ペンテストの90%はAIが担う——Jason Haddixが語るAIペンテストの現実

【なぜ重要か】 AIが生成するコードの増加により、従来の年2回の手動ペンテストでは脆弱性の検出が間に合わなくなっている。攻撃側がAIを活用して速度と規模を拡大している以上、防御側も同様にAIを活用しなければ対抗できない。Bugcrowd上位ランカーであり元UbisoftのCISOでもあるJason Haddixは、「近い将来、ペンテストの90%はAIが実施する」と断言しており、セキュリティ担当者はこの変化を理解しておく必要がある。

【ポイント】

• 手動ペンテストのカバレッジ問題：Aikidoの調査（400名のCISO・エンジニアリングリーダー対象）では、79%が定期テストの合間に脆弱性が混入することを懸念し、48%は結果が届く頃には内容が陳腐化していると回答。手動テストのコストと頻度の限界が明確になっている。
• 消えていくもの：オープンソーススキャナーの結果を焼き直すだけの「スキャナーの偽装ペンテスト」と、監査要件を満たすためだけに行うチェックボックス式ペンテストがAIに置き換えられる。一方でHaddixは、AIが入門レベルの仕事を奪うことで次世代テスターがキャリアをスタートする場が失われるという課題を正直に認め、「まだ答えが出ていない」と述べている。
• 人間の方法論を組み込まないとAIは機能しない：AIに単純に「バグを探せ」と指示しても成果は乏しい。18ステップの偵察プロセスなど、熟練テスターの方法論をプロンプトや合成データセットとして組み込んで初めてAIは有効に機能する。賢い組織はすでにユニークな方法論を持つペンテスターを採用し、それをAIに落とし込んでいる。
• AIペンテストの実証された優位性：Aikidoのベンチマークでは、AIエージェントが電子署名アプリのロジックを解析して署名偽造の脆弱性を約9時間で発見。人間の上級チームは同アプリに2週間を費やしながらこの脆弱性を見逃した。また、1,000件以上のAIペンテスト実績から、ホワイトボックステストはグレーボックスのみと比較して7倍多くの脆弱性を発見することが確認されている。
• 第三者機関による検証：DoyensecがAikidoをベンチマーク評価した結果、442候補からランダム抽出した2つのオープンソースアプリに対し、49件の検証済み脆弱性（うち9件は高・クリティカル）を誤検知率4%で発見。セットアップは20分以内で完了した。

【まとめ】 AIペンテストは人間のペンテスターを即座に不要にするのではなく、規模・速度・カバレッジの問題を解決するものだ。ただし、人間の専門的な方法論を組み込んで初めて有効に機能する。定期的な手動テストだけに頼っている組織は、AIを活用したペンテストの導入を具体的に検討すべき段階に来ている。