Evo Continuous Offensive Securityが登場：テストを行わない年間350日をカバーするペンテスト

Black Hat USA 2026で、SnykはEvo Continuous Offensive Securityの一般提供を開始します。自律型のAI駆動ペンテストにより、年に1〜2回のペンテストと、攻撃者が決して手を止めない年間350日とのギャップを埋めます。COSは、つながる防御を導く新たな中核として、今やすべての取締役会が抱く問いに答えます。 自律型AI攻撃にどう備えるべきか？

AIによってソフトウェア開発のあり方が根本から変わったことは、もはや目新しい話ではありません。かつてはリリースまで数日かかっていたコードが、今では数分で完成します。私たちは皆、AIコーディングアシスタントの恩恵を受け、ますます多くの自律型エージェントが開発者と並んで作業するようになっています。しかし、大きな力には大きな責任が伴います。この加速に対処する責任は、セキュリティチームにとって、ようやく向き合い始めたばかりの課題を生み出しています。攻撃者が狙える領域は大幅に拡大し、しかも開発者が高速な開発に使うのと同じ、推論能力を備えたAIを攻撃者も手にしているのです。

課題は、攻撃対象領域が今や3つの側面にまたがっていることにもあります。推論能力を持つシステムでなければ発見できないアーキテクチャ上の欠陥、AI生成コードから漏えいする認証情報、そして開発ライフサイクルに直接組み込まれたモデルやエージェントです。敵対者は今、これら3つすべてを機械的な速度で同時に探っています。

6月、Five Eyes Allianceは、AIによって現在のサイバーセキュリティ能力が数年ではなく数カ月で突破される見通しであり、敵対者が侵入を果たすまでの時間は今や秒単位だと警告しました。Gartnerは、悪用までの時間が2027年までに半減すると予測しています。Snykの最新の企業向けAI導入調査も、内部から同じ実態を示しています。エージェント型開発の加速に、セキュリティプログラムの追跡が追いついていません。こうした脅威から守るには、1つではなく4つの対策が必要です。

本日、Black Hat USA 2026で、SnykはSnyk AI Security Platformをこれまでで最も大きく拡張し、この変化に対応します。製品をひとまとめにするのではなく、組織が安全にイノベーションを進めるために必要な4つのステップを軸とした、つながる防御を提供します。攻撃対象領域全体を発見し、積み上がったバックログを修正し、攻撃者が実際に悪用できるものを検証し、新たなリスクが再び生じるのを防止します。

その中核となるのが、Evo Continuous Offensive Security（COS）の一般提供開始です。AIによって加速する開発のペースに対応する、自律型のAI駆動ペンテストを実現します。これに加え、SnykはAI Security Posture Managementの強化、Evo Agentic Application Securityの初公開、そしてSnyk Secretsの一般提供開始を発表します。これらが連携し、AIで加速するソフトウェアのライフサイクル全体を保護します。ソフトウェアの開発方法、構成要素、そして攻撃のされ方を守ります。

つながる防御：発見、修正、検証、防止

トークンのコストだけで、攻撃者が機械的な速度でアプリケーションを推論する今、つながる防御はもはや最低限必要な対策です。

• 発見：ソフトウェアとAIの攻撃対象領域全体を把握します。モデル、エージェント、MCPサーバー、スキル、ツール、そしてそれぞれがアクセスできる範囲を可視化します。最初のステップを担うのはAI-SPM、AI-BOM、そしてSnyk AI Security Platformです。

• 修正：自律型の攻撃者が人間の対応を上回る速度で対処してしまう前に、積み上がったバックログを解消します。このステップは、Snykのアプリケーションインテリジェンスと自律型修正によって実現します。

• 検証：アプリケーションを継続的に攻撃し、修正が有効であることを確認するとともに、依然として悪用可能な箇所を明らかにし、スキャナーでは見つけられないアーキテクチャ上やビジネスロジック上の欠陥を発見します。このステップを担うのがEvo COSです。

• 防止：人間とエージェントがソフトウェアを書く中で、シークレット、悪意あるパッケージ、新たな脆弱性によってバックログが再び膨らむのを防ぎます。これを担うのがSnyk Secrets、防止ゲート、悪意あるコードへの防御です。

Snykはコード、依存関係、API、AIコンポーネント、開発コンテキストをすでに把握しているため、各機能は互いの精度を高め合います。つながりのないツールをもう1つ追加するのとは違います。これこそが、プラットフォームと単なる製品の寄せ集めの違いです。

