AllseekとHaickerはAikidoに加わります。共にAikido Attackを構築しています。これは、ハッカーのように考え、数週間ではなく数時間で実行される自律型AIペンテストです。
なぜこれが重要なのでしょうか？
現代のソフトウェア開発のスピードにセキュリティも対応する必要があります。現在のペンテストは価値がありますが、時間、コスト、単発的な性質によってボトルネックが生じています。将来は年次のPDFレポートではなく、ハッカーの直感と並行して実行される継続的で自律的なシステムです。
これが、これらのチームが構築してきたものです。
- Allseekは、Aikidoの最初のペンテストを実施したチームであり、実際の攻撃者のように振る舞い、ハッカーがたどる経路を追跡するAIエージェントを作成します。
- Haickerは、世界チャンピオンのハッカーであるPhilippe DourassovとエンジニアのManaf Mhamdi Alaouiによって設立され、エリートによる人間によるハッキングを自律システムに変革します。
新しいモデル:
- 数週間ではなく、数分で完了するペンテスト
- 即時修正検証を伴う継続的なフィードバック
- ホワイトボックス、グレーボックス、ブラックボックスからのコンテキストを単一のフローで
- 大規模に稼働する自律型エージェント
これが未来です。人間が創造性を推進する、継続的で自律的なエージェント。Fortune 5000だけでなく、すべてのチームにとって、より速く、より広範に、アクセス可能になります。
フィリップが述べたように：
「協力することで、私たちは「ハッキング不可能」を実現するための一歩をさらに踏み出しています。」
仕組み
自律型ペンテストは単なる高速スキャンではなく、ハッカーの操作方法を模倣し、段階的に探索、プローブ、検証を行う専門的なAIエージェントの連鎖です。
- 偵察エージェントは、システム、ネットワーク、組織に関する情報を収集します。
- マッピングエージェントは、ルート、パラメータ、技術スタック、バージョンなど、攻撃対象領域をマッピングします。
- CVEハンターは、既知の脆弱性を発見されたバージョンにリンクします。
- エクスプロイトエージェントは、これらの検出結果を武器化します。
- Web脆弱性エージェントは、それぞれ特定の脆弱性タイプに特化しています。例えば、あるエージェントはクロスサイトスクリプティング（XSS）の検出に特化しており、別のエージェントはSQLインジェクション向けに調整されています。
- ロジックプロービングエージェントは、アプリケーションのビジネスロジックを特定し、それをエクスプロイトしようとします。
それはリレー形式です。あるエージェントが発見し、次のエージェントがさらに深く掘り下げます。ペイロードを適応させ、結果から学習し、コンテキストを検証します。まるでハッカーが攻撃を連鎖させるかのようです。
Aikidoの強みはコンテキストとカバレッジです。Aikido Attackは強力な組み合わせを提供します。
- ホワイトボックスエージェントはコードを読み取ります
- グレーボックスエージェントは、機能がどのように動作するかを解釈します。
- ブラックボックスエージェントが稼働中の表面をテストします
- Aikidoのより広範なプラットフォームからのエンリッチメントを追加します。SAST、APIスキャン、CSPM、攻撃対象領域マッピングなどを考えてみてください。これらを組み合わせることで、エージェントはパターンマッチングを超え、真の自律的な推論へと移行し、深さと広さの両方を得ることができます。
その結果、パターンを見つけるだけでなく、ハッカーのように考えるペンテストが実現します。
今日、何が変わりますか？
Aikido Attackを活用することで、チームは以下を実行できます。
- 数週間ではなく、数分でペンテストを開始できます
- 修正がリリースされるたびに、問題を継続的に再テストします。
- 半年ごとのPDFではなく、実用的な検出結果を数時間で得られます。
- わずかなコストで真の継続的な攻撃的セキュリティにアクセス
これがチームにとって何を意味するか
- 開発者: 即座のフィードバック、ボトルネックの削減、迅速な修正
- セキュリティリーダー: スナップショットではなく継続的な保証
- ペンテスター: AIでは検出できない脆弱性に焦点を当てることで、より創造的な余地が生まれます。
60億ドル規模のペンテスト業界は、時代の変化に追いついていません。レポート作成には数週間かかり、数千ドルの費用がかかる上、修正が適用される前にすでに古くなっています。侵害の3分の2は、90日以上パッチが適用されていない脆弱性をエクスプロイトしています。
要点：ペネトレーションテストは重要ですが、再発明の時期が来ています。人間の創造性はかけがえのないものですが、90%（マッピング、プロービング、再テスト）は自動化可能であり、自動化されるべきです。自律システムは、継続的に、オンデマンドで、ごくわずかなコストで実行され、人間を最も困難な問題から解放し、継続的なセキュリティを実現可能な現実のものにします。
今後の展望
これはAikido Attackの始まりに過ぎません。ペンテストはオンデマンドで継続的、かつ開発者に優しいものであるべきです。必要であれば「無駄なし」と呼んでください ;) 近日中に早期アクセスが開始され、チームがどのように活用するか楽しみです。
Wout Debaenst、Miel Verkerken、Arne Feys、Philippe Dourassov、そしてManaf Mhamdi AlaouiをAikidoチームに迎えることを大変嬉しく思います。
早期アクセスはこちら → aikido.dev/attack/aipentest
