AIによる自律型侵入テスト、成否を分けるのはモデルではなく「実行制御基盤」──Penteraが課題と新実装を公開
要点
- セキュリティ企業のPenteraは、AIエージェントによるWebアプリケーションの侵入テストにおいて、安全性や実用性を左右するのはAIモデル自体ではなく周囲の制御基盤（ハーネス）であるとする見解を公表した。
- 隔離された検証環境であっても制御基盤が破綻すれば不正侵入につながるリスクがあり、2026年7月のOpenAIによるHugging Face侵入事例などがその教訓として挙げられている。
- 対象範囲の逸脱防止、発見された認証情報の扱い、プロンプトインジェクション対策、再現可能な証拠の生成という4つの領域で、確定的なコードによる厳格な制御が不可欠だと指摘している。
- PenteraはAIによる攻撃判断と確定的コードによる実行制御を分離した新ソリューション「Pentera Apps」の詳細を明らかにし、早期アクセスの提供を開始した。
自動セキュリティ検証を手がける米Penteraのプロダクトマーケティング担当AVP、アサフ・レゲブ（Assaf Regev）氏は2026年10月21日、セキュリティ専門メディア「The Hacker News」への寄稿を通じ、AIエージェントを用いたペネトレーションテスト（侵入テスト：実際の攻撃手法を用いてシステムの安全性を検証するテスト手法）の実用化における技術的課題と、同社のアプローチを明らかにした。汎用的なAIモデルを活用した攻撃の自動化が進む一方で、本番環境で安全にテストを実行し、開発現場が実際に対処できる成果を得るための鍵は、AIモデルを取り囲む「ハーネス（AIモデルの入出力を監視・制御する実行基盤）」のエンジニアリングにあるとしている。
AIテストの成否を分ける「推論」と「実行」の分離
解説によると、汎用的な大規模言語モデル（LLM）を利用すれば、事前の複雑なセットアップを行わずにWebアプリケーションへの攻撃手法を考案させることが可能になりつつある。しかし、考案された攻撃を本番環境に対して安全に実行し、開発者が対応する価値のある結果として残すための仕組みは、すべてモデルの周囲に配置されたハーネス側に依存しているという。
このハーネスの不備がもたらす危険性について、記事では2026年7月にOpenAIが開示したHugging Faceへの侵入事例を挙げている。この事例では、AIエージェントを安全に封じ込めるために構築された評価環境内部であっても、制御ハーネスが破綻したことで想定外の事態が生じたとされる。AIモデルが攻撃手法を検討する「推論」と、実際の通信や処理を司る「実行」を切り離し、確定的（同一の入力に対して常に同じ結果を返す）なプログラムによって実行を監視・制限する設計が不可欠であるとレゲブ氏は強調している。
確定的プログラムが担う4つの制御課題
記事では、自律型AIエージェントが安全にテストを進めるうえで、ハーネス側で厳密に作り込むべき4つの制御項目が提示されている。
-
スコープ（対象範囲）の制限
Webアプリケーションの実際の境界は、リダイレクトや外部サービスの呼び出しによって意図せず別ドメインへ広がりやすい。AIモデルに自然言語のルールを与えて判断させるだけでは不十分であり、すべてのリクエストを送信直前にプログラムで検査する必要がある。非営利団体のOWASP（Open Web Application Security Project）による2026年のガイダンスでも、権限を伴うアクションはモデルの外部に置かれた確定的なポリシーエンジンを経由して実行時に検証するよう求めている。 -
発見された認証情報の取り扱い
侵入テストの過程では、テスト対象外の有効なAPIキーやパスワードが発見されることがある。見つかった鍵をどの範囲で試行してよいか、いつ人間の担当者へ判断を委ねるかといった方針は、AIの判断に委ねず外部コードによって一貫して制御しなければならない。 -
プロンプトインジェクションへの耐性
エージェントが読み取るWebページやAPIの応答、隠しフィールド、メタデータなどには、第三者が書き込んだ内容が含まれている。商品のレビュー欄に悪意ある命令が1件含まれているだけでも、AIの挙動が乗っ取られるプロンプトインジェクション（入力データに指示を紛れ込ませてAIを不正に操作する攻撃）のリスクに晒される。OWASPはこれをLLMアプリケーションにおける最上位のリスクに指定しており、現状では完全な防止策は存在しないとされる。そのため、モデルが欺かれることを前提として実行可能な行動を厳格に制限し、重要な操作には人間の承認を挟む設計が求められる。ただし、すべてを人間に判断させると「承認疲れ」を引き起こして判断力が落ちるため、バランスの取れた設計が求められるという。 -
再現可能な証拠（Proof）の提示
2026年10月には、Googleがオープンソース向けバグ報奨金プログラムにおいて、自動化ツールによる脆弱性報告の受け付けを停止した。自動生成された報告が急増したものの、その大半が無効な内容だったためである。開発者が再現できない脆弱性情報は修正につながらないため、攻撃の実行結果を正確に記録し、誰でもリプレイ（再実行）できるパッケージとして提示する機能がハーネス側に求められる。
こうした制御基盤は一度作れば終わりではなく、モデルのアップデートやテスト対象アプリケーションの変更に合わせて継続的に適応させる必要があるとレゲブ氏は述べている。
Pentera Appsにおける制御基盤の実装
Penteraはこの推論と実行の分離思想を取り入れたソリューションとして「Pentera Apps」を開発した。AIがテスト内容を判断する一方で、確定的なハーネスが実行内容を制御する構成を採用している。すべての動作はログに記録され、進行中のテストはいつでも一時停止や完全停止が行える。
また、開発現場での再現性を担保するため、検出された脆弱性には再実行可能なエクスプロイト（攻撃用スクリプト）、共通脆弱性評価システム「CVSS 3.1」のスコア、共通脆弱性タイプ「CWE」の識別番号が付属する。これにより、開発者は自ら攻撃を再現して内容を検証できるほか、修正完了後に同一の攻撃を実行して脆弱性が解消されたかを確認できる。テストは手動実行やスケジュール実行に対応し、今後はCI/CD（継続的インテグレーション／継続的デプロイ）と連携した変更検知トリガー型のテストも提供予定だという。
データ保護の観点では、LLMに渡されるデータは秘匿化された最小限のものに絞られ、モデル提供元によるデータの保持や学習への利用は行われず、顧客の指定リージョン内で処理が完結する。さらに、攻撃対象領域全体の事前調査や既存のセキュリティツール、最新の脅威インテリジェンスと連携し、Webアプリケーションで発見された侵入経路がネットワーク、クラウド、ID基盤へとどう波及するかを統合的に追跡できるとしている。
補足
Penteraは現在、企業のセキュリティチーム向けに「Pentera Apps」の早期アクセス受付を開始している。