.png)
コードへのアクセスがAIペネトレーションテストでROIを高める理由
1,000件以上のAIを活用した侵入テストにおいて、ホワイトボックス手法による調査では、発見1件あたりのエージェントコストを半分に抑えつつ、高リスクおよび重大な脆弱性を7倍多く発見しました。コードへのアクセスを許可すべきという主張は、もはや理論上の話ではありません。それは測定可能な事実なのです。
.png)
ショーンは Aikido セキュリティ部門のテクニカルプロダクトマーケティングマネージャーであり、複雑なセキュリティ製品を、市場が実際に関心を持つストーリーへと翻訳しています。彼の経歴はソフトウェアテストやサイバーセキュリティに及び、地球科学研究の最先端でのキャリアと科学的な教育を基盤としています。
主な調査結果
コスト効率。ホワイトボックス攻撃では、1件の発見につき15回のエージェント起動が必要でしたが、グレーボックス攻撃では31回必要でした。この2倍のコスト差は、セキュリティプログラム全体を通じて累積していきます。
発見の深さ。ホワイトボックステストにより、ソースコードなしでは発見できないアクセス制御の不備、認証ロジックの欠陥、SSRFの問題など、重大およびクリティカルな脆弱性が7倍多く発見されました。
アクセスの非対称性。AIエージェントにとって、コードベース全体を取り込むのにかかる時間はわずか数秒です。かつてホワイトボックス攻撃を人間による高付加価値な作業にしていたオーバーヘッドはもはや存在せず、その結果、コードへのアクセスはAIペンテストにおいて最もROIの高い入力要素となっています。
まとめ
グレイボックス・テストはリスクを低減するものではありません。リスクに対する可視性を低下させるだけです。
ソースコードがなければ、AIエージェントは外部からの攻撃対象領域に限定されてしまいます。HTTPレスポンスには決して現れない、内部の認証ロジックや多段階認証フロー、データの整合性に関する問題については、AIエージェントは推論することができません。
本レポートは、 Aikido プラットフォーム上で実施された1,000件以上のAIを活用した対話データに基づいています。内容は以下の通りです：
- 全発見事項、深刻度、およびコストにおけるホワイトボックスとグレーボックスの指標の比較
- ギャップが最も大きい3脆弱性 は、アクセス制御の不備（カバレッジが5倍）、認証ロジックの欠陥（カバレッジが3倍）、およびSSRFとデータ整合性の欠陥（ホワイトボックスのみ）です。
- ホワイトボックステストが、不具合の発見からプルリクエストまでの自動化を実現し、数週間かかっていた修正サイクルを数時間に短縮する方法
学べること
ホワイトボックステストをデフォルトとするべき場合、グレーボックステストが適切な場合、そして習慣ではなく、アクセススケジュールやアプリケーションの重要度に基づいて判断を下す方法。
ショーンは Aikido セキュリティ部門のテクニカルプロダクトマーケティングマネージャーであり、複雑なセキュリティ製品を、市場が実際に関心を持つストーリーへと翻訳しています。彼の経歴はソフトウェアテストやサイバーセキュリティに及び、地球科学研究の最先端でのキャリアと科学的な教育を基盤としています。