2026年版：エンタープライズ向けDASTツール徹底比較

【なぜ重要か】 AIが生成するコード量の急増に伴い、本番環境に潜む脆弱性のリスクが高まっている。Aikidoの調査によれば、69%の組織がAI生成コードに起因する脆弱性を発見しており、5社に1社が深刻なインシデントを経験している。DASTはデプロイのたびに実行できる低コストな手法として重要性を増しており、特にエンタープライズ環境では認証済みテストやAPIカバレッジ、ガバナンスまで含めた高水準の要件が求められる。

【ポイント】

• エンタープライズDASTの要件：単純なURLクロールにとどまらず、実ユーザーとしてログインした認証済みテスト、シャドーAPIや未文書化エンドポイントの自動検出、REST・GraphQL・SOAPへの対応、RBAC／SSO／リポジトリ単位のポリシー適用によるガバナンス、PCI DSS・SOC 2・ISO 27001への準拠レポートが必須要件となる。
• Aikido Security：認証済みDASTと自律型AIペネトレーションテストを一つのプラットフォームで提供。数百のAIエージェントがビジネスロジックを推論して脆弱性を連鎖的に検出し、実際の悪用を証明するProof-of-Conceptを生成。誤検知を排除した上でSOC 2・ISO 27001対応の監査レポートを数時間で出力する。料金はシート単位で、FQDNやアプリ数による従量課金ではない。
• その他の主要ツール：Invictiはドメイン単位の課金でサブドメインごとにライセンスを消費するため、環境が増えるとコストが予測しにくい。Burp Suite DASTは高度な設定が可能だが専任のAppSecエンジニアが必要。Rapid7 InsightAppSecはRapid7プラットフォーム統合に強みがあるが、アプリ単位のサブスクリプションでコストが拡大しやすい。CheckmarxはCheckmarx既存ユーザー向けだがモジュール単位の課金と学習コストが課題。HCL AppScanは政府・規制業界向けだがUIが古くインフラ要件が重い。QualysはQualys既存ユーザー向けだがCI/CDとの統合に手動チューニングが必要。
• DASTとペネトレーションテストの補完関係：DASTは壊れた認可やスキップ可能なワークフローといったビジネスロジックの欠陥を検出できない。そのため、エンタープライズチームは継続的DASTと自律型AIペネトレーションテストを組み合わせて運用することが推奨される。
• 価格モデルの重要性：FQDN単位・アプリ単位の課金モデルは組織の成長に伴いコストが予測困難になる。スケーラブルな運用にはシート単位など固定的な課金体系が有利。

【まとめ】 2026年のエンタープライズDASTは「認証済みテスト・API自動検出・ガバナンス・コンプライアンス報告・ペネトレーションテストとの連携」の5軸で評価することが重要。Aikido Securityはこれらを一体で提供する最も包括的な選択肢であり、特定プラットフォームへの既存投資があるチームはInvicti・Rapid7・Checkmarx・Qualysも検討対象となる。まず自組織のAPIカバレッジ要件と課金モデルの許容範囲を整理した上でツール選定を進めることを推奨する。