Aikido、外部ネットワーク侵入テスト（ペネトレーションテスト）機能を正式リリース

【なぜ重要か】 PHP2Shellのような重大な脆弱性は公開からわずか数時間で大規模な自動攻撃が始まり、2026年時点では悪用された脆弱性の86.7%が公開日当日またはそれ以前に攻撃されている。攻撃者はAIエージェントを使って常時・自動的に企業の外部公開システムを探索・攻撃しており、年1〜2回の定期ペネトレーションテストでは変化し続けるネットワーク境界に追いつけない。Aikidoの新機能は「攻撃者が行っているのと同じテスト」をユーザー側が先に実施できる手段を提供する。

【ポイント】

• 外部ネットワークペネトレーションテストの提供開始：ルートドメインを指定するだけで、AIエージェントがサブドメイン・VPNゲートウェイ・メールサーバー・APIなど公開インターネットから到達可能なすべてのホストを自動探索し、既知のCVE・設定ミス・公開シークレットを用いて外部攻撃者と同様の手順で攻撃を試みる。
• チェーン型の脆弱性発見：単独では重大でない発見（例：公開された.gitフォルダ→リポジトリ内のSSH認証情報→別ホストへのログイン→Azureクレデンシャルの取得→クラウドテナントの管理者権限奪取）を連鎖させて実際の侵害経路を再現し、レポートには全ステップを明示する。
• エクスプロイト実証済みの発見のみをレポートに掲載：別のエージェントが検証・再現した証拠のある発見だけを報告対象とし、誤検知を排除する。修正後のリテストは最長6か月間実施可能。
• 継続的テストへの対応：ペリメーター変更のたびに新規ホストを自動検出してテストを開始する継続モードを提供。既存のAikidoサブスクリプション不要でスポットテストも実施可能。
• 本番環境への安全な実行設計：スーパーバイザーエージェントが各アクションを事前審査し、システムへの影響を与える可能性のある操作はブロック。悪用が証明された時点でエージェントは停止し、それ以上の深追いには人間の確認が必要。データのダウンロード・保存は行わず、パニックボタンで全エージェントを即時停止できる。

【まとめ】 Aikidoの外部ネットワークペネトレーションテストは、AIエージェントが攻撃者と同じ手法でドメイン全体を継続的にテストし、実証済みの脆弱性連鎖をレポートする機能である。まずは最重要ドメインを指定してエージェントを実行し、自社の外部公開面における実際のリスクを把握することが次のアクションとなる。