SpiderSilkがAIベースのスキャナーで外部脅威を追跡

ドバイを拠点とするセキュリティ企業SpiderSilkは、企業に影響を及ぼすインターネット上の脅威をスキャンする際、攻撃者の視点に立ってアプローチしています。

同社のスキャン技術が必要とするのは企業名だけで、顧客側からIPアドレスやドメインの一覧を提供してもらう必要はありません。ツールは数時間以内に数十億件のIPアドレスをスキャンし、漏えいしたデータや資産、システム、侵害された認証情報など、組織が世界に公開するつもりのなかった情報を洗い出します。共同創業者兼最高セキュリティ責任者(CSO)のMossab Hussein氏によると、狙いは外部の視点を模倣し、AI(人工知能)を活用して、明日にも攻撃対象となりかねない弱点を文脈化しながら発見することだといいます。

SpiderSilkのツールは、いわば早期警戒システムです。ハッカーに悪用される前に、公開インターネット上に存在するリスクを企業が発見できるよう支援します。SpiderSilkの調査結果を基に、企業は是正措置を取ったり、脅威を防ぐためにシステムにパッチを適用したりできます。

「多くの組織は、自社のデジタルプレゼンスの何が外部に露出しているのかを把握できずにいました。それがどのような状態で、どんな被害につながり得るのか、手遅れになるまで分からなかったのです」とHussein氏は述べています。

CISOが自社の露出状況を把握すべき理由

外部脅威の管理自体は目新しいものではありませんが、より多くのデータポイントをつなぎ合わせて外部攻撃対象領域を特定できる点で、AIは独自の強みをもたらしているとGartnerでサイバーセキュリティ分野のリサーチ責任者を務めるPete Shoard氏は指摘します。脅威はマシン並みの速度で発生するのに対し、企業側の対応は遅れがちだとShoard氏は言います。CISOはサイバーセキュリティへの取り組みにおいて、受け身ではなく能動的な姿勢を持つ必要があります。

「AI全般の流れによって、文脈をつなげる作業が格段に容易になり、こうした取り組みがより身近なものになっています」とShoard氏は語ります。「12カ月前は、対応の90%が事後対応、10%が事前対応という比率でした。来年か再来年には、事前対応が70%、事後対応が30%という比率に向かうでしょう」

AIへの取り組みの拡大に伴い、「バイブコーディング」が重大なセキュリティ上の脅威となっています。アプリ開発を急ぐあまり、従業員が機密ファイルやパスワード、APIキーといった機密情報を、意図せずGitHubやGitLabなどのリポジトリに漏らしてしまう可能性があるのです。技術的な深い知識を持たない意欲的なビジネスアナリストが、洒落た社内ダッシュボードをバイブコーディングで作成する際、機密性の高いPDFや社内資料がGitHubやClaude Codeにアップロードされていることに気づかないケースもあります。

SpiderSilkの主力製品Resonanceは、企業向けの警告システムとして機能し、GitHubなどのコーディングプラットフォーム上の独自データファイルに含まれる、ドメイン名や企業情報などの露出した資産を検出できます。ResonanceのAI機能はデータを分析・フィルタリング・精査し、「証拠によって裏付けが取れた時点で、直ちに顧客へエスカレーションします」とHussein氏は説明します。

プラットフォームが露出システムを特定

SpiderSilkが外部脅威をスキャンする手法は、自社開発の技術と、Akamaiをはじめとするクラウドプロバイダーとの提携に基づいています。インターネット全体を対象としたスキャンでは、数十億台のサーバーにpingを送るプローブを用います。IPアドレスがpingに応答しなければ、それに紐づくシステムはインターネット上に露出していないことを意味します。システムが接続やハンドシェイクを拒否する場合はアクセスできませんが、それでもサーバーの存在自体が明らかになってしまうため、理想的な状態とは言えません。

最も大きな問題となるのは、システムがpingに応答し、特定のポートでやり取り可能であることが判明するケースです。一部のサーバーは、社内HRシステムのログインページを表示したり、データベースのインデックスを表示したりすることで応答してしまいます。これは、露出したデータベース経由で非公開データにアクセスされる恐れがあるため危険です。HRシステムのログインページが見えてしまうと、ハッカーがデータを盗んだりシステムに侵入したりする一歩手前まで近づくことになります。こうしたデータは誰にでも開かれ、閲覧可能な状態に置かれてしまいます。

SpiderSilkの技術は、ページのコンテンツやコードに加え、ロゴなどの視覚的要素も評価するとHussein氏は説明します。

「それがどのようなリスクをもたらすのか判断できます。社内システムなのか、それともホスティングしている市販ソフトウェアなのか。これが、顧客に警告する前段階となる脅威評価フェーズです」とHussein氏は述べています。

こうした脅威の一例が、意図せずインターネットに露出してしまった社内サーバーです。AIはサーバーをその所有企業に紐づけ、アラートを発報できます。SpiderSilkのツールはサードパーティのセキュリティ運用ツールと連携しており、管理者が対応できるようになっています。

ゼロデイ脆弱性が公表された際には、SpiderSilkは要求に応じて新たなインターネットスキャンを開始できます。脅威レポートはリアルタイムで生成され、顧客の社内システムに送信されて情報提供が行われます。

「問われるべきは『自社に脆弱性があるか』だけではありません。『そのソフトウェアを稼働させている自社のシステムをすべて把握できているか』ということなのです」とHussein氏は言います。

ResonanceのAIエージェントプラットフォームSilkRunnerは、AIエージェントが修正を適用するためのワークフローを構築できます。エージェントは、脆弱なシステムを資産一覧と照合したり、ソフトウェアのバージョンを確認したり、更新手順を確認したりすることで、作業に着手できます。ただし、人間がこのプロセスの重要な一部を担っています。

「『それを適用してよい』と判断したり、逆に却下して差し戻し、内容を精査し直したりするのは人間の役割です」とHussein氏は述べています。

中東発のグローバルプレイヤー

ソーシャルメディア、クラウド、産業システムなど、インターネット上には数多くの攻撃対象領域が存在します。1社のプロバイダーがそのすべてに精通することはできない、とアナリストたちは指摘します。

「現在ではほとんどのセキュリティベンダーが、何らかの形で事前対応型セキュリティプラットフォームを製品ラインナップに組み込んでいます」と、Forrester Researchでセキュリティ・リスク担当シニアアナリストを務めるErik Nost氏は語ります。同氏は、企業のインターネット露出資産を監視する著名な製品として、Palo AltoのExpanseやCrowdStrikeのFalcon Surfaceを挙げています。

Hussein氏によると、SpiderSilkが競合他社と一線を画すのは、独自のAIツールと自社スキャンインフラを持つ点だといいます。また、多くの競合企業が利用するShodanやCensysのようなプロバイダーからデータセットを購入することもありません。独自にスキャンを実施することで、他社が見逃しがちな露出システムや死角を洗い出すことができます。

大手企業と比較すると、SpiderSilkは目まぐるしく変化するサイバーセキュリティの状況の中で迅速に方向転換し、企業や業界ごとのニーズに柔軟に適応できると、J. Gold Associatesの主席アナリストJack Gold氏は指摘します。ただし同氏は、CiscoやCrowdStrike、Wiz、Microsoftといった企業のセキュリティ製品を、企業が容易に置き換えることはないだろうと警鐘を鳴らします。

「SpiderSilkは、大手企業以上に物事を発見し、保護できることを証明しなければなりません」とGold氏は述べています。

中東市場は閉鎖的な傾向があるため、SpiderSilkがこの地域を拠点としていることは正味でプラスに働く可能性がある、とGartnerのShoard氏は言います。ドバイで人材を見つけるのは容易ではありませんが、同首長国は世界的なテックハブとして台頭しつつあり、状況は変わりつつあります。

SpiderSilkは2019年に設立され、現在の従業員数は55名で、収益の約半分を米国から得ています。同社は2025年5月、アラブ首長国連邦政府と関係の深いAI開発企業G42の出資を受けるサイバーセキュリティソリューション企業CPX Holdingに買収されました。

「米国のような偏りのない競争の激しい市場から質の高い収益を示すことができれば、それは製品に価値があることの証明になります」とHussein氏は語ります。「私たちは設立当初からグローバル展開を目指してきました」