PortSwiggerは、広く利用されているBurp Suite Professionalプラットフォームにエージェント型AIの機能を導入した「Burp AT」のパブリックベータをローンチしました。
今回のリリースは、Webアプリケーションのセキュリティ評価に対するペネトレーションテスターのアプローチを大きく変えるものであり、自律型AIエージェントと20年以上の実績を持つBurp Suiteのツール群を組み合わせています。
Burp ATを使うことで、セキュリティ専門家はAIエージェントを展開し、Burp Suiteの既存ワークフローの中で手がかりを自律的に調査し、アプリケーションの挙動を分析して脆弱性を洗い出すことができるようになります。
このツールはテスターを置き換えるのではなく、通常であれば対応しきれない時間のかかる調査作業を肩代わりすることで、テスターの対応能力を拡張するように設計されています。
Fran Hutchings氏の発表によれば、2026年7月27日に公開されたBurp ATは4つの基本原則に基づいて構築されています。エージェントはBurpの実戦で鍛え上げられたツール群を通じて動作し、トラフィックやターゲットの構造、これまでの発見事項といった既存のプロジェクトコンテキストを活用します。そのため、エージェントは白紙のプロンプトから始めるのではなく、テスターと連携しながら作業を進めます。
PortSwigger Researchと共同で開発された、ペネトレーションテスト専用スキルのライブラリにより、エージェントは汎用モデルの知識から即興で対応するのではなく、体系立った手法を適用できます。
テスターは自律性の度合いを完全にコントロールでき、何を自動で進めるか、何に承認を必要とするか、何をブロックしたままにするかを決定できます。このバランスはタスクやターゲット、リスクレベルに応じて調整可能です。
最後に、スコープと権限の境界はBurpのツール層自体の中で強制され、基盤となるAIモデルとはアーキテクチャ上分離されています。すべてのリクエストと判断は説明責任のためにログとして記録されます。
クローズドベータテストの期間中、あるペネトレーションテスターはBurp ATを使って6万6000行に及ぶ難読化されたJavaScriptを分析しました。これは通常4日間のエンゲージメント内では手作業では実行不可能だったタスクです。
このエージェントはコード内で参照されている隠しエンドポイントとワークフローを再構築し、最終的に重大な脆弱性を洗い出しました。PortSwiggerによれば、この脆弱性はそうでなければ少なくとも1年間はテストされないままだったといいます。
参加したあるペネトレーションテスターは、この体験を「一変させるもの」と表現し、テストと学習の両方が格段に容易になったと述べています。PortSwiggerは、Burp ATが取り組んでいるのは能力の問題ではなく信頼の問題だと位置づけています。
最先端のAIモデルは、すでに仮説を立て、エクスプロイトを実行し、結果を解釈することができます。本当の課題は、プロフェッショナルなエンゲージメントの中で、その自律性が検証可能かつ監査可能な制約の範囲内で動作することを保証することです。
エージェントのすべての操作がBurp Suiteのインフラを経由するため、テスターはAIが自ら報告する行動記録だけに頼るのではなく、リクエスト・レスポンス・ログという形で再現可能な証拠を手元に残すことができます。
この点は、正当性と再現性を担保したドキュメントが求められるエンゲージメントにおいて重要な意味を持ちます。Burp ATは現在、Burp Suite Professionalユーザー限定でパブリックベータとして提供されています。
PortSwiggerは、これをより幅広い展開計画の第一段階と位置づけています。今後はエンタープライズチーム向けに追加の自律モードを導入していく予定で、共有された可視性と監査可能性のもと、常設のポリシーに基づくより自律的なテストも視野に入れつつ、人間主導のテストも恒久的な運用モードとして維持していくとしています。
創業者兼CEOのDafydd Stuttard氏は、パブリックベータ段階の狙いは、実際の現場でのテストを通じてこのツールの信頼性を検証することにあると強調しました。同氏は、Burp Suiteが実際のアプリケーションに対する20年以上の利用実績を通じて信頼を勝ち取ってきた一方、新しいBurp ATはまだ現場で同様の信頼を勝ち取っていく必要があると述べています。
SOCの調査における死角を減らし、ANY.RUNで脅威を早期に封じ込めることで、対応コストと業務への影響を軽減しましょう。
翻訳元: https://cyberpress.org/portswigger-launches-burp-at-agentic-ai/
