AIスキャナーはいつAIペンテストになるのか

AIを活用したスキャナーは、しばしばAIペンテストとして紹介されます。その理屈は分かりやすいものです。AIを使って脆弱性を検出し、リスクを説明し、修正を推奨するのであれば、それ以外の何だというのでしょうか。

しかしこれは、検出結果の周辺の分析が改善されることと、アプリケーションをテストする方法そのものが異なることを混同しています。

AIスキャナーがAIペンテストになるのは、一つのテストの結果が、次に何を調査するかを決めるようになったときです。

その違いは、最初の検出結果の後にはっきりします。

スキャナーがiOSアプリケーション内にハードコードされた認証情報を発見したとします。スキャナーはそのシークレットを特定し、重大度を割り当て、レポートに追加します。有用ではありますが、最も重要な問いは答えられないまま残ります。その認証情報は実際に使えるのか。

あるDeep Agentic Scanの評価では、エージェントはハードコードされたAuth0のマシン間（machine-to-machine）認証情報を、すぐに報告するのではなく実際にテストしました。

認証情報は機能し、本番環境のJWTが発行されました。これにより認証情報が有効であることは確認できましたが、より興味深い問いが生まれました。そのトークンで何にアクセスできるのか。

エージェントはトークンのスコープ、オーディエンス、署名情報を調べました。その結果、同じ認証情報でAuth0 Management APIに対して認証できることが判明しました。

APIはその認証情報を受け入れましたが、その答えがさらに別の問いを生みました。このアクセスによってどのような権限が得られるのか。

さらにテストを進めると、管理者権限と、テナント全体にわたる機微なユーザー情報へのアクセスが明らかになりました。調査は一つの疑わしい文字列から始まり、実証された攻撃経路にまで到達したのです。

ハードコードされた認証情報 → 本番環境のJWT → Management API → テナント全体のユーザーデータ

従来のスキャナーでも、最初のステップは見つけられたかもしれません。AIペンテストの価値は、それぞれの結果が次のテストを形作るようにしたことから生まれました。

検出結果はゴールではない

これこそが、AIペネトレーションテストを、スキャナーに単にAIを追加したものと分けるポイントです。Deep Agentic Scanはアプリケーションを調べ、仮説を立て、セキュリティツールを選び、結果を観察し、その結果をもとに次に何を調査すべきかを判断します。

また、疑わしいシグナルは確定した脆弱性ではなく仮説として扱います。安全かつ可能な場合、Deep Agentic Scanは検出結果を報告する前に検証し、リクエストとレスポンス、スクリーンショット、再現手順、実証された攻撃者の経路といったエビデンスで結論を裏付けます。この悪用可能性を重視したプロセスは、誤検知（フォールスポジティブ）が決して起こらないと主張するものではなく、誤検知を減らし、ノイズの少ないレポートを保つように設計されています。

攻撃が複数のコンポーネントにまたがる場合にも、同じ考え方が重要になります。モバイルアプリケーションで見つかった認証情報がAPIへのアクセスを可能にし、そのAPIが別のサービスに信頼されるトークンを発行するかもしれません。Deep Agentic Scanは、それぞれの弱点を孤立したアラートとして扱うのではなく、それらの間の関係を保持し、その結果生じる影響を示すことができます。

この調査型のアプローチは、サポートされている認証済みのワークフローや接続されたコンポーネントを含め、WebアプリケーションとAPIおよびAndroidとiOSのアプリケーションに適用できます。

人間のペンテスターはどうなるのか

AIペンテストによって、人間のテスターが不要になるわけではありません。人間は引き続き、ビジネスの文脈、創造的な判断力、そして自動化された範囲の外にある通常とは異なる状況を調査する能力をもたらします。

変わるのは、調査プロセスのうちどれだけを繰り返し実行できるかです。AIペネトレーションテストのソリューションは、手がかりをたどり、疑わしい挙動を検証し、エビデンスを記録し、修正を再テストできます。これにより人間の専門家は、より深い文脈を必要とする判断に集中できます。

これは、セキュリティリーダーがAIペンテストツールを評価するためのより良い方法にもなります。製品がAIを使っているかどうかだけを問うのではなく、ターゲットの応答によってシステムの計画が変わり得るかどうかを問うのです。

Ostorlabの製品はあくまでDeep Agentic Scanです。AIペンテストは、その背後にある方法論を表す言葉です。

AIスキャナーがAIペンテストになるのはそのときです。AIがレポートを改善したときではなく、一つひとつの答えが調査を変えるようになったときです。