Horizon3.aiは、AIを活用したWebアプリケーションペネトレーションテスト機能を追加し、プラットフォーム「NodeZero」を拡張しました。同プラットフォームは、Webアプリケーションを自律的にテストし、アプリケーションの脆弱性、認証情報の窃取、横方向移動、クラウドアクセス、データ漏えいを連鎖させる攻撃経路を特定できるようになりました。
Webアプリケーションは、これまでになく攻撃にさらされやすく、セキュリティ確保の重要性が増しています。生成AIで構築された「バイブコーディング」アプリケーションの急速な普及により、悪用可能な欠陥を抱えたシステムが大量に生まれています。同時に、脅威アクターもAIを利用し、防御側がパッチを適用するよりも速いスピードでこうした弱点を発見し、武器化しています。
Webアプリケーションを単体でテストする従来型のアプローチでは不十分です。なぜなら、Webアプリ自体が攻撃者の最終目的であることはまれで、むしろビジネスへの「玄関口」に過ぎないからです。侵入に成功した攻撃者は、環境に溶け込みながら活動を続けます。彼らは認証情報を窃取し、ネットワーク内を横方向に移動し、クラウド環境へと侵入して、ビジネスにとって重要な機密データへとたどり着きます。
「NodeZero WebApp Pentesting」は、Webアプリケーション、インフラ、クラウド、データ、IDにまたがる、本番環境でも安全に実行できる自律型テストを提供することで、このギャップを埋めます。実際に悪用可能な脆弱性を実証し、各攻撃経路がもたらすビジネス上の影響を定量化したうえで、それらの経路を既知の脅威アクターの手口にマッピングします。これにより、企業は本当に重要な脆弱性を正確に優先順位付けし、迅速に修正できるようになります。
Horizon3のCEOであるSnehal Antani氏は、次のように述べています。「従来型のWebアプリケーションセキュリティツールは、ノイズが多いことで知られています。文脈やビジネスへの影響を欠いた理論上の検出結果でチームを圧倒してしまうのです」
「第一世代のAI駆動型Webアプリペネトレーションテストは、サイバーレンジやCapture the Flag(CTF)ラボ、バグバウンティのリーダーボードでは優れた成績を収めました。しかし、実際の企業の本番システムに対して安全に運用できるようには作られていませんでした。これまで、アプリケーション、インフラ、クラウド、IDにまたがる脆弱性を大規模に連鎖させられる技術は存在しませんでした。そこがNodeZeroの違いです。私たちは、世界で最も大規模かつ機密性の高いネットワークに対して、本番環境でも安全な数十万件ものテストを実行することで『世界最高のAIハッカー』を作り上げました。テストを重ねるたびにシステムは賢くなり、そのエンジンが今や、Webアプリからビジネスへの影響に至るまでを一気通貫で処理します」(Antani氏)
NodeZero WebApp Pentestingが提供する機能は以下の通りです。
- 継続的かつ自律的なテスト:プレプロダクション環境および本番環境のアプリケーションを対象に、NodeZeroの内部・外部・クラウドペネトレーションテストをすでに支えている、本番環境でも安全なエンジンを使用してテストを実施
- 攻撃経路の完全な連鎖分析:SQLインジェクションやアクセス制御の不備といった弱点が、どのようにしてホストの侵害、ドメイン制御、データ漏えいへとエスカレートし得るかを実証
- 悪用可能性とビジネスリスクの証拠提示:ノイズが多く理論上のリスクにとどまる従来型のアプローチとは異なり、正確な優先順位付けと迅速な修正を実現
- OWASP Top 10への対応:従来型のスキャナーでは見逃されがちな複雑なアクセス制御の不備や、現代の攻撃者の実際の手口を反映した認証情報ベースの攻撃手法をカバー
翻訳元: https://www.helpnetsecurity.com/2026/07/31/horizon3-ai-nodezero-webapp-pentesting/
