同じ予算でペンテストの頻度を増やす：AIペンテストが変える費用対効果

【なぜ重要か】 AI支援コーディングの普及により開発速度が急加速している一方、セキュリティテストは依然として年1〜2回の定期実施に留まっており、リリースサイクルとの乖離が拡大している。Aikidoの調査では76%の組織が週次以上の頻度で本番環境に重大な変更をデプロイするにもかかわらず、全リリースでセキュリティ検証を実施しているのはわずか21%に過ぎない。さらに攻撃者側もAIを活用し、CVEの悪用がゼロデイ開示日当日以前に行われる割合が2018年の18.7%から2025年には53.6%、2026年時点では86.7%にまで急増しており、テストの遅れが直接リスクに直結する状況となっている。

【ポイント】

• 手動ペンテストのコスト構造的限界：スコープ付き手動ペンテストは事前に費用が確定する一方、テスト頻度を2倍にすれば予算もほぼ2倍必要となり、42%のチームがコストやスケジュールの問題でリテストを先送りしている。修正後のリテストを省略したチームは、修正が機能したことを確認できないまま運用を続けることになる。
• AIペンテストによるコスト・期間の大幅削減：AIエージェントがアタックサーフェスのマッピングと脆弱性の実証的検証を担うことで、Aikidoの内部ベンチマークでは手動ペンテストの半額以下でフルスコープのテストが可能となる。結果返却までの時間も手動の平均2.6週間に対し数時間に短縮される。
• リスクベースのテスト戦略への移行：頻繁に変更される重要アプリには深度のあるAIベースライン評価＋差分テストを、変更頻度の低い低リスクアプリには年1回のAIペンテストを割り当てるなど、ビジネス上の重要度と変更頻度に応じてテストの深度・頻度を柔軟に配分できる。
• 継続的ペンテスト（Aikido Infinite）の費用予測可能性：すべてのコミットをテストするのではなく、セキュリティに影響する変更のみを検知してテストを起動する仕組みを採用。Gitのアクティビティ実績に基づく年間見積もりの事前表示、エージェントごとの固定クレジット価格、プリペイドクレジット制による上限管理により、予期しない請求が発生しない設計となっている。
• AIペンテストは人間によるペンテストを完全には代替しない：複雑なシステムや高い保証要件が求められる領域では専門家主導のアセスメントが引き続き重要な役割を担う。AIペンテストもセキュリティ専門家が管理・運用すべきものと位置づけられている。

【まとめ】 AIペンテストは「予算を増やさずにテストカバレッジを広げる」手段として機能する。予算の制約からテスト対象を絞らざるを得なかったチームは、AIペンテストの導入によりリスクベースの継続的テスト戦略への移行を検討する価値がある。まずはAikidoのInfiniteプランの費用予測機能を確認し、現行の手動ペンテスト予算で実現できるカバレッジの拡大幅を試算してみることを推奨する。