高千穂交易、AIで悪用可能な脆弱性を検証するXBOWを国内販売開始
公開日:
高千穂交易株式会社は、米国XBOW社とリセラー契約を締結し、AIによる自律型ペネトレーションテスト・プラットフォーム「XBOW」の国内販売開始を発表しました。WebアプリケーションやAPIへの攻撃を試み、悪用可能性を検証した脆弱性を証拠・再現手順とともに報告する製品です。テスト期間は対象の規模・範囲に応じて1〜2日程度を目安とし、開発やリリースに合わせた継続検証を支援します。国内の導入設計や運用相談は高千穂交易が対応します。
ポイント
- 1高千穂交易がAIによる自律型侵入テスト「XBOW」の国内販売を開始
- 2複数の弱点を組み合わせた攻撃経路を検証し、証拠・再現手順を報告
- 3テスト期間は規模・範囲に応じて1〜2日程度を目安とし、継続検証に対応
取り扱い開始の背景
高千穂交易は、アプリケーションの更新が加速する一方、年1回の診断だけでは変化する攻撃対象を捉えにくいことを取り扱いの背景に挙げています。スマートフォンアプリを解析し、APIやバックエンドを直接狙う「A2B（App-to-Backend）攻撃」も想定しています。
同社は、防御・検知に加えて、攻撃者の視点でシステムを能動的に検証するオフェンシブ・セキュリティ領域を強化し、開発・リリースのサイクルに合わせた検証を支援します。
XBOWの特徴
XBOWは、AIが対象アプリケーションを調査し、攻撃経路を組み立てて、実際に悪用が成立するかを確認するプラットフォームです。高千穂交易は、独立した検証プロセスで再現性と悪用可能性を確かめ、証拠付きで報告すると説明しています。
| 機能 | 検証・報告の内容 |
|---|---|
| 対象の把握 | URL、仕様書、APIドキュメントをもとにエンドポイントや認証フローを整理 |
| 攻撃経路の探索 | 複数のAIエージェントが並行して攻撃を試し、弱点を組み合わせた経路も検証 |
| レポート | 攻撃経路、証拠、再現手順、修正方針をまとめて提示 |
| 実行の統制 | 利用者がテスト範囲を定義し、操作を記録・追跡 |
同社は、従来数週間かかっていたテストを1〜2日程度で実施できる目安を示していますが、対象の規模・範囲で異なります。導入時は検証範囲、実行条件、データの取り扱い要件を定めます。監査ログはSOC 2やISO 27001などの要件対応に必要な証跡の取得を支援するもので、認証取得を保証するものではありません。
実績と開発体制
高千穂交易の発表によると、XBOW社は2024年1月に設立された米国の自律型オフェンシブ・セキュリティ企業です。創業者兼CEOのOege de Moor氏は、コード解析技術「CodeQL」を開発したSemmle社を創業し、GitHub NextでGitHub Copilotの開発を主導した経歴を持ちます。
国内では高千穂交易が、導入前の技術確認や検証範囲の設計、運用中の問い合わせに対応します。製品サイトでは無料トライアルの案内も掲載しており、料金と対象範囲は個別に問い合わせる必要があります。
今後の展開
高千穂交易は、WebアプリケーションやSaaS、スマートフォンアプリを自社で開発・運用するIT・SaaS企業を中心に、製造業、金融・保険業、小売・EC業界など幅広い業種に向けてXBOWを提供します。既存のセキュリティ製品や運用サービスと組み合わせ、企業が開発スピードを維持しながら攻撃者視点で継続的に検証できる体制づくりを支援します。2030年度までに100社への導入を目指しています。
Q&A
Q. XBOWとは何ですか？
A. AIがWebアプリケーションやAPIへの侵入テストを自律的に実行し、悪用が成立した脆弱性を証拠や再現手順とともに報告する製品です。
Q. テストは必ず1〜2日で終わりますか？
A. 1〜2日程度は提供元が示す目安で、対象の規模や範囲によって異なります。実行前に対象範囲や条件を定め、所要時間を確認します。
Q. 国内での導入相談と料金確認はどこに依頼できますか？
A. 国内販売を行う高千穂交易が相談窓口です。製品サイトに無料トライアルの案内があり、利用料金と実施範囲は個別の確認が必要です。
関連リンク
O!Productニュース編集部からのコメント
攻撃経路と再現手順をまとめて受け取れる点は便利ですね。検出一覧だけでは修正の優先順位を決めにくかった開発チームにも、判断材料として役立ちそうです。
引用元：PR TIMES
この記事の著者
O!Productニュース編集部
