Aikido、Androidアプリ向けエージェント型ペネトレーションテストを提供開始

【なぜ重要か】 Androidアプリのペネトレーションテストは高コストかつ年1回程度しか実施されないことが多く、バックエンドAPIとの連携部分が見落とされがちという課題がある。Aikidoはエージェント型AIを活用し、アプリとバックエンドを一体として自動テストする仕組みを提供することで、この課題を解決する。モバイルアプリのセキュリティ検証を継続的・低コストで実現したい日本のエンジニアやセキュリティ担当者にとって注目すべき機能追加といえる。

【ポイント】

• アプリとバックエンドを同一アセスメントでテスト：実際のAPKをインストールしてアプリ内部から攻撃を試み、接続先のバックエンドAPIも同時にテストする。アプリ側とサーバー側の認可チェックのズレなど、両者の前提の食い違いから生まれる脆弱性を発見できる。
• 現時点ではホワイトボックス（ソースコード必須）のみ対応：テスト実行にはAPK、Androidソースリポジトリ、テスト用ユーザーアカウントの提供が必要。ブラックボックス対応は近日公開予定。また、APKには証明書ピンニング・ルート検出・エミュレータ検出・RASPを無効化したビルドを使用する必要がある。
• 確認済みの脆弱性のみをレポートに記載：エージェントが実際にエクスプロイトして確認できた脆弱性のみを報告する。攻撃を検証できなかった場合は結果に含まれないため、偽陽性を排除できる。再現手順にはADB（Android Debug Bridge）コマンドが明記され、エンジニアがそのまま手元で確認できる。
• AutoFixおよびリテストに対応：Webアプリ向けペンテストと同様に、検出された脆弱性に対してプルリクエストを自動生成するAutoFixが利用可能。修正後は新しいAPKをアップロードしてリテストを実行できる。アプリ・バックエンド・レポート・修正・リテストをすべて一元管理できる。
• 従量制の料金体系：アプリの実際の規模に応じてアセスメント範囲が自動調整される「右サイズ」課金を採用しており、アプリの大小を無視した定額料金は発生しない。なお、iOSペンテストも近日公開予定。

【まとめ】 Aikidoのエージェント型Androidペンテストは、APK・ソースコード・テストユーザーを用意するだけで、アプリとバックエンドを横断した脆弱性検証を数時間以内に実施できる。年次の手動ペンテストを補完・代替する手段として、まずAPKをアップロードしてエージェントを動かしてみることが推奨される。