Vulnerability Diagnosis Using Generative AI for Source Code
Participation-intent confirmation; conditional proposal competitionJapanese title: 生成AIを用いた脆弱性診断実施業務
Overview
MLIT invites confirmation of participation intent for generative-AI source-code vulnerability assessment by 6 November 2026, 17:00 JST, normally by email. If no other applicant meets the requirements, it will proceed with the designated prospective contractor; a proposal competition is planned only if a qualified challenger appears. The planned proposal deadline, 13 November at 18:00 JST, applies only if invited. Explanatory documents require prior contact and are distributed through 5 November. Applicants need evidence of assessment of at least 100 systems in the past year using GPT-5.5-Cyber or equivalent or higher AI, as stated in the notice. Source code must be stored in a Japan region. Unified services qualification for Kanto-Koshinetsu is required by the proposal stage, though not to submit participation intent.
Key Details
- Source: GEPS
- Notice type: Participation-intent confirmation; conditional proposal competition
- Publication date: October 16, 2026
- Procuring entity: Ministry of Land, Infrastructure, Transport and Tourism
- Deadline to obtain tender documents: November 5, 2026
- Participation request deadline: November 6, 2026, 17:00 JST
- Eligibility (from notice): All-ministry unified qualification, 'services' – verify in the tender documents
- Status: Active
- Technology relevance: High
- Business-action likelihood: Medium – An outside supplier may submit participation intent. The authority proceeds with its designated prospective contractor if no other applicant qualifies; a proposal competition follows only if a qualified challenger appears.
Participation-intent confirmation; conditional proposal competition
Submit a participation-intent confirmation, normally by email. If no other applicant qualifies, the authority proceeds with its designated prospective contractor. A proposal competition is planned only if a qualified challenger appears; the later proposal date is conditional and applies to invited participants. Obtain the explanatory documents through prior contact by the stated distribution end date.
- Participation request deadline: 2026-11-06T17:00:00+09:00
- Tender document receipt deadline: 2026-11-05
- Proposal submission deadline: 2026-11-13T18:00:00+09:00 (planned; only if invited)
Official Notice
Official Source
GEPS, Japan's Government Electronic Procurement System, used by participating central-government bodies for procurement notices and online bidding and contracting procedures.
- Source: GEPS
- Official category: Participation-intent confirmation; conditional proposal competition
- Publication date: October 16, 2026
- Publication: Official publication
- Source documents: The official notice requires prior contact with the responsible department to obtain the documents; they have not yet been obtained.
Full English Translation
The following English translation was prepared from the original Japanese notice published through GEPS, Japan's Government Electronic Procurement System. The translation below is based on the Japanese source text.
Ministry of Land, Infrastructure, Transport and Tourism, General Policy Bureau
Information Policy Division Director: NAKANO Akiko
Invitation for submission of participation intention confirmation documents as follows.
1. Purpose of this invitation
This work involves conducting vulnerability diagnosis of source code for information systems managed and operated by the Information Policy Division of the General Policy Bureau, Ministry of Land, Infrastructure, Transport and Tourism, utilizing existing commercial AI.
The task is to perform vulnerability diagnosis using generative AI on source code, and to prepare a diagnosis result report summarizing diagnosis results, risk evaluation, response priority, recommended countermeasures, and proposed fixes. To achieve the purpose, knowledge and technology related to static and dynamic diagnosis of source code using AI, as well as requirements such as the source code being stored in a domestic Japanese region, are necessary.
This public invitation is to confirm whether there are any parties other than the designated prospective contractor who meet the application requirements in section 4 and wish to perform this work by submitting a participation intention confirmation document.
If no submissions are received or no submitters meet the requirements in section 4, the contracting procedure will proceed with the designated prospective contractor who meets the necessary requirements.
If submitters meeting the requirements in section 4 exist, a request for proposal submission by competitive planning will be made to the designated corporation and those submitters.
2. Work overview
(1) Work name
Vulnerability Diagnosis Using Generative AI
(2) Performance deadline
December 18, 2026 (Friday)
(3) Work content
Perform vulnerability diagnosis of source code using generative AI, and prepare a diagnosis result report summarizing vulnerability candidate lists, detected locations, assumed impact range, risk evaluation, response priority, recommended countermeasures, and proposed fixes.
3. Work purpose
This work aims to strengthen cyber response capabilities by conducting vulnerability diagnosis using existing commercial AI on source code of information systems managed and operated by the Information Policy Division, General Policy Bureau, Ministry of Land, Infrastructure, Transport and Tourism, and by discovering and fixing vulnerabilities.
4. Application requirements
Applicants must meet all requirements (1) to (5). Submitted materials must be prepared as follows:
A. Format is arbitrary but must be concise and clear.
B. Submit two copies.
C. Submission period, place, and method are as stated in section 5.(3).
(1) Basic requirements
A. Not subject to provisions of Articles 70 and 71 of the Budget Settlement and Accounting Act (Imperial Ordinance No. 165 of 1947).
