Bugcrowdは、同社のAgentic Offensive Testing製品ラインにおける第一弾となるSavant Pathseekerを発表しました。Savant Pathseekerは、ペンテストのスケジュールに組み込まれた資産だけでなく、外部に公開されているすべてのWebアプリケーションとAPIを継続的にテストできる速度とスケールをセキュリティチームに提供します。それと同時に、検出結果が実際に悪用可能であることを証明するエビデンスも提示します。
セキュリティチームは深さと広さの両方でカバレッジを追求していますが、実際にはどちらも中途半端な結果に終わっています。企業にとって最も重要な資産は、頻度の低い手動ペンテストの間、何カ月も脆弱な状態のまま放置される一方、それ以外の資産は実際のリスクを確認しないまま理論上の欠陥をフラグ立てするスキャナーのノイズに埋もれてしまいます。その間にも、攻撃者はAIを使って継続的に攻撃対象を探っているのに対し、防御側はある一時点のスナップショットに基づいて対応しているため、重大なギャップが生まれています。攻撃者に対抗するには、セキュリティチームは進化する脅威に追随できる可視性を提供する継続的なテストを必要としています。
Savant Pathseekerは、セキュリティチームがこれまで欠いていた継続的かつ深いテスト能力を提供することで、こうしたトレードオフを解消します。スケジュールに組み込まれた資産だけでなく、WebアプリケーションとAPI全体にわたって、より安全でエビデンスに基づいたエージェント型ペンテストを実施します。検出結果には再現可能な悪用可能性の証拠と、監査対応可能なレポートが付属しており、セキュリティチーム、規制当局、監査人が自信を持って対応できるようにします。さらに、真の敵対的判断力が求められる複雑かつ影響の大きい作業については、Bugcrowdのグローバルなペンテスター・研究者コミュニティにオンデマンドでアクセスできます。
Bugcrowdの最高技術責任者(CTO)であるBraden Russell氏は次のように述べています。「全体像の一部しか見えないポイントソリューションでは、もはや十分ではありません。私たちの研究コミュニティは日々、ゼロデイやビジネスロジックの欠陥、アクセス制御の不備といった、自動化やAIだけでは発見できない次世代の重大な脆弱性を見つけ出しています。私たちはSavant Pathseekerを顧客とともに開発し、この人間ならではの強みを軸に設計しました。エージェント型の発見・テスト・検証を一つの場所に統合することで、攻撃的セキュリティのあらゆる層がシームレスに機能するようにしています」
Savant Pathseekerがセキュリティリーダーの即断即決を支えるセキュリティ成果をどのように実現するかは、以下の通りです。
- 専用に構築されたエージェントがWebアプリケーションとAPIを継続的にテストし、露出状況の全体像を作り出すことで、全体的なリスクを低減
- 検出結果は自律的に検証され、単一のプラットフォームを通じて提供されるため、ノイズを取り除き、分断されたワークフローを置き換え、チームは最も重要な事項に素早く注力可能
- 組み込みのガードレールと手動キルスイッチにより、テストは常に定義済みの範囲内に収まり、テストを完全に自社のルールで実施可能
Savant Pathseekerは、Bugcrowdのグローバルなペンテスター・研究者・レッドチームオペレーターのコミュニティが行う作業を拡張するよう設計されています。エージェント型ペンテストは広範かつ継続的なベースラインのカバレッジを提供するため、人間の専門家は複雑なビジネスロジックの欠陥、エクスプロイトチェーン、自動化ツールでは発見できないゼロデイなど、真の敵対的な創造性を要する作業に専念できます。
Savant Pathseekerは、BugcrowdのPenetration Testing as a Service(PTaaS)、Bug Bounty and Vulnerability Disclosure Program(VDP)、Red Team as a Service(RTaaS)、そして攻撃対象領域の監視・スキャン機能に統合されます。チームは、プラットフォーム内の単一のオーケストレーションされた体験の一部として、より深い人間による調査が必要なシステムをシームレスに調査できます。
Enterprise Management Associates(EMA)のリサーチ担当副社長であるChris Steffen氏は次のように述べています。「今日のセキュリティチームは、二つの不十分な選択肢の間で板挟みになっています。資産を何カ月も脆弱なまま放置する定期的な手動ペンテストか、実際に悪用可能かどうかを証明しないまま大量のノイズを生成するスキャナーかです。どちらも、セキュリティリーダーが攻撃者に先手を打つために必要な、継続的でエビデンスに基づいた全体像を提供してくれません」
「エージェント型ペンテストのソリューションが市場に続々と登場する中、真の差別化要因となるのは自動化そのものではなく、そうしたソリューションがエージェントの速度とスケールを人間の専門知識・判断力とどれだけうまく組み合わせられるかという点になるでしょう。AIが継続的なベースラインのカバレッジを担い、人間のペンテスターが機械には再現できない複雑かつ影響の大きい作業に専念する、この点を正しく実現できるプラットフォームこそが、セキュリティリーダーにとって意味のあるリスク低減をもたらすことになります」
Savant Pathseekerは、より大きなBugcrowd Savantのビジョンの一部です。これは、自律型テスト、人間主導のエンゲージメント、攻撃対象領域の可視性を、悪用可能なリスクについての単一かつ一貫した全体像へと統合しようとする取り組みです。Savantは、セキュリティチームに検出結果の長いリストを渡すのではなく、到達可能で連鎖させることができ、最優先で修正すべき対象は何かを示すよう設計されています。
Bugcrowdは、Savant Pathseekerを動かすモデルの学習やチューニングに、顧客やリサーチャーのデータを使用していません。この製品は、Bugcrowd社内の実務者が開発した独自のスキルレイヤーの上に構築された最先端のAIモデル上で動作します。今後のイテレーションに向けて、私たちはHacker Advisory Boardと連携し、AIが研究者の作業を強化できる道筋を見出すとともに、彼らの貢献を認め報いるインセンティブの枠組みを構築することに引き続き取り組んでいきます。詳細は追ってお知らせします。
