2026年のアプリケーションペネトレーションテストの費用はいくらか

2通のペンテストの見積もりが手元に届きます。$4,000と$40,000です。どちらにも「Webアプリケーションペネトレーションテスト」と書かれています。しかし、両者が同じテストであることはまずありません。

簡単な答え：2026年の手動アプリケーションペネトレーションテストの費用は、おおよそ単一のWebアプリまたはAPIで$3,000〜$18,000、複数のサーフェスにわたるスコープ（Web、API、モバイル、クラウド）で$18,000〜$50,000+です。公開されているAIペンテストのパッケージは、スコープを定めた評価1件あたり$499〜約$8,000です。価格は、ユーザーロール、認証、接続されたアセット、テストの深さ、再テストによって決まります。

このガイドは、ペンテストの予算を立てる必要がある、または似ても似つかない見積もりを比較する必要があるセキュリティ責任者、CTO、調達チームに向けたものです。価格は2026年9月時点のものです。

2026年のアプリケーションペネトレーションテストの費用はいくらか

手動のペンテストはテスター日数で価格が決まり、AIペンテストは評価単位、サブスクリプション、またはクレジットで価格が決まります。下の表は、計画に使える価格帯をまとめたものです。

テストモデル	予算の目安	一般的な価格設定	選ぶべきケース
AIまたは自律型ペンテスト	公開されているスコープ定義済みパッケージで$499〜約$8,000、エンタープライズ向けは個別価格	評価単位、サブスクリプション、アセット枠、またはクレジット	頻繁なテスト、リリースの検証、実行時のエビデンス
手動ペンテスト、単一のWebアプリまたはAPI	約$3,000〜$18,000	テスター日数、固定スコープ、またはプロジェクト料金	複雑なロジック、正式な保証、担当者が明示された人間のテスター
手動ペンテスト、複数サーフェスのスコープ	約$18,000〜$50,000+	複数のスペシャリストにわたるテスター日数	Web、API、モバイル、クラウドをまとめて評価
Pentest as a Service（PTaaS）	通常は個別価格またはクレジットベース	年間サブスクリプション、前払いクレジット、または個別の案件	毎年複数のテストを実施する組織
AIと人間のハイブリッドテスト	個別価格	自動化プラットフォームと専門家によるレビュー	重要なスコープに人間による保証を加えた継続的なカバレッジ

これらは計画用の価格帯であり、普遍的な料金ではありません。北米、欧州、APAC、LATAMの地域別の日額料金については、スタートアップ向けペネトレーションテスト2026年版ガイドをご覧ください。

これらの価格帯の根拠は何か

価格帯は、2026年9月に確認した公開の価格ガイドと公開されているパッケージ価格に基づいています。

• Intruderは、手動の日額料金を$1,500〜$2,500と見積もっており、Webアプリケーションのテストは$4,500（ジュニア3日）〜$37,500（シニア15日）になります。固定価格のAIペンテストは$4,000〜$8,000としています（Intruder、2026年9月更新）。
• Cobaltは、従来型のペンテストを$20,000〜$50,000とし、PTaaSは平均で約31%安かったと報告しています（Cobalt、2024年2月）。
• Ostorlabのスタートアップ向けガイドは、Webアプリケーションのペンテストを$3,000〜$18,000、米国でのWeb、API、クラウドの評価を$18,000〜$40,000としています（Ostorlab、2026年8月）。
• XBOWは価格を公開していません。価格は利用量ベースで、環境ごとにスコープが決められます（XBOWの価格）。$4,000のPentest On-Demandは2026年7月16日に提供終了となりました。
• Ostorlabは、AI Pentestの各プランを$499から公開しています（Ostorlabのプラン）。

開示事項：Ostorlabはこのブログを公開し、AI Pentestのパッケージを販売しています。多くのプロバイダーはスコープ定義の後にしか価格を開示しないため、AIペンテストの価格帯は市場全体ではなく、公開されているパッケージを反映したものです。この記事は四半期ごとに見直しており、価格は変動します。

