Aikido AI Pentestingのライブウォークスルーを見逃した方のために、その概要をご紹介します。私たちは実際のアプリケーションを設定し、評価を構成し、エージェントがライブフローをテストし、アプリを探索し、完全なトレース付きで確認された発見を提示する様子を観察しました。
TL;DV
ペンテストは、現代のセキュリティにおいて最も遅い部分の1つです。チームは毎日デプロイを行いますが、攻撃的テストは依然として年に1回しか行われず、既に古くなった静的なPDFとして提供されます。デモはこのギャップから始まり、すぐに製品内でAikido Attackがどのように機能するかを示すことに移りました。
%20(1).gif)
Aikidoでペンテストをセットアップすることは、レッドチームにブリーフィングするような感覚です。範囲を平易な言葉で定義し、エージェントが攻撃できるドメインと到達可能でなければならないドメインを選択し、人間のテスターに説明するのとまったく同じように認証フローを記述します。MFA、SSOフロー、リダイレクト、または多段階シーケンスを含めることができます。エージェントはそれに従います。
リポジトリを接続し、API仕様、以前のレポート、ドキュメントなどのコンテキストをアップロードすることもできます。より多くのコンテキストは評価を向上させ、これはデモとドキュメントの両方で一貫しています。
実行が開始されると、ダッシュボードにはエージェントターミナルとブラウザセッションが表示されました。ルートの探索、攻撃試行の実行、成功時の適応、およびライブ環境での直接的な結果検証を監視できました。リクエストログやスクリーンショットに至るまで、すべてのアクションが可視化されていました。
結果ページには、完全なトレースと再現手順とともに確認された脆弱性が表示されました。
%20(1).png)
ライブセッションでの一例として、APIコールを通じてプライベートなメモが取得され得る、不適切なアクセス制御の問題がありました。
%20(1).png)
もう1つは、AutoFix が自動的に修復できるコマンドインジェクションでした。ワンクリックで、プラットフォームはプルリクエストを生成し、修正を確認するための再テストを可能にしました。
Aikidoのプラットフォームは最大の利点です。製品がすでにリポジトリ、セキュリティコンテキスト、およびアプリケーションの動作を理解しているため、エージェントは従来のアプローチにはない背景知識を持ってテストを実行します。そのコンテキストにより、評価の深さが増し、AutoFixが意味のある的を絞った修正を生成できるようになります。
%20(1).png)
セッションは、監査対応可能なPDFレポートと、スコープ制御、検証、ビジネスロジックテスト、および継続的なペンテストが通常の開発ワークフローにどのように適合するかをカバーするQ&Aで終了しました。
AI ペンテストに関するよくある質問
AikidoにおけるAIペンテストとは何ですか？
Aikidoは、アプリケーションを探索し、実際のユーザーフローを追跡し、攻撃パスをテストし、エクスプロイト可能性を検証する協調エージェントを使用します。これらのエージェントは、ブラウザ、ターミナル環境、およびHTTPクライアントを使用します。コードを接続してコンテキストをアップロードすると、エージェントは静的なペイロードに依存するのではなく、ロジックと意図された動作に基づいて推論します。
その結果、適応し、探索し、検証するペンテストが実現します。
詳細はこちら → https://help.aikido.dev/pentests/aikido-pentest
これは従来のDASTツールとどのように異なりますか？
DASTツールは固定パターンに依存しています。認証ステップ、ロール、および多段階ワークフローには対応が困難です。また、ノイズを生成する傾向があります。
Aikido Attackは、人間による攻撃的テストにより近い動作をします。エージェントはコンテキストを読み取り、アクションを計画し、攻撃を実行し、結果を観察し、調整します。すべての検出結果は、レポートに表示される前にターゲット環境で検証される必要があります。
エージェントはどのような問題を発見できますか？
ペンテストに期待されるすべてのこと：
- SQLインジェクション
- コマンドインジェクション / RCE
- XSS
- SSRF
- アクセス制御の不備
- IDOR / BOLA
- 認証の脆弱性
- 安全でない、または機密性の高いAPIパス
そして決定的に重要なのは、アプリケーションがどのように動作すべきかを理解することに依存するビジネスロジックの問題です。
デモでは、エージェントがAPIを介したプライベートデータ漏洩を特定しました。顧客環境では、権限の不一致、ワークフローのバイパス、テナント間のデータアクセス問題が発見されています。
詳細 → https://help.aikido.dev/pentests/what-issues-can-aikido-pentest-find
IDOR（不適切なオブジェクト参照）やビジネスロジックの欠陥を本当に検出できますか？
はい。プラットフォームがロール、データフロー、および期待される動作を理解すると、エージェントはユーザーがアクセスまたは変更すべきではないリソースにアクセスまたは変更できるかどうかをテストできます。人間のペネトレーションテスターとのいくつかの比較において、自律実行はより多くのロジックの欠陥を明らかにしました。
詳細 → https://help.aikido.dev/pentests/understanding-and-detecting-idor-vulnerabilities
ハルシネーションや誤検知をどのように防ぎますか？
エージェントは仮説を生成する場合がありますが、プラットフォームはそれらが検証されるまで信頼しません。
提案された各問題に対し、Aikidoはターゲットに対して直接再現性テストを実行します。
検証済みの結果のみがレポートに表示されます。
ペンテストを安全かつスコープ内に保つにはどうすればよいですか？
定義項目:
- 攻撃可能なドメイン
- 到達可能だが攻撃不可能なドメイン
- 認証手順
- エージェントの最大数
- 許可されたテスト時間
すべてのネットワークトラフィックは、スコープ外のものをすべてブロックするプロキシを介して流れます。
プリフライトチェックにより、実行開始前に認証と接続が機能することを確認します。
プリフライトが失敗した場合、クレジットは返金されます。パニックボタンを押すと、数秒以内にテストが停止します。
スコープに関する詳細 → https://help.aikido.dev/pentests/scope-of-assessment
最終レポートは SOC 2 および ISO 27001 で承認されますか？
はい。生成されたPDFには、方法論、スコープ、問題の詳細、再現手順、および修復ガイダンスが含まれています。
お客様はすでにこれらのレポートを SOC 2、ISO 27001、およびベンダー評価に利用しています。
サンプルPDFレポートはこちらからダウンロードできます。https://www.aikido.dev/attack/aipentest#report
AIペンテストは人間のペンテストと比較してどうですか？
これはデモで説明されました。Webアプリケーションの場合、自律実行は手動ペンテストに匹敵するカバレッジを提供し、多くの場合、人間チームが見落としたロジックの欠陥を発見しました。
当社のホワイトペーパーの調査結果もこれと一致しています。AI は、人間が見落としていた IDORs、認証バイパス、電子署名偽造などの深いロジックの問題を特定しました。一方、人間は設定とコンプライアンスに重点を置く傾向がありました。
AIが数週間ではなく数時間で完了します。
ほとんどのチームはAI ペンテストを基盤として利用し、必要に応じて人間のレビューを追加します。
コードへのアクセスを許可する必要がありますか？
必須ではありませんが、リポジトリを接続することで評価が大幅に強化されます。コードアクセスがあれば、エージェントはロジックパス、データルール、ロール、ワークフローの前提を理解できます。そのコンテキストにより、カバレッジが向上し、推測が減ります。
ブラックボックスモードでも機能しますが、エージェントが外部から構造を推測する必要があるため、当然ながら速度が遅く、網羅性も低くなります。
料金体系はどうなっていますか？
一般的な3つのエントリーポイント：
- 機能ペンテスト: CI/CDおよび新機能のデプロイ
- 標準ペンテスト：包括的な監査
- 高度なペンテスト: 成熟したアプリケーションのより深い分析
- Enterprise (カスタム料金)：高度な攻撃的テストのニーズを持つ組織向け
より詳細な内訳はこちらでご覧いただけます：https://www.aikido.dev/attack/aipentest
AutoFixはどのような役割を果たしますか？
AutoFixは、確定された脆弱性を具体的なコード変更に変換します。デモでは、コマンドインジェクションの検出により、正確な修正を含むプルリクエストが生成されました。
その価値は以下のループにあります：
Attackが発見 → AutoFixがPRを提案 → マージ → Attackが修正を再テストします。
Aikidoはすでにリポジトリと構造を把握しているため、修正は的を絞って行われ、検証は即座に完了します。
再テストはどのように機能しますか？
評価後3ヶ月間は、必要なだけ何度でも問題を再テストできます。各再テストでは、新しいエージェントが起動され、エクスプロイトを再度試行し、修正が有効であることを確認します。
次にどこへ向かっていますか？
デモで議論された2つの方向性：
- 改善された事前チェックと自動クレジット見積もりによる、よりスムーズなオンボーディング。
- 継続的なペンテスト。デフォルトでステージング環境でAttackを実行し、デプロイやプルリクエストでトリガーし、年次PDFから継続的な検証へと移行します。
ペンテストは出荷プロセスの一部となります。
実際に体験する
