AIペネトレーションテスト

ペネトレーションテスト（侵入テスト）は、攻撃者の視点で侵入や不正な操作を試み、情報漏えいや権限のないデータへのアクセスなどが可能かを確かめるセキュリティテストです。本サービスでは、その探索・検証にAIツールを利用します。お客様の許諾のもと、事前に合意した範囲・条件で実施します。

事前に、確認したい機能やご懸念、業務上のルール、利用者ごとの権限、システム構成、実施時の注意事項を伺い、検証観点・重点対象・実施条件に反映します。

ブラックボックス方式は、ソースコードを参照せず、画面やAPIから観察できる挙動をもとに脆弱性を探索し、攻撃を試みます。ソースコードを提供できない場合にも利用できます。ホワイトボックス方式は、ソースコードや構成資料等を分析し、その知見を実行環境への攻撃試行に活用します。内部の処理・権限制御・データの流れを手がかりに、攻撃経路や原因の調査を深められます。

認証・認可の不備、インジェクション、クロスサイトスクリプティング（XSS）、サーバーサイドリクエストフォージェリ（SSRF）等が探索対象の例です。対象の構成、使用ツール・版・モデルにより検査できる種類や範囲は異なり、列挙した問題を毎回すべて検査・検出できるものではありません。

AIによるテスト結果を当社担当者が確認し、報告書としてご提供します。経営・事業責任者には「何が問題で、どのような被害につながるか」を把握できる概要を、開発担当者には検証の証跡や修正の方向性をお伝えします。

報告書には、実施概要、結果の要約、脆弱性の詳細、攻撃検証の結果・根拠、改善に向けた助言、制約・未確認事項をまとめます。具体的な記載内容は、テスト方式・実施範囲と取得できた情報に応じて異なります。確認できた事実と、想定される影響・未確認事項を区別してお伝えします。

報告内容を踏まえ、改善に向けた助言や修正の方向性の整理を支援します。コードレビューやパッチ作成の支援も、別途ご提供可能です。修正後の再テストについても、対象項目・実施条件・費用を個別にご相談いただけます。

AIや検査ツールには見逃し・誤検知があり、問題が検出されなかった場合も、安全性を保証するものではありません。

当社は、AI駆動開発の実践と顧客企業の開発組織への導入支援で培ったAI活用の経験を、セキュリティ検証にも生かします。

AnthropicのCyber Verification Program（CVP）、OpenAIのDaybreakのパートナープログラムに参加しています。各プログラムで承認された利用条件のもと、フロンティアAIを活用したセキュリティ検証を行います。

本サービスでは、お預かりしたコードやテストに関する情報をモデルの学習に利用しない契約・プランのLLMを使用します。お預かりした情報は、適用される契約・利用条件に従って取り扱います。

業務への影響を抑えるため、テスト環境・ステージング環境の利用を推奨します。本番環境しかご用意できない場合は、実施可否を確認したうえで、対象範囲・実施時間等の条件を事前に定めます。