課題：攻撃者はスタックの上位層へ移ったが、テストは追いついていない

20年以上にわたり、アプリケーションセキュリティでは、スキャナーが実装レベルのバグを見つけ、人間のペンテスターがアーキテクチャ上の欠陥を見つけるという区分が成り立ってきました。自動スキャナーは前者の検出で非常に優れた能力を発揮し、SQLインジェクション、クロスサイトスクリプティング、設定ミス、コード上で確認できるインジェクションやパターンの問題を発見してきました。ソフトウェアライフサイクル全体で、数百種類の脆弱性を安定して検出できるようになりました。これは確かな成果であり、今後も失われることはありません。

しかし、攻撃者はスタックの上位層へと移り、アプリケーションが何をするように設計されているかを理解しなければ悪用できない、設計レベルの欠陥を狙うようになりました。こうした欠陥はコードではなく、システムの信頼関係に潜んでいるため、スキャンで検出できるシグネチャがありません。具体例を見てみましょう。

• 2019年、First Americanからおよそ8億8,500万件の金融文書が漏えいしました。マルウェアやゼロデイ攻撃によるものではなく、URLの数字を1つ変えるだけで発生しました。すべてのスキャナーは問題なしと判定し、アプリケーションはコードに書かれたとおりに動作しました。ただし、本来はある顧客が別の顧客の文書を読めるはずではありませんでした。

• 2026年1月、研究者はBodySnatcher（CVE-2025-12420、CVSS 9.3）を公表しました。メールアドレス1つだけで、あらゆるServiceNow管理者になりすまし、プラットフォームのAIエージェントを乗っ取ることができました。パスワードはハッキングされず、エクスプロイトコードも使われていません。問題はただ、誤った対象を信頼する設計にありました。

今、攻撃者が悪用しているのはこうした種類の欠陥です。オブジェクトレベル認可の不備（BOLA）、識別子の操作による権限昇格、顧客データを流出させるテナント間の情報漏えい、そして重大度の低い複数の問題を組み合わせてアカウントを乗っ取る、連鎖的なビジネスロジック攻撃などです。長年放置されてきた低・中程度の問題に、新たに見つかった問題が加わり、今や機械的な速度で到達・連鎖される可能性があります。「ユーザーAがユーザーBの請求書を読めてはならない」というスキャナールールは書けません。そのルールは、アプリケーションが本来どう動くべきかに全面的に依存するからです。

こうした欠陥の発見には、常に人間の推論が必要でした。そのため、手動のペネトレーションテストが不可欠とされてきました。手動のペンテストは今も代替できませんが、人間が使える時間には限りがあります。一般的な契約は15日間に及び、費用は2万ドルから10万ドルで、その時点の状況しか把握できません。レポートを提出した瞬間にカバー範囲は終了し、その頃にはアプリケーションはすでに何度もリリースされています。年間でペンテストがカバーするのは、およそ15日間です。残りの350日間には何が起きているのでしょうか？開発は止まらず、攻撃者も止まりません。その期間にリリースされるものはすべて、最も影響の大きいリスクが潜む層で、テストされないままになります。

AIが変えるのは計算方法であり、手法ではない

実際に変わったのは何でしょうか。人間のペンテスターにしかできなかった推論、つまりアプリケーションの意図をモデル化し、それをどう覆すかを考える作業を、十分な能力を持つモデルも再現可能な形で実行できるようになりました。しかもコストは大幅に低く抑えられます。手法は同じですが、経済性はまったく異なります。

その証拠は、すでに大規模かつ公に示されています。2026年半ばまでの1年間に、HackerOneへ報告された有効なAI生成の脆弱性レポートは210%増加し、プロンプトインジェクションの報告は540%増加しました。増加の中心は、スキャナーでは見つけられない、まさに推論を必要とする欠陥でした。20年間続いた推論能力の境界は、徐々に崩れたのではありません。モデルの世代交代とともに、一気に消えたのです。

さらに懸念されるのは、攻撃者も同じタイミングでその境界を越え、すでに攻撃の全工程を担っていることです。2025年後半に公表された、国家支援型のサイバー諜報キャンペーンでは、作戦の最大90%が人間のハッカーではなくAIによって実行されました（Anthropic Threat Intelligence、2025年11月）。