B. Not currently under suspension of designation by the Accounting Division Chief of the Ministry of Land, Infrastructure, Transport and Tourism.
C. Not subject to exclusion requests from the Ministry of Land, Infrastructure, Transport and Tourism Public Works due to control by organized crime groups or equivalent.
(2) Technical requirements
Must have conducted vulnerability diagnosis using generative AI GPT-5.5-Cyber or equivalent on a cumulative total of at least 100 systems in the past year, and submit documentation verifying this.
(3) Work execution system requirements
The work management supervisor must have at least 5 years of experience in information security consulting or audit work, experience as a responsible person in such work, and hold qualifications as either Information Processing Security Support Specialist or CISSP, plus one of CISM, CISA, OSCP, or GIAC. Submit copies of the original registration certificates.
Work personnel under the supervisor must have at least 2 years of experience in information security consulting, business/system analysis consulting, or audit work.
(4) Information security measures requirements
Submit documents on the following:
A. Prohibition of unauthorized use of provided information by subcontractors
B. Implementation and management system of information security measures
C. Response methods to information security incidents (procedures, responsibility division, contact system)
D. Methods to confirm contract fulfillment including security measures
E. Measures if security measures are insufficient
F. Specific security measures implemented by personnel involved in this work
(5) Participation restrictions
Must not fall under specified restrictions and submit documents confirming this. Restrictions include prohibition of participation in bids related to system design, development, operation, and audit if unfair competitive advantage is recognized due to prior support.
5. Procedures etc.
(1) Responsible department
100-8918 Tokyo, Chiyoda-ku, Kasumigaseki 2-1-2
Ministry of Land, Infrastructure, Transport and Tourism, General Policy Bureau, Information Policy Division
Tel: 03-5253-8111 ext. 28-113
Email: [email protected]
(2) Period, place and method for provision of explanatory documents
From October 16, 2026 (Fri) to November 5, 2026 (Thu), same as (1). Prior contact required.
(3) Deadline, place and method for submission of participation intention confirmation documents
November 6, 2026, 17:00, same as (1). Submission by email in principle.
6. Others
(1) Language and currency used in procedures are Japanese and Japanese currency only.
(2) Inquiry contact is as in 5(1).
(3) Planned deadline for proposals, if the applicant is invited to the proposal competition: November 13, 2026, 18:00 JST.
(4) Even if not certified for general competition qualification for services in Kanto-Koshinetsu region, submission of participation intention confirmation documents is allowed, but certification must be obtained by proposal submission.
(5) Details are in explanatory documents.
Show original Japanese notice
令和８年１０月１６日国土交通省総合政策局情報政策課長中野晶子次のとおり、参加意思確認書の提出を招請します。１.当該招請の主旨本業務は、国土交通省総合政策局情報政策課が管理・運用する情報システムについて、既存の商用AIを活用したソースコードの脆弱性診断を実施するものである。本業務は、生成AIを活用したソースコードの脆弱性診断を実施し、その診断結果、リスク評価、対応優先度、推奨する対応内容及び修正案等をまとめた診断結果報告書を作成するものであり、本業務の目的を達成するためには、AIを活用したソースコードの静的・動的診断に係る知識や技術に加え、ソースコードの保存場所が日本国内リージョンであること等の要件を満たしていることが必要である。特定予定者以外の者で４．の応募要件を満たし、本業務の実施を希望する者の有無を確認する目的で、参加意思確認書の提出を招請する公募を実施するものである。なお、参加意思確認書の提出者がいない場合及び提出者の中に４．の応募要件を満たすと認められる者がいない場合にあっては、本業務に必要な要件を有している特定予定者との契約手続きに移行する。参加意思確認書の提出者に「４.応募要件」を示す要件を満たすと認められる者がいる場合、特定法人等と当該応募者に対して企画競争による提案書の提出を要請する予定である。２.業務概要(１)業務名生成AIを用いた脆弱性診断実施業務 (２) 履行期限令和8年12月18日(金)(３)業務内容生成AIを活用したソースコードの脆弱性診断を実施し、その診断結果、リスク評価、対応優先度、推奨する対応内容及び修正案等を整理した脆弱性候補一覧、検出箇所、想定影響範囲等をまとめた診断結果報告書を作成する。３.業務目的本業務は、国土交通省総合政策局情報政策課が管理・運用する情報システムについて、既存の商用AIを活用したソースコードの脆弱性診断を実施し、脆弱性の発見・修正等を行うことにより、サイバー対処能力の更なる強化を図ることを目的としている。４.応募要件（１）～（５）の要件を満たすこと。なお提出する資料等は、次の要領に従い作成すること。ア作成様式は任意だが、簡潔かつ明瞭に記載すること。イ提出部数は２部とする。ウ提出期間、場所及び方法は「５．(３)参加意思確認書等の提出期限、場所及び方法」に記載されている内容と同じ。(１)基本的要件ア予算決算及び会計令(昭和22年勅令165号)第70条及び71条の規定に該当しない者であること。イ国土交通省大臣官房会計課長から指名停止を受けている期間中でないこと。ウ警察当局から、暴力団員が実質的に経営を支配する者又はこれに準ずるものとして、国土交通省公共事業等からの排除要請があり、当該状態が継続している者でないこと。(２)技術力に関する要件本請負業務の実施にあたり、GPT-5.5-Cyber又はそれと同等以上の生成AIを用いた脆弱性診断を、直近１年間に累計100システム以上に対して実施した実績を有すること。また、実施した実績が確認できる資料を提出すること。(３)業務執行体制に関する要件本業務の実施に必要な体制について、業務管理責任者については、情報セキュリティに関するコンサルティング業務又は監査業務の経験年数を5年以上有し、かつ情報セキュリティに関するコンサルティング業務又は監査業務の責任者としての経験を有することに加え、下記ア又はイの資格を保有し、かつ、ウ、エ、オ又はカいずれかの資格を保有している者を配置すること。また、満たすことを示す認定機関の登録証等の原本の写しを提出すること。ア情報処理安全確保支援士イ Certified Information Systems Security Professional（CISSP）ウ Certified Information Security Manager (CISM)エ Certified Information Systems Auditor (CISA)オ Offensive Security Certified Professional (OSCP)カ Global Information Assurance Certification (GIAC）また、業務管理責任者の指揮監督の下で作業に従事する者（以下、「業務担当者という。）については、情報セキュリティに関するコンサルティング業務、業務・システム分析に関するコンサルティング業務又は監査業務の経験を２年以上有すること。(４)情報セキュリティ対策に関する要件情報セキュリティ対策の実施に係る以下の事項について資料を提出すること。ア提供する情報の委託先における目的外利用の禁止イ情報セキュリティ対策の実施内容及び管理体制ウ情報セキュリティインシデントへの対処方法（対処手順、責任分界、連絡体制等）エ情報セキュリティ対策その他の契約の履行状況の確認方法オ情報セキュリティ対策の履行が不十分な場合の対処方法カ本業務に携わる者が実施する具体的な情報セキュリティ対策の内容(５)参加制限に関する要件以下の参加制限に該当しないこと。また該当しない旨を記載した書類を提出すること。・受注者、受注者の親会社及び子会社（「財務諸表等の用語、様式及び作成方法に関する規則」（昭和38年大蔵省令第59号）第８条による。以下同じ）、同一の親会社を持つ会社並びに委託先等緊密な利害関係を有する事業者は、最適化の企画、実施、評価に係る支援を行う場合に、より一層の透明性、公平性を図るため、支援したことにより競争上の不公正な利益を享受すると認められる場合には、本業務の契約期間 中、国土交通省（外局等を含む）における、標準ガイドラインに基づくシステム設計・開発の工程管理支援及びシステム設計・開発、システム運用、システムに係るシステム監査等業務の入札に参加することができない。５.手続等(１)担当部局〒100－8918 東京都千代田区霞が関2-1-2国土交通省総合政策局情報政策課(電話) 03-5253-8111（内線28-113）（E-mail）[email protected](２)説明書の交付期間、場所及び方法令和8年10月16日(金)～令和8年11月5日(木)まで、 (１)に同じ。説明書の交付を希望する場合は、予め（１）の担当部局まで事前連絡を行うこと。(３)参加意思確認書等の提出期限、場所及び方法令和8年11月6日17時00分、 (１)に同じ。原則として電子メールにより提出すること。６.その他(１)手続きにおいて使用する言語及び通貨は、日本語及び日本通貨に限る。(２)関連情報を入手するための照会窓口は、 ５(１)にて対応する。(３)当該応募者に対しての企画競争のための企画提案書の提出を要請する際の提出予定期限： 令和8年11月13日18時00分(４)令和7・8・9年度国土交通省における役務の提供等に係る一般競争(指名競争)参加資格(全省庁統一資格)の役務の提供等(関東・甲信越)の認定を受けていない場合も５(３)により参加意思確認書を提出することができるが、企画提案書の提出の時において、当該資格の認定を受けていなければならない。(５)詳細は説明書による。
Business Signal
Business Relevance
Potential relevance requires a targeted fit check. Confirm the supplier's documented capabilities against the actual requirements and verify a participation route.
- Product fit: Potential
- Current-case feasibility: Unknown
- Evidence confidence: Low
- Supply-chain security: Unknown
Participation fit
The notice requires a project lead with at least five years of relevant consulting/audit experience and supervisory experience, holding Registered Information Security Specialist or CISSP plus CISM, CISA, OSCP or GIAC. Staff need at least two years of the specified consulting/audit experience. Check all eligibility and conflict-of-interest restrictions in section 4; supplier-specific eligibility has not been established.
This page is based on the official procurement notice published through GEPS, Japan's Government Electronic Procurement System, with translation and a preliminary business assessment by I.J. Do. The official Japanese notice and tender documents are binding.
JBid is a beta technology-procurement intelligence service by I.J. Do.