スパイスファクトリー、AIで攻撃経路を探る「AIペネトレーションテスト」を提供開始
公開日:
スパイスファクトリー株式会社は、「AIペネトレーションテスト」の提供を開始しました。Webアプリ・APIを対象に、AIを使って攻撃経路の探索と攻撃の検証を行うサービスです。AIによるテスト結果はスパイスファクトリーの担当者が確認し、報告書と改善に向けた助言にまとめて提供します。攻撃する側もAIで攻撃を自動化・効率化しているとされ、防御側でもAIで自社システムの弱点を確かめる狙いがあります。
ポイント
- 1スパイスファクトリーがWebアプリ・API向けの「AIペネトレーションテスト」を提供開始
- 2AIのテスト結果を担当者が確認し、問題や影響、証跡をまとめた報告書と改善の助言を提供
- 3AnthropicとOpenAIのプログラムで承認された利用条件のもとでフロンティアAIを活用
AIが攻撃経路を探り、担当者が結果を確認
スパイスファクトリーは、顧客の懸念を具体的な検証につなげるとしています。懸念の例は「顧客情報が漏えいしないか」「アカウントの乗っ取りから被害が広がらないか」などです。主な特徴は次の4つです。
| 特徴 | 内容 |
|---|---|
| 懸念を具体的な検証につなげる | 対象システムや顧客の要望を踏まえて検証内容と実施条件を決めます。顧客の許諾のもと、合意した範囲でAIが攻撃経路を探索・検証します |
| 2つの方式に対応 | ソースコードを参照しないブラックボックス方式と、ソースコードなどの内部情報を使うホワイトボックス方式に対応します。対象システムや提供できる情報に応じて、検証方法を相談できます |
| 担当者が確認して報告 | AIのテスト結果をスパイスファクトリーの担当者が確認し、見つかった問題と想定される影響、検証の証跡をまとめた報告書と、改善に向けた助言を提供します |
| フロンティアAIを活用 | AnthropicのCyber Verification Program（CVP）と、OpenAIのDaybreakのパートナープログラムに参加しています。各プログラムで承認された利用条件のもとで、フロンティアAIを使って検証します |
預かったコードやテストに関する情報は、モデルの学習に利用しない契約・プランのLLMで扱います。情報は、適用される契約・利用条件に従って取り扱うとしています。
提供の概要
提供の概要は次のとおりです。
| 項目 | 内容 |
|---|---|
| 対象 | Webアプリ・API |
| 範囲 | 合意した範囲で攻撃経路や悪用可能性を探索・検証します。全機能や定義済みの検査項目を一律に検査するものではありません。実施範囲と、確認できた内容・未確認事項を報告します |
| 実施環境 | テスト環境・ステージング環境を推奨しています。本番環境しかない場合は、実施可否を確認したうえで、対象範囲・実施時間などの条件を事前に決めます |
| 費用・期間 | 対象システムの規模、テスト方式、実施範囲・条件に応じて個別に見積もります |
実施のタイミングは、まず重要な機能や気になる箇所に絞った一度のテストから始められます。リリース前や機能追加のとき、月次などの定期的な実施も個別に相談できます。
注意点
AIや検査ツールには見逃しや誤検知があります。問題が検出されなかった場合も、安全性を保証するものではありません。
背景：AIを使ったサイバー攻撃への備え
サイバー攻撃による被害の報道が相次いでいます。2026年7月31日のサイバーセキュリティ戦略本部の会合では、内閣総理大臣が認識を示しました。AIの急速な高度化が、サイバー攻撃の脅威をさらに深刻にしているという内容です。
AI開発企業のAnthropicは、2026年9月10日に報告書を公表しました。この報告書では、取り上げたサイバー攻撃の事例の過半数で、AIが攻撃の実行や一連の処理の統括を担っていたと報告しています。
スパイスファクトリーは、このサービスを防御側の具体策の一つと位置づけています。AIを使って、自社システムに攻撃につながる弱点がないかを確かめる取り組みです。AI駆動開発の実践と、顧客企業の開発組織への導入支援で培ったAI活用の経験を、セキュリティ検証に生かしました。
無料相談とホワイトペーパーを用意
スパイスファクトリーは、導入を考える企業からの無料相談を受け付けています。相談では次のような内容を聞き取り、目的に合った実施範囲を案内します。
無料相談で伝える主な内容
- 1対象のWebアプリ・APIの概要
- 2気になる機能や権限
- 3ソースコードと検証環境の有無
- 4希望の時期・予算
あわせて、テスト方式や報告書の記載項目をまとめた導入ガイドを無料で配布しています。ホワイトペーパー「AIペネトレーションテスト 導入ガイド」には、進め方と準備も載っています。
Q&A
Q. AIペネトレーションテストとは何ですか？
A. AIを使ってWebアプリやAPIへの攻撃経路を探し、攻撃を試して弱点を確かめるテストです。結果は担当者が確認し、報告書にまとめます。
Q. ソースコードを渡さなくても受けられますか？
A. はい。ソースコードを見ずに検証するブラックボックス方式があります。コードなどの内部情報を使うホワイトボックス方式にも対応しています。
Q. 費用はどのくらいかかりますか？
A. 費用と期間は、対象システムの規模やテスト方式、実施範囲・条件に応じた個別見積もりです。
関連リンク
O!Productニュース編集部からのコメント
重要な機能に絞った一度のテストから始められるのは助かりますね。リリース前に開発チームが不安な箇所だけ確かめる、という使い方がしやすそうです。
引用元：PR TIMES
この記事の著者
O!Productニュース編集部