アプリケーションペンテストの価格には何が含まれるか

見積もりには3つの要素が反映されます。ターゲット、テストの深さ、そして受け取るエビデンスです。

「一つのアプリケーション」に含まれるもの

「一つのアプリケーション」は単一のWebサイトの場合もあれば、次のものを含む場合もあります。

• Webフロントエンド
• REST、GraphQL、その他のAPI
• AndroidアプリケーションとiOSアプリケーション
• 管理用ポータル
• ソースコードリポジトリ
• クラウドサービス、IDプロバイダー、サードパーティとの連携

提案書には、含まれるアセットをすべて明記すべきです。「アプリケーション」としか書かれていない場合は、何が除外されているかを尋ねてください。

テストの深さはアプリケーションの規模より重要か

多くの場合、そのとおりです。到達可能な機能全体に広くチェックを適用する評価もあれば、ワークフローを追跡し、ユーザーを比較し、状態変化をテストし、弱点を連鎖させることに時間をかける評価もあります。

短い支払い、承認、アカウント復旧のワークフローのほうが、数百ページの公開コンテンツよりも多くの調査を必要とすることがあります。

エビデンスの質で価格が変わるのはなぜか

疑わしい弱点の一覧を作成するほうが、再現可能なリクエストとレスポンス、影響の実証、人間による検証、修復ガイダンス、再テストを含むレポートを作成するよりも安く済みます。この違いが、開発者が調査を繰り返すことなく検出結果に対処できるかどうかを左右します。

手動のアプリケーションペンテストの価格はどう決まるか

手動のペンテストは、必要なテスター日数を中心にスコープが決められます。

Manual test cost = (tester days × day rate) + project overhead + optional services

プロジェクトのオーバーヘッドには、スコープ定義、環境のセットアップ、プロジェクト管理、レポート作成、品質レビュー、報告会、修復の検証が含まれます。

標準的な認証を備えた単一のWebアプリケーションの費用は、通常$3,000〜$18,000です。Web、API、モバイルクライアント、クラウドにまたがる複雑なエコシステムを複数のスペシャリストが評価する場合は、通常$18,000〜$50,000+です。スコープが明確で安定したテスト環境があれば、工数は減ります。認証情報の不備やテストデータの不足は、カバレッジを増やすことなく有償のテスター日数を消費します。

AIまたは自律型ペンテストの価格はどう決まるか

AIペンテストとは、アプリケーションを探索し、レスポンスを観察し、次のアクションを選び、悪用可能な挙動の検証を試みるプラットフォームが実行するテストです。購入者が目にする価格モデルは通常4つです。

1. 評価単位：定義されたターゲットとテスト期間に対して一つの価格
2. サブスクリプション：アプリケーション数、テスト数、または深さに上限がある月額または年額のアクセス
3. アセットベース：アプリケーション、API、リポジトリ、ホスト、またはワークスペースに連動した価格
4. 消費型クレジット：通常のスキャンは含まれ、より深い自律的な調査でクレジットを消費

テスト単価が低いことは、同等のカバレッジを証明するものではありません。システムが何に到達したか、どのアイデンティティを使ったか、どの検出結果を検証したか、何が未探索のまま残ったかを尋ねてください。その確認方法はAIペンテストの結果は信頼できるかで解説しています。

OstorlabのAI Pentestの料金はいくらか

Ostorlab AI Pentestは、OstorlabのDeep Agentic Scanエンジン上に構築された、エクスプロイトで検証された単発の評価です。公開されているプランは4つあります（ostorlab.co/plans）。

プラン	価格
Core	$499
Advanced	$1,999
Elite	$3,999
Hyperscale	個別価格、スコープに合わせて設定

すべてのプランに、AIエージェントが確定した検出結果ごとの実際に動作するエクスプロイト、接続されたWeb、API、モバイルのアセットに対するマルチアセット対応、再テスト期間が含まれます。人間による検証は含まれません。再テスト期間の長さは見積もりに記載されます。

2026年10月5日更新：AI Pentestの検出結果はAIエージェントによってエクスプロイトで検証されます。人間による検証は含まれません（プランを参照）。

2026年10月6日更新：XBOWは$4,000のPentest On-Demandを2026年7月16日に提供終了しました。XBOWは現在、価格を公開していません。

継続的なプログラム向けに、OstorlabはAppSecとEnterpriseも提供しています。AppSecは、接続されたアプリのワークスペース一つと毎月のAIクレジットをカバーするサブスクリプションです。Enterpriseは、共有クレジット、ガバナンス、連携、Attack Surface、App Vettingを含む個別の年間契約です。これらを一つの評価の価格と比較すべきではありません。単発のAI Pentestはスコープを定めた問いに答えるものであり、AppSecとEnterpriseは継続的に実行されるものだからです。

アプリケーションペンテストの費用を決める要素は何か

費用は、ワークフロー、ロール、接続されたアセットの数、そしてアプリケーションへの到達や操作の難しさに応じて増加します。最も大きな要因は次のとおりです。

• ワークフローの複雑さ：固有のワークフロー、エンドポイント、状態遷移、信頼境界が多いほど、より多くのテストが必要です。
• ユーザーロールとテナント：ロールやテナントが一つ増えるごとに、テストすべき認可の境界が増えます。
• 接続されたアセット：API、モバイルクライアント、ソースリポジトリ、クラウドサービス、IDシステムが評価の範囲を広げます。
• 認証：SSO、MFA、デバイスバインディング、ローテーションするトークン、短いセッションは、セットアップの工数を増やします。
• ビジネスロジック：承認、トランザクション、アカウント復旧、複数ステップのワークフローには、コンテキストを踏まえた調査が必要です。
• 人間による検証とレポート作成：専門家によるレビュー、正式なレポート、報告会、証明書は、提供作業を増やします。
• 再テスト：修復の検証を含めるプロバイダーもあれば、別途請求するプロバイダーもあります。

アプリケーションの種類はペンテストの費用にどう影響するか

アプリケーションの種類によって、必要なツール、スペシャリスト、テスト環境、エビデンスが変わります。見積もりでは、すべてのターゲットを汎用的なアプリケーションとして扱うのではなく、アセットのクラスを明記すべきです。

評価の種類	価格を変える追加作業	必要な専門能力
Webアプリケーション	ロール、ワークフロー、テナント境界、ビジネスロジック、管理機能	Webと認可のテスト
API	エンドポイントのインベントリ、スキーマ、オブジェクト間の関係、トークン、レート制限、非同期処理	APIと認可のテスト
モバイルアプリケーション	APK/IPAのレビュー、物理端末、実行時の計装、証明書ピンニングのバイパス、ローカルストレージ、モバイルAPI	Android/iOSのリバースエンジニアリングと実行時テスト
クラウドに接続されたアプリケーション	IAM、ストレージ、サーバーレス関数、キュー、シークレット、クラウドの設定	クラウドとIDのセキュリティ
デスクトップアプリケーション	ネイティブバイナリ、ローカル権限、IPC、アップデートチャネル、バックエンドとの信頼関係	リバースエンジニアリングとOSのセキュリティ
AIアプリケーション	プロンプトインジェクション、検索拡張、モデルへのアクセス、ツール、エージェントの権限、データ漏えい	AI/MLとアプリケーションセキュリティのテスト

ハードウェア、ファームウェア、IoT、スマートコントラクトの評価は、ラボ機器、端末の分解、経済的攻撃の分析が必要なため、専門企業によって別途価格が設定されます。これらはアプリケーションペンテストの見積もりのスコープ外です。モバイル向けのツールについては、2026年のモバイルペンテストツールのおすすめをご覧ください。

AIペンテストと脆弱性スキャンの違いは何か

脆弱性スキャナーは、あらかじめ定義されたチェックを適用します。AIペンテストは、アプリケーションが返す内容から次のステップを計画し、影響の実証を試みます。AI機能があるからといって、スキャナーが自動的にペンテストになるわけではありません。

機能	脆弱性スキャナー	AIまたは自律型ペンテスト
テストのロジック	事前定義されたルールとヒューリスティック	ターゲットのレスポンスに基づく目標指向の計画
ワークフローの探索	通常はクローラー主導	アプリケーションの状態、ロール、複数ステップのフローに適応
検証	チェックごとのシグネチャまたはレスポンスの一致、組み込みの実証を伴う場合もある	2つ目のアイデンティティで別のユーザーのデータを読み取るなど、コンテキストの中で影響の再現を試みる
エビデンス	検出結果の詳細とスキャンのトレース	実行記録：何が観察され、次に何が試され、どのリクエストとレスポンスがそれを実証したか
カバレッジの性質	広く、再現性がある	適応的、深さはターゲットと制御に依存

実行記録を見せてもらうよう依頼してください。詳しくは、AIスキャナーはいつAIペンテストになるのかとAIペンテストのワークフローにおけるエビデンスの流れをお読みください。

市場の各領域にはどのプロバイダーがいるか

すべてのプロバイダーがスタックの同じレイヤーをテストするわけではありません。以下は代表例であり、ランキングではありません。説明は2026年9月時点の各ベンダーの公開サイトに基づいています。

AIと自律型のアプリケーションテスト

• Ostorlabは、エクスプロイトで検証された単発のAI Pentestパッケージと、接続されたモバイル、Web、APIのアセットを対象とする継続的なプランを提供しています。
• XBOWは、WebアプリケーションとAPIの自律型テストを掲げています。価格は利用量ベースで環境ごとにスコープが決められるため、価格は公開されていません。OstorlabとXBOWの比較をご覧ください。

AIと人間によるPTaaS

• Cobaltは、Agentic PTaaSとして提供される「人間主導でAIを活用したペンテスト」を掲げています。
• Synackは、Sara AI Pentestingと、人間の研究者で構成されるSynack Red Teamを組み合わせています。
• HackerOneは、AIエージェントと人間の専門家を組み合わせたH1 Agentic Pentestを提供しています。

見積もりの対象が、固定のペンテストなのか、研究者によるマネージド案件なのか、より広いプラットフォームのサブスクリプションなのかを確認してください。

モバイルアプリケーションのスペシャリスト

• NowSecureはモバイルに特化しており、iOSアプリとAndroidアプリのバイナリ解析と実機での実行時解析に加え、専門家主導のペネトレーションテストを提供しています。モバイルのスコープでは、どのバイナリ、OSバージョン、端末、バックエンドAPIが含まれるかを明記すべきです。

インフラと攻撃経路の検証

• Horizon3.ai NodeZeroは、内部、外部、ID、クラウド、Kubernetesの自律型ペンテストを中心としており、Webアプリのテストは別のソリューションとして掲載されています。アプリケーションの評価と比較する前に、見積もりにこれらのどれが含まれているかを確認してください。

市場をより広く見るには、2026年のAIペンテストプラットフォームのおすすめをご覧ください。

見積もり価格から通常除外されるものは何か

提案書に別段の記載がない限り、価格に次のものが含まれていないかを確認してください。

• バックエンドAPI、管理用ポータル、または追加の環境
• 追加のユーザーロール、テナント、またはテストアカウント
• AndroidとiOSのバイナリ、ソースコード、デスクトップクライアント
• クラウドの設定、IDインフラ、サードパーティとの連携
• ソーシャルエンジニアリング、フィッシング、サービス拒否、または破壊的なアクション
• 修復作業と開発者サポート
• 合意したアセットまたは重大度のスコープ外の検出結果
• 含まれる期間を超える再テスト

除外項目そのものは問題ではありません。問題になるのは、同じアセット、アイデンティティ、エビデンス、再テストが含まれているかのように2つの見積もりを比較したときです。

現実的なアプリケーションペンテストのシナリオではどれくらいの費用がかかるか

プロバイダーの開始価格よりも、スコープの増加要因のほうが重要です。よくある2つのシナリオを示します。

APIと3つのロールを持つSaaS Webアプリケーション

• 手動の見積もりの目安：北米で約$8,000〜$25,000、西欧で€6,000〜€18,000、APACとLATAMで$3,000〜$10,000（スタートアップ向けガイドの地域別の表）
• スペシャリスト：Webのテスターと、APIまたは認可のスペシャリスト
• インプット：ワークフロー、エンドポイントのインベントリ、3つのテスト用アイデンティティ、テナント境界、機密性の高いアクション、テストデータ
• スコープの増加要因：複雑な承認フロー、多数のテナント、非同期ジョブ、独立した管理ポータル
• 期待されるエビデンス：再現可能なリクエスト、ロール間の認可の比較、影響の実証、再テストのレポート

認証なしのクロールに限定された見積もりは、ロールを考慮したビジネスロジックの評価とは比較できません。

証明書ピンニングと共有APIを備えたiOSアプリとAndroidアプリ

• 手動の見積もりの目安：2つのバイナリと共有APIがスコープに含まれるため、通常は単一アプリの価格帯を上回ります。複数サーフェスとして扱ってください。
• スペシャリスト：モバイルのリバースエンジニアリング、実行時の計装、APIの認可テスト
• インプット：両方のバイナリ、サポート対象のOSバージョン、ピンニングの挙動、ローカルストレージ、ディープリンク、共有API
• スコープの増加要因：root/ジェイルブレイク検知、デバイスバインディング、MFA、複数のロール、別々のリリーストレイン
• 期待されるエビデンス：バイナリと実行時の観察結果、APIリクエスト、悪用可能性の実証、影響を受けるバージョン、再テストのガイダンス

Webのみを対象としたAPIの見積もりは、バイナリとバックエンドを含む完全な評価とは比較できません。

購入者はアプリケーションペンテストの見積もりをどう比較すべきか

同じ価格の2つの見積もりが、まったく異なる評価を指していることがあります。すべてのプロバイダーに同じ10の質問をしてください。

1. どのアプリケーション、API、モバイルクライアント、リポジトリ、環境が含まれるか。
2. いくつのロールとテナントがテストされるか。
3. ビジネスロジックのテストは含まれるか。
4. どの検出結果が検証され、どのような実証が提供されるか。
5. どの機能が到達できないまま残る可能性があるか。
6. 作業を行うのは人間か、エージェントか、スキャナーか、あるいはその組み合わせか。
7. 人間によるレビューは含まれるか。
8. 破壊的なアクションや状態を変えるアクションはどのように制御されるか。
9. 再テストは含まれるか、またその期間はどれくらいか。
10. レポートは想定している監査、顧客、調達プロセスに使えるか。

そのうえで、スコープ、除外項目、深さ、アイデンティティ、エビデンス、再テストの条件、スケジュールについての回答を書面で求めてください。

ペネトレーションテストの隠れたコストは何か

見積もりはコストの一部にすぎません。社内のチームは引き続き、環境とテストアカウントを準備し、認証の失敗を解決し、検出結果を再現して担当者に振り分け、脆弱性を修正し、監査人の質問に答える必要があります。

エビデンスが弱い安価なテストは、トリアージの段階で高くつくことがあります。高価なテストでも、主要なワークフローが到達不能なまま残れば、やはりお金の無駄になります。

AIペンテストは手動のペンテストに取って代わるか

すべての状況でそうなるわけではありません。AIペンテストは、頻度、再現性、ポートフォリオ全体のカバレッジ、実行時の検証が重要な場合に適しています。手動のテストは、特殊なビジネスロジック、専門的なプロトコル、新しいアーキテクチャ、または独立した人間のテスターを前提とする保証が必要な場合に、引き続き価値があります。

多くのチームは両者を組み合わせています。

• ベースラインのカバレッジのための継続的なスキャン
• 重要な変更後のAIペンテスト
• 重要なアプリケーションや特殊なリスクに対する人間によるテスト
• 顧客、監査人、規制当局が求める場合の人間によるレビュー

両者を並べて比較するには、自律型ペンテストと従来型ペネトレーションテストの比較をお読みください。

アプリケーションペンテストはコンプライアンス要件を満たすか

それは、基準とレポートを受け入れる側によって異なります。

• SOC 2とISO 27001は、特定のペンテスト製品や価格を規定していません。ISO/IEC 27001:2022では、関連する附属書Aの管理策は8.8（技術的脆弱性の管理）と8.29（開発および受入れにおけるセキュリティテスト）です。エビデンスは、監査人と顧客を満足させるものでなければなりません。SOC 2向けに監査に対応したペンテストレポートを入手する方法をご覧ください。
• PCI DSS v4.0.1の要件11.4は、少なくとも12か月ごと、および重大な変更の後に、内部および外部のペネトレーションテストを実施することを求めています。AI支援型の評価がこれを満たすかどうかは、認定セキュリティ評価機関（QSA）に確認してください。

購入前に、受け取る側が人間主導の案件、特定のプロバイダー認定、署名入りの証明書、特定の手法、再テストのエビデンス、またはテスト済みとテスト未実施のスコープの明確な一覧を求めているかどうかを確認してください。

よくある質問

2026年のアプリケーションペネトレーションテストの費用はいくらか

手動のアプリケーションペンテストの費用は、単一のWebアプリまたはAPIで約$3,000〜$18,000、Web、API、モバイル、クラウドをカバーする複数サーフェスのスコープで$18,000〜$50,000+です。公開されているAIペンテストのパッケージは、スコープを定めた評価1件あたり$499〜約$8,000です。

AIペネトレーションテストの費用はいくらか

公開されているAIペンテストのパッケージは$499（Ostorlab Core）からです。Intruderは固定価格のAIペンテストを$4,000〜$8,000としており、XBOWは価格が利用量ベースで環境ごとにスコープが決められるため、価格を公開していません。多くのベンダーはスコープ定義の後にしか価格を提示せず、継続的なエンタープライズ向けプログラムは通常、サブスクリプションベースか個別価格です。

OstorlabのAI Pentestの費用はいくらか

Ostorlab AI Pentestの費用は、$499（Core）、$1,999（Advanced）、$3,999（Elite）で、Hyperscaleは個別価格です。すべてのプランに、AIエージェントが確定した検出結果ごとの実際に動作するエクスプロイト、接続されたWeb、API、モバイルのアセットに対するマルチアセット対応、再テスト期間が含まれます。人間による検証は含まれません。

アプリケーションペネトレーションテストにはどれくらいの期間がかかるか

Intruderの見積もりによると、手動のWebアプリケーションテストには、規模と複雑さに応じて通常3〜15テスター日がかかります。テスト日数に加えて、スコープ定義、環境のセットアップ、レポート作成、再テストの時間も見込んでください。

アプリケーションペネトレーションテストはどれくらいの頻度で実施すべきか

少なくとも年に1回、および重大な変更の後です。PCI DSS v4.0.1の要件11.4は、スコープ内の環境に対してこの最低基準を定めています。頻繁にリリースするチームは、年次テストの間にAIペンテストを追加し、次の手動の案件を待たずに新機能をカバーしています。

AIと自律型のペネトレーションテストを提供している企業はどこか

Ostorlab（接続されたモバイル、Web、APIの評価）とXBOW（WebアプリケーションとAPI）が、自律型のアプリケーションテストを提供しています。Cobalt、Synack、HackerOneは、AIと人間のテスターを組み合わせています。Horizon3.ai NodeZeroは、インフラ、ID、クラウドを中心としています。これらは互いに直接の代替品ではありません。

Pentest as a Service（PTaaS）とは何か

Pentest as a Service（PTaaS）は、ソフトウェアプラットフォームを通じてペネトレーションテストを提供するものです。チームは案件を依頼し、報告される検出結果を随時確認し、テスターと協力し、課題をチケット管理システムに送り、正式なレポートとあわせて再テストを管理します。

モバイルアプリのペネトレーションテストはWebアプリより費用がかかるか

通常はかかります。モバイルのテストは、コンパイル済みのバイナリ（APKまたはIPA）、それが呼び出すバックエンドAPI、またはその両方をカバーし得るため、APIを含めるかどうかをスコープに明記してください。root検知や証明書ピンニングなどのクライアント側の保護は、標準的なWebアプリケーションと比べてセットアップの時間を増やします。

APIペネトレーションテストの価格はどう決まるか

APIのテストは、操作またはルート、スキーマ、ロール、認可の境界、認証、ビジネスロジックによってスコープが決められます。GraphQLでは一つのエンドポイントが多くの操作を露出し得るため、エンドポイント数だけでは誤解を招きます。スコープ定義の段階で完全なOpenAPIまたはGraphQLの仕様を共有すると、より正確な見積もりが得られます。

脆弱性評価とペネトレーションテストの違いは何か

脆弱性評価は、弱点を広く特定し、優先順位付けします。ペネトレーションテストは、認可されたスコープの中で、選んだ弱点が悪用可能かどうか、そしてどのような影響を生むかを調査します。

アプリケーションペンテストの費用についての結論

見出しの価格だけでペンテストを選ばないでください。見積もりが同じアセット、ロール、ワークフロー、エビデンス、再テストをカバーしていることを確認してください。そうでなければ、数字を比較することはできません。より大規模なプログラムでは、リリース頻度や人間による検証を含め、実際のポートフォリオをカバーするための年間コストで比較してください。

自社のWebアプリ、API、モバイルクライアントの評価のスコープを定めるには、Ostorlab AI Pentestのパッケージと価格をご覧ください。