ペンテストの未来は自律的である

Aikido 完全版リリースを発表

ソフトウェアのセキュリティは崩壊している。

ソフトウェアのテストとセキュリティ対策の手法は、現代の構築方法に追いついていない。セキュリティは抽象化され、四つの領域や単機能ツール、スナップショットレポートへと分解され、現代のエンジニアリングチームの現実から遠く離れた存在となっている。

今日、組織は互いに連携できないバラバラの製品に数十億ドルを費やしている。リスクの相関分析は不可能となり、ノイズだけが唯一一貫した結果となる。ベンダーやアナリストが次なる4文字の略語を追いかける中、真に重要な脆弱性はパッチが適用されないまま、あるいは完全に見過ごされたまま放置されている。

私たちは一つの単純な真実に基づいて活動しています：セキュリティは優れたエンジニアリングによって始まり、そして終わるのです。

技術が進化するにつれて、セキュリティもそれに合わせて進化しなければならない。

ペネトレーションテストも例外ではない。

レポート作成には数週間かかり、数千ドルのコストがかかり、修正が適用される前に古くなる。侵害の3分の2は90日以上パッチが適用されていない脆弱性を悪用している。一方で、製品は毎日出荷され、攻撃者は毎時間動き、規制当局は依然として制御下にあることを証明するよう求めている。

聞き覚えがある？予約を取る。範囲を定義する。待つ。変更を凍結する。さらに待つ。PDFを受け取る。「もっと頻繁にやろう」と自分に誓う。そしてやらない。

あなたが気にかけていないからではなく、そのプロセスが今日のソフトウェア構築の方法と根本的に相容れないからです。

登場：Aikido 。

Aikido とは何か？

皆様の中には、この旅路を追ってくださった方もいらっしゃるでしょう。買収、初期段階の先行公開、そしてAllseekとHaickerがどのように我々と手を組み、ペネトレーションテストの未来を築いてきたかの舞台裏。本日、Aikido の正式リリースを発表いたします。

Aikido 、私たちのシンプルな問いへの答えです：

開発の次なる時代において、ペネトレーションテストはどのような姿となるのか？

ハッカーのように思考し、オンデマンドで動作し、開発ライフサイクルに同期し、アプリケーションを理解する自律システムのように見えます。それは：

• 世界トップクラスのハッカーによって構築された：彼らのように思考し行動するように設計されているが、安全で再現性がある。
• スケーラブルかつ継続的：オンデマンドでテストを実行するか、各リリースごとに継続的に実行します。
• 完全に可視化：すべてのリクエスト、エクスプロイト、発見事項をリアルタイムで監視可能。
• 実行可能：結果は検証され優先順位付けされ、開発者が修正または自動修正できる状態です。

要するに、こんな感じだ：

Aikido、私たちの基盤そのものから生まれている。

当社が既にコード、API、コンテナ、クラウド構成、攻撃対象領域を分析しているため、Aikido 外部ペネトレーションテストツールとは比較にならない独自のシステム理解を有しています。このライフサイクル全体にわたるコンテキストを活用し、専用エージェントのルーティング、トレーニング、強化を行うことで、パターンマッチングを超えた真の自律的推論を実現します。

Aikido どのような問題を発見できますか？

この深い文脈理解により、Aikido スキャナーが特定しにくい問題を発見できます。これには、一見無害に見えるエンドポイントの背後に隠れたテナント間データ漏洩、フロントエンドの想定とバックエンドのルールが乖離した際に生じる権限の不一致、ユーザーが必要なアクションを迂回できる多段階フローなどが含まれます。 さらにAikido 、二つの機能が予期せぬ形で相互作用した際にのみ顕在化するワークフローの断絶も可視化します。これらのフローをエンドツーエンドで追跡し、小さな脆弱性を連鎖させて現実的な攻撃経路を構築し、実際に悪用可能な発見事項を検証します。

AIペネトレーションテストとAI自動修復の融合

Aikido インフラストラクチャからコードまでのセキュリティプラットフォームとして独自のAikido 、クラウド、コンテナ、コードを含む全コンポーネントを包括的に把握できます。これは同時に、ペネトレーションテストのフローに修復機能を組み込む上で当社が独自の強みを持つことを意味します。Aikido AutoFixは、Aikido エージェントによる詳細な根本原因分析を活用し、検出された問題に対するコード修正を生成します。修正がマージされた後、ペネトレーションテストを再実行して問題が解決されたことを確認できます。

この基盤こそが、継続的なペネトレーションテストを可能にするものです。 （そして、ええ、その詳細については後ほど！）

開発としてのペネトレーションテスト

Aikido 理由は、ペネトレーションテストがソフトウェア構築の自然な一部として感じられるべきであり、それを妨げるものではないからです。エンジニアリングが継続的になるにつれ、攻撃的テストもまた継続的にならなければなりません。

今日、チームはリリースごと、大きな変更ごと、あるいは何かがおかしいと感じた瞬間に、エンジニアリングの速度を落とすことなくAikido を実行できる。

これによりペネトレーションテストの役割は完全に変化する。単発のイベントではなく、ソフトウェア開発サイクルの一部となる。

今回のリリースは、その未来に向けた最初の大きな一歩です。

今日試してみよう → aikido.dev/attack/aipentest

ライブデモを見る → https://luma.com/ai-pentest-live-demo