Jason Haddix氏が語るAIペネトレーションテストの未来：人間のテスターは不要になるのか

【なぜ重要か】 Bugcrowd殿堂入りのバグハンター兼元UbisoftのCISOであるJason Haddix氏は、「近い将来ペネトレーションテストの90%はAIが実施するようになる」と断言している。AIが攻撃側のハードルを下げ、脅威の量と速度が急増している現在、防御側もAIを活用しなければ追いつけない状況であり、日本のセキュリティ担当者・エンジニアにとっても無視できない変化だ。

【ポイント】

• カバレッジ問題の解消：従来の手動ペネトレーションテストは年2回が一般的で、AIが生成したコードのリリース速度に追いつけない。Aikidoの調査（CISO・エンジニアリングリーダー400名対象）では、79%がスケジュールテスト間に脆弱性が混入することを懸念し、48%は結果が届く頃にはすでに陳腐化していると回答している。
• 消滅するのは「なんちゃってペンテスト」：オープンソーススキャナーの結果を焼き直す業者や、監査対応だけを目的としたチェックボックス式ペンテストは真っ先に淘汰される。一方、次世代テスターの育成機会（足がかりとなる入門的業務）が失われるという課題は未解決のままだとHaddix氏自身も認めている。
• AIだけでは機能しない。人間の方法論の組み込みが必須：AIツールをそのまま使ってもバグ探索の精度は低い。Haddix氏が持つ18ステップの偵察プロセスのような体系的な方法論をプロンプトや合成データセットに組み込むことで初めてAIペンテストは機能する。業界のリーダー企業は、独自の方法論を持つペンテスターを雇用してそれをAIに落とし込むアプローチを取っている。
• AIは人間が見落とす複合的な脆弱性を発見できる：Aikidoの実証事例では、AIエージェントが電子署名アプリのロジックを解析し「電子署名が偽造可能」であることを約9時間で発見。一方、上級者の人間チームが同アプリを2週間かけてテストした結果はXSSとSSRF各1件のみで、偽造の脆弱性は発見できなかった。また1,000件超のAIペンテストのデータから、ホワイトボックステストはグレーボックステスト単独と比べて7倍多くの脆弱性を検出することが確認されている。
• 第三者検証による裏付け：DoyensecがAikido AIペンテストを独立ベンチマーク評価した結果、2つのOSSアプリから検証済み脆弱性49件（うち高・重大レベル9件）を発見し、誤検知率はわずか4%、セルフサービス起動から20分以内に結果を出した。

【まとめ】 AIペンテストは人間のテスターを完全に代替するのではなく、スケールと速度の問題を解決しつつ、人間が見落としがちなロジック欠陥や多段階の脆弱性を補完するものだ。重要なのはAIに人間の方法論を組み込むことであり、セキュリティ担当者はAIペンテストを「脅威」ではなく「自らの知識を拡張するツール」として積極的に活用する姿勢に転換すべき時期に来ている。