Noveeは、自社のAIペネトレーションテストプラットフォームをモバイルアプリケーションにも対応させたと発表しました。この拡張により、Noveeは現代のアプリケーション攻撃対象領域全体をカバーする、業界初の総合的なAIペンテストプラットフォームとなり、継続的かつ自律的なテストを提供します。同プラットフォームは、Webアプリ・APIに加え、デスクトップアプリ、AI・LLM対応アプリケーションもテスト対象としています。
Noveeは、モバイルペンテストを定期的な評価から継続的なセキュリティ実践へと変革します。ユーザーはモバイルアプリケーションパッケージをアップロードするだけで、他のアプリケーション資産に関する検出結果と合わせて、数時間以内に結果を受け取れます。
Noveeの共同創業者兼CTOであるOmer Ninburg氏は次のように述べています。「攻撃者は、組織がアプリケーション資産の間に引いた境界線を尊重しません。彼らは最も弱い侵入口を探し出し、そこから接続された環境全体を横断して機密データにたどり着こうとします。モバイルアプリは、Webフロントエンドからは見えない機能やバックエンドAPIを露出させている場合があります。Noveeが20のAndroidアプリを対象に行った調査では、こうした連鎖的な攻撃手法が顧客環境内で十数回も繰り返し見つかっています。セキュリティチームは、モバイルクライアントを単独のソフトウェアとして評価するのではなく、実際の攻撃者がそうするように、これらの接続関係をテストする必要があります」
同プラットフォームは、静的解析とライブランタイムテストを組み合わせることで、アプリケーションが実際にどのように動作しているかを把握します。Noveeはパッケージをリバースエンジニアリングし、従来のスキャンでは見逃されがちな侵入口を洗い出したうえで、完全に計測環境が整った状態でアプリケーションを実行し、その挙動、ネットワークトラフィック、ローカルに保存されたデータを解析します。このアプローチにより、暗号化されたトラフィックやピン留めされたトラフィックの裏に隠れがちな機能やバックエンドとの接続関係を明らかにできます。
各評価は、OWASP Mobile Application Security Verification Standard(MASVS)およびMobile Application Security Testing Guide(MASTG)に準拠してマッピングされます。検出結果には、悪用の証拠と再現手順に加え、アプリケーションスタックに応じた修復方法が含まれます。修正が行われると、Noveeは自動的に再テストを実施し、リスクが解消されたことを確認します。
新たな調査でモバイルテストの有効性を実証
Noveeのモバイル向け継続的AIペンテストは、セキュリティ調査によって裏付けられています。Noveeの研究者は、Android WebViewにおいて7件のUniversal Cross-Site Scripting(UXSS)脆弱性を手作業で発見した後、その根底にある攻撃パターンを体系化し、同プラットフォームを使って20件の追加Androidアプリケーションをテストしました。その結果、Noveeは追加のUXSS脆弱性に加え、これとは別に重大なアカウント乗っ取り脆弱性を発見しました。
この調査により、ネイティブコードがWebコンテンツに情報を送り返す際、元のページがまだ読み込まれた状態にあるかどうかを確認しないことで生じ得るセキュリティ上の欠陥が明らかになりました。Noveeは現在、こうしたオリジン検証の欠落、ナビゲーションの脆弱性、ブリッジ認証の問題について、すべてのモバイル評価の一環としてAndroidアプリケーションをテストしています。
モバイル向け継続的AIペンテストは、Noveeの既存プラットフォームの一部として現在提供されています。
Black Hat USAでチームに会おう
Noveeの受賞歴を持つ攻撃的セキュリティソリューションについて詳しく知りたい方へ。Noveeの研究者はBlack Hat USA 2026で2つのBriefingsセッションを担当予定です。参加者の皆様はブース#5323にもぜひお立ち寄りください。共同創業者とのより詳細なディスカッションはこちらから予約できます。
Black Hatに参加されない方は、Noveeのペネトレーションテストプラットフォームのライブデモをご覧ください。
翻訳元: https://www.helpnetsecurity.com/2026/07/30/novee-ai-penetration-testing-platform/