もはや問われているのは、AIがスキャナーの見逃す欠陥を発見し、悪用できるかどうかではありません。あなたのオフェンシブセキュリティテストが、攻撃者より先にそれを見つけられるかどうかです。

Evo Continuous Offensive Security、一般提供開始

Evo Continuous Offensive Securityは、まさにそのギャップを埋めるために開発されました。エンタープライズグレードのAIハーネスを基盤とするAI駆動のペンテスト機能で、アプリケーションの意図を推論し、従来のスキャナーが見逃すアーキテクチャ上の欠陥やビジネスロジックの脆弱性を発見します。しかも、年に一度ではなく継続的に実行されます。

重要なのは、COSが盲目的にテストを行わないことです。Snyk AI Security Platformの一部であるため、既存のSnyk Code、Snyk Open Source、Snyk API & Webの検出結果に加え、Evo AI-SPMからもコンテキストを取得し、AIネイティブアプリのテストに役立つ追加のインサイトを得られます。これにより、すでに検出済みの脆弱性を高コストなモデル処理で再発見するのではなく、既存ツールでは見つけられない欠陥に推論を集中させます。チームがよく言うように、1ドル相当のバグと100ドル相当の欠陥があるなら、なぜペンテストの時間を1ドル相当のバグの再発見に費やすのでしょうか？

この機能は、1つの継続的なオフェンシブセキュリティプログラムとして連携する3つの要素で構成されています。必要な部分では推論を行い、効果が得られる部分を徹底的にカバーし、新たなAI攻撃対象領域に特化して構築されています。

• 攻撃者のように推論する - AI PentestingはCOSの中核です。自らテスト範囲を定め、多段階攻撃を計画し、悪用可能性を検証します。ハーネス内の専門エージェントと各種ツールを統括し、スキャナーや手動テスターが見逃すアーキテクチャ上の欠陥やビジネスロジックの悪用を発見します。確認されたすべての脆弱性には、実行可能な概念実証が付属します。説明ではなく、証拠を提供します。

• AIレイヤーをレッドチームで検証 - Agent Red Teamingは、AIアプリケーションのエージェント型レイヤーに特化しています。偵察によってスタック内のLLMが検出された時点で稼働します。ユーザーのプロンプト --> プロンプトインジェクション --> ツールとエージェントの悪用 --> データ流出という実際の攻撃連鎖をシミュレーションし、シグネチャでは検出できないプロンプトインジェクション、情報流出、目標の乗っ取りを狙います。

• 一般的な脆弱性クラスを網羅 - Dynamic Testing（DAST）は、XSS、SQLインジェクション、設定ミスなどの一般的な脆弱性クラスを対象に、すべてのエンドポイントとインジェクションポイントを徹底的かつ高い再現性でカバーします。誤検知率は0.08%です。推論レイヤーは一般的なバグの検証に時間を費やすのではなく、Dynamic Testingをツールとして実行するため、AIはトリアージではなく欠陥の発見に集中できます。

検出結果は、相互に関係のないアラートの一覧として届くのではありません。認可の欠落とロジック上の欠陥が組み合わさって影響の大きい攻撃経路を生み出す様子を、攻撃者が実際にシステムを分析するのと同じように、つながったエクスプロイトチェーンとして示します。

またCOSは、単純なアプローチの信頼性を損なう問題にも直接対処します。同じAIに、欠陥の発見と確認の両方を任せることはできません。生成したAIが自ら検証者になることはできないのです。自らの検出結果を認定するよう求められたモデルには、構造的な利益相反があり、検証時の動作にも一貫性がありません。そのためCOSでは、検出結果が表示される前に、すべて独立した検証判定エージェントによって確認されます。誤検知率は極めて低く、生のAIツールの約30%と比べても大幅に低い水準です。さらに、実行可能な概念実証と、その根拠となる推論の全過程も付属します。チームは、根拠を信じるしかないアラートを受け取るのではなく、実際に実行できるエクスプロイトを受け取れます。

ここが本質的な差別化ポイントです。正確に言えば、優れたモデルはペンテストではありません。重要なのはモデルではなくシステムです。推論を支えるエンタープライズ向けAIハーネスこそが、自律型の攻撃テストを信頼できるものにします。実行をまたいで維持されるコンテキストとメモリ、本番環境に近い環境でも安全性を保つ制御された実行とガバナンス、再現性