PortSwigger、自動ペネトレーションテストのためのエージェント型AI「Burp AT」を発表

PortSwiggerは、エージェント型AIシステム「Burp AT」をリリースしました。これによりペネトレーションテスターは、テスト範囲や承認、最終的な結論に対する直接的な管理権限を保持したまま、Webセキュリティの調査タスクを委任できるようになります。パブリックベータは現在、Burp Suite Professionalユーザー向けに提供されています。

限られたコンテキストのもとプロンプトベースで動作する単独型のAIアシスタントとは異なり、Burp ATはBurp Suiteの既存ツールやプロジェクトデータとシームレスに統合されます。

Datarecovery services

Burp ATは、Burpプロジェクト内でキャプチャされたトラフィック、対象サイトの構造、これまでに特定された問題、および調査情報を活用し、潜在的な脆弱性を調査できます。この統合により、エージェントは単独でスキャンを実行するのではなく、テスターと連携して作業を進めることが可能になります。

PortSwigger Burp ATのエージェント型AI

Burp ATは、Burp Suiteのツール、プロジェクト固有のコンテキスト、専門的なペンテストスキル、そしてポリシーに基づく制御という4つの主要コンポーネントを中心に構築されています。

PortSwiggerによると、同社のエージェントはPortSwigger Researchと共同で開発した専用機能を使用しており、一般的な知識モデルのみに依存するのではなく、体系化されたセキュリティテスト手法に従うことができるとしています。

このプラットフォームには、設定可能な自律性という特徴もあります。テスターは、エージェントに手がかりを独自に調査させるか、特定の操作を行う前に承認を求めさせるか、あるいは特定のツールや対象へのアクセスを制限するかを決定できます。

重要な点として、スコープ、ツールへのアクセス、承認ルールは、AIモデルの解釈に委ねられるのではなく、Burpのツール層で強制的に適用されます。

機能と技術的詳細

• 仮説を立て、セキュリティツールを使用し、結果を解釈し、後続のアクションを判断できるペンテスト向けエージェント型AI
• Burp Suiteとのネイティブ統合により、エージェントが確立されたプロフェッショナルなWebセキュリティテストのワークフロー内で動作可能
• キャプチャされたHTTPトラフィック、対象の構造、発見済みのエンドポイント、既存の問題データを利用したプロジェクト認識型の分析
• PortSwigger Researchと共同開発された、体系化されたセキュリティテスト手法をエージェントに導かせる専用ペンテストスキル
• 設定可能な自律性により、テスターがエージェントに何を調査させるか、何に承認を必要とさせるか、何をブロックするかを指定可能
• AIモデルの意思決定メカニズムとは切り離された、対象範囲・ツールアクセス・承認ポリシーに関するBurp側で強制される境界
• 検証やレポート作成のため、Burpプロジェクト内にリクエスト、レスポンス、アクション、発見内容の記録を保持するエビデンス追跡機能
• 大規模または難読化されたクライアントサイドのコードベースからエンドポイントやワークフローを再構築できるJavaScript解析機能
• ― 人間主導の運用。テスターがスコープ、セキュリティ上の判断、エクスプロイトの検証、最終結論に関する責任を引き続き担う
• ― Burp Suite Professionalユーザー向けにパブリックベータを提供。今後、チームおよびエンタープライズ向けワークフローも計画

PortSwiggerによると、Burp ATは通常のエンゲージメントの制約を超えてしまいがちな、時間のかかるタスクを処理できるとしています。

クローズドベータでのある事例では、あるテスターがシステムに対し、66,000行に及ぶ難読化されたJavaScriptを解析し、参照されているエンドポイントとワークフローを再構築したうえで、機密性の高い機能や未認証のまま利用できる機能を特定するよう依頼しました。この調査により、さらに1年間発見されないままになっていた可能性がある重大な脆弱性が明らかになったと報告されています。

Vulnerabilityassessment service

同社は、Burp ATが人間のテスターに取って代わることを目的としたものではないと強調しています。むしろ、テストのカバレッジを拡大し、未知のアプリケーション領域を探索し、限られたペンテストの時間を奪い合っていたであろう手がかりを検証することを目指しているとしています。

Burp ATは、PortSwiggerによるエージェント型AI統合の第一段階に位置づけられています。今後は、確立されたポリシーのもとでのより自律的なテスト、共有可視性、そして強化された監査機能を備えた、チームおよびエンタープライズ向けの運用モードが導入される見込みです。

ALERT: 20以上の政府系サイトが、企業や市民にマルウェアを配布していました。 攻撃に関する詳細な調査レポートはこちら から確認し、自組織への影響を確認してください。