能なリスクリスト」へと変化させたと語った。Munich Reのセキュリティ責任者は、149の法人のコンプライアンス報告の主要な情報源としてTenableを活用していると述べた。フランスのセメント大手VicatのCISOは、Hexaを4カ月間早期アクセスで導入した結果、以前はアナリストが月2〜3日かけていた作業が20分に短縮され、13カ国・50のセキュリティ製品を横断するオーケストレーションの「信頼できる唯一の情報源（Single Source of Truth）」としてTenableを統合したと報告した。
D.A. Davidsonのアナリストがグロスリテンション（総維持率）の動向について質問すると、Brown氏はここ数四半期「驚くほど安定している」と回答した。また、低下傾向にあったネット拡張率も安定の兆しを見せ始めており、プラットフォーム構成比の上昇とともに同社が注視している指標であるとした。
AI攻撃対象領域という新たなTAM：350億ドルの市場
Vintz氏は、数年ぶりにTenableのTAM（獲得可能な最大市場規模）を更新した。従来、エクスポージャー管理として約300億ドルを提示していたが、これにAI脅威ベクトル（インフラ、エージェント、MCPサーバー、AIアプリケーションなど）の保護として350億ドルを新たに追加した。過去30日間だけでも、Tenableは57カ国・7,000社の顧客において4億5,700万件のAIセキュリティ上の発見を報告している。Tenableのクラウドセキュリティレポートによると、企業の70%が適切なセキュリティ監視なしでAI成果物を稼働させているという。
CTOは、2026年8月2日にEU AI法が次の執行フェーズに入ることで、監査可能で再現性のあるAI出力を求める規制上の需要が高まると指摘した。これはTenableのハーネスおよびガードレール型アーキテクチャに直接的に適合する要件である。彼は追い風となる5つのトレンドとして、LLM能力の急速な標準化、攻撃者と防御者の双方にとってのエージェント型AIの必須化、決定論的なAI出力への規制需要、新たな攻撃対象領域としての「エージェント経済」、そしてAIセキュリティスタックにおいて最も価値のある層としての「コンテキスト・グラウンディング（文脈の根拠付け）」を挙げた。「成功は、最も賢いLLMを持つ者に訪れるのではない」と彼は述べた。「成功するのは、AIエージェントを正しいデータと文脈に基づかせ、適切なハーネスでオーケストレーションし、正しいガードレールで構築・運用できる者だ」
財務：5億4,100万ドルから10億ドルへ 次なるフェーズは着実な成長
Brown氏は、過去5年間の財務実績と今後の枠組みを提示した。収益は2021年の5億4,100万ドルから2026年のガイダンス中間値である10億ドル超へと成長し、年平均成長率（CAGR）は15%となった。営業利益は2021年の5,100万ドル（利益率9.4%）から2026年には2億5,700万ドル（利益率24%）へ拡大し、年間平均3ポイントの改善を達成した。レバレッジを考慮しないFCFは9,500万ドルから2億9,000万ドルへと3倍以上に増加し、CAGRは25%に達した。同社は2021年以降、累積で10億ドル以上のキャッシュを創出し、自社株買いにも積極的だ。第1四半期には610万株を1億3,000万ドルで買い戻した。第1四半期末の希薄化後株式数は前年比5%減少し、3年以上で最低水準となった。取締役会による承認枠として、2億ドル以上が残されている。
今後の目標は、過去の実績と比較して控えめである。収益成長率は2026年に高い一桁台で安定し、2029年にかけて高い一桁台から低い二桁台へと向かう見通しであり、短期間で二桁成長へと加速する計画ではない。営業利益率の改善ペースは、従来の年3ポイントから約1.5ポイントに鈍化する。同社はこれを構造的な制約ではなく、営業体制やプラットフォーム開発への意図的な再投資によるものとしているが、過去の利益率拡大からの減速は、Rule of 40の軌道を分析する投資家にとって注目の焦点となるだろう。William Blairからの「より速い成長は可能か」という質問に対し、Brown氏の回答は率直だった。「今の時点で、将来の成長について先走りすぎる必要はないと考えている」
Tenable Holdings：企業分析
ビジネスモデルと収益化
Tenable Holdingsは、脆弱性管理および包括的なエクスポージャー（脅威への露出）管理に特化したサイバーセキュリティ専業ベンダーである。同社のビジネスの核心は、オンプレミスのITネットワークやOT（制御システム）から、最新のクラウド環境、アイデンティティ管理システムに至るまで、企業のデジタルインフラ全体における脆弱性を特定・評価し、優先順位を付けることにある。かつては、基幹製品である脆弱性スキャナー「Nessus」やその後継の企業向け製品のライセンス販売が収益の柱であった。現在、収益源はほぼ完全にSaaS（Software as a Service）型のサブスクリプションモデルへ移行しており、売上高の約95%をリカーリングレベニュー（継続的収益）が占める極めて可視性の高い構造となっている。
同社は、企業のセキュリティ部門およびIT運用チームをターゲットとした「ランド・アンド・エクスパンド（導入後の拡大）」戦略を採用している。Tenableの直近12カ月間の売上高は10億ドルを突破した。この成長は、主力プラットフォーム「Tenable One」の積極的なアップセルが牽引している。Tenableは2026年4月、クラウド、アイデンティティ、OTセキュリティの各モジュールごとに課金する従来型の手法を廃止し、柔軟な価格体系へ移行した。新モデルでは、導入するセンサーの数に関わらず資産単位で課金されるため、調達の摩擦が大幅に軽減され、プラットフォームの広範な採用が加速している。追加機能の導入障壁を下げることで、ネットレベニューリテンション（既存顧客からの収益維持率）の向上と、初期契約規模の拡大に成功している。
製品とサービス
同社の製品ポートフォリオは、単発的なスキャンから継続的なリスク定量化へと構造的に進化してきた。その基盤となるのが、業界標準の脆弱性評価ツール「Nessus」であり、同社の広範なスイートを支えるスキャン技術を提供している。中堅・大企業向けには、スキャンデータを集約するクラウド型ソリューション「Tenable Vulnerability Management」を提供し、厳格なデータ所在地の管理が求められる規制の厳しい組織向けには「Tenable Security Center」を展開している。
ポートフォリオの戦略的中核は、攻撃対象領域全体からテレメトリ（遠隔測定データ）を集約する統合エクスポージャー管理プラットフォーム「Tenable One」である。Tenable Oneは、従来のITエンドポイント、Tenable Cloud Securityによるクラウドインフラ、Tenable OT SecurityによるOT環境、Tenable Identity Exposureによるアクティブディレクトリのデータを統合する。これらの分散データを一元化することで、外部の脅威インテリジェンスと内部資産の重要性に基づき、欠陥の深刻度を文脈化する「Vulnerability Priority Rating（脆弱性優先度評価）」をセキュリティチームに提供する。Tenable Oneは同社の主要な成長エンジンとなっており、2026年第1四半期における新規ビジネスの41%を占めている。
顧客、競合、サプライヤー
Tenableは世界で約4万3,000の組織にサービスを提供しており、Fortune 500企業の60%以上、Global 2000企業の40%に浸透している。Nessusスキャナーの歴史的な普及により、政府機関や規制の厳しい金融機関において極めて強固な基盤を築いている。主なサプライヤーは、同社のSaaS環境に必要なコンピューティングおよびストレージリソースを提供するAmazon Web Services（AWS）などの大手パブリッククラウドインフラプロバイダーである。
競合環境は、レガシーな脆弱性管理の専業ベンダーと、多角化するサイバーセキュリティプラットフォーム大手に二分されている。専業分野では、QualysおよびRapid7と直接競合する。Qualysは高収益な「TruRisk」プラットフォームと強力なエージェントベースのアーキテクチャで地位を固めており、Rapid7は近年、マネージド検知・対応（MDR）や「Exposure Command」プラットフォームに注力している。しかし、より強力な脅威となっているのは、Palo Alto Networks、CrowdStrike、Microsoftといったプラットフォーム統合型のベンダーである。これらのベンダーは、脆弱性管理機能をエンドポイント検知やクラウドセキュリティのスイートにバンドルし、企業に対して「ベスト・オブ・ブリード（各分野の最高製品）」の分析深度よりも、単一エージェントによるプラットフォームの簡便さを選ぶよう促している。
市場シェアと業界動向
Tenableは、中核領域において圧倒的な市場リーダーシップを誇る。業界データによると、世界のデバイス脆弱性・エクスポージャー管理市場においてTenableは26.6%のシェアを占め、Qualys（17.3%）やRapid7（12.5%）に対して大きな差をつけている。この中核市場の規模は約26億ドルだが、業界がサイロ化された脆弱性スキャンから継続的なエクスポージャー管理へと移行する中で、Tenableの獲得可能な市場機会は急速に拡大している。2026年のサイバーセキュリティ市場全体（3,000億ドル規模）の中で、このカテゴリーは成長を続けると予測されている。
現在のサイバーセキュリティ業界を規定する構造的な力学は「プラットフォーム化」である。CISO（最高情報セキュリティ責任者）はベンダーの乱立を整理する強い圧力にさらされており、専門的なポイントソリューションよりも統合スイートが選好される傾向にある。この動向は2026年初頭、専業セキュリティベンダーに強い逆風をもたらした。脆弱性管理機能がエンドポイントやネットワークセキュリティ大手に吸収されるリスクが市場で意識されたためである。その一方で、人工知能（AI）を介した逆風下での機会も生まれている。脅威アクターが生成AIを駆使してエクスプロイト（脆弱性攻撃）コードの開発やゼロデイ脆弱性の発見を自動化・大規模化させる中、膨大なエクスポージャーの発生は企業のパッチ適用能力を圧倒している。こうしたマシン・スピード（機械的速度）の脅威環境下では、専門的で拡張性の高い優先順位付けエンジンが不可欠であり、表面的なバンドル型スキャナーよりも、最も深く粒度の高いデータセットを持つ企業が構造的に有利となる。
競争優位性
Tenableの最大の競争優位性は、独自のデータ規模と分析の成熟度にある。Tenable Oneプラットフォームは15億のユニーク資産からテレメトリを処理し、1,500億件を超えるエクスポージャーを分析している。この巨大なデータレイクが同社の「Vulnerability Priority Rating」を支える機械学習モデルを訓練しており、理論上の脆弱性数万件の中から、実際に悪用可能で顧客環境に到達可能なごくわずかなリスクを正確に抽出することを可能にしている。脆弱性スキャンを安易にバンドルしようとする競合他社は、この膨大な過去およびリアルタイムの攻撃データから生成される予測精度の再現に苦慮している。
もう一つの参入障壁は、高いスイッチングコストと深いワークフロー統合である。Tenableのソリューションは単なるダッシュボードではなく、企業のITサービス管理システム、CI/CD（継続的インテグレーション／継続的デリバリー）パイプライン、自動パッチ適用ワークフローと密接に連携している。さらに、政府や規制の厳しいセクターでは、Tenableの製品が厳格なコンプライアンスや監査の枠組みに組み込まれていることが多く、バンドル製品への切り替えによるライセンス費用の削減分よりも、プラットフォームを刷新する際の手続き的なコストの方がはるかに大きくなる。
新製品と破壊的技術
AIによる脅威の急激な加速に対応するため、Tenableは2026年5月に「Tenable Hexa AI」を発表した。高度な大規模言語モデル（LLM）と連携して構築されたHexa AIは、Tenable Oneプラットフォームに組み込まれたエージェント型オーケストレーションエンジンとして機能する。単に優先順位付けされたリスクをダッシュボードに表示するだけでなく、自律型エージェントを活用してIT、クラウド、アイデンティティ環境全体にわたる修復作業をマシン・スピードで実行する。これにより、製品の価値提案は「リスクの特定」から「自動的なリスク解決」へと直接的にシフトした。
サイバーセキュリティ業界全体で、こうしたエージェント型AIへの破壊的な移行が進んでいる。競合他社もこの領域で急速に武装を進めており、Palo Alto Networksの「Cortex AgentiX」投入や、Rapid7によるKensile Securityの買収（自律型セキュリティ運用センター構築のため）がその証左である。Tenableにとっての構造的な脅威は、自律的な修復アーキテクチャが同社のエコシステム外でより速く成熟した場合、重心がエクスポージャー管理プラットフォームから修復オーケストレーションプラットフォームへと移ってしまうことである。したがって、Hexa AIによるTenableの防衛的な実行は、リスクを計算するエンジンと、自律的な修復対応を指示するエンジンを同一に保つために不可欠である。
経営陣の実績
経営陣は、過去18カ月間にわたり、極めて困難かつ変革的な時期を舵取りしてきた。長年同社を牽引した先見の明あるCEO、Amit Yoran氏が2025年1月に急逝した後、取締役会は元CFOのSteve Vintz氏と元COOのMark Thurmond氏を常任の共同CEOに任命した。突然の困難な移行にもかかわらず、両氏はプラットフォームの拡大と厳格な利益管理を優先する、極めて的確な運営戦略を実行してきた。
Vintz、Thurmond両氏の下で、Tenableは収益性の劇的な改善を実現した。非GAAPベースの営業利益率は2021年の9.4%から、2026年度には24.0%に達する見通しである。同時に、アンレバレッジド・フリーキャッシュフロー（有利子負債返済前のフリーキャッシュフロー）マージンは27.0%に達し、年間で約2億9,000万ドルのキャッシュ創出が見込まれる。経営陣は2026年5月のインベスター・デイで2029年に向けた信頼性の高い中期目標を提示し、営業利益率28%、アンレバレッジド・フリーキャッシュフロー・マージン31%に加え、1桁台後半から2桁台前半の売上成長を目指す方針を示した。さらに、2026年にMicrosoftからCTO（最高技術責任者）としてVlad Korsunsky氏を招聘したことは、プラットフォームベンダーに対する製品の優位性を守り、エージェント型AIセキュリティへの移行を主導するという強い意志の表れである。
総評
Tenable Holdingsは、成熟しつつあるとはいえ、サイバーセキュリティの重要なサブセクターにおいて不動の市場リーダーであり続けている。レガシーな脆弱性スキャンからTenable Oneプラットフォームを通じた包括的なエクスポージャー管理への移行により、同社は4万3,000社という膨大な顧客基盤におけるウォレットシェア（顧客の支出に占める自社製品の割合）の拡大に成功した。エンドポイントおよびネットワークセキュリティ大手によるプラットフォーム統合の構造的なトレンドは、専業ベンダーにとって正当な脅威である。しかし、Tenableの防衛策は、15億の資産と1,500億のエクスポージャーを網羅する比類なきデータ資産によって強化されている。この深度こそが、広範なプラットフォームのバンドル製品では再現できない、予測的な優先順位付けと自動化された修復ルーティングを可能にしている。
財務面では、規律あるコスト管理と優れたキャッシュ転換能力を特徴とする、非常に強靭なプロファイルを提示している。共同CEO体制は、エージェント型AIに必要な研究開発投資と、持続的な利益率拡大へのコミットメントを両立させる手腕を証明した。2029年までにアンレバレッジド・フリーキャッシュフロー・マージン31%という明確な視界を持ち、企業のコンプライアンス・フレームワークに深く組み込まれた製品スイートを持つ同社のビジネスモデルは、一時的なマクロ経済のショックに対しても高い耐性がある。Tenable Hexa AIの投入は、レガシーなソフトウェア市場を揺るがしたAI主導の脅威加速を逆手に取り、次世代の自律型セキュリティ運用において同社の存在意義を確固たるものにするだろう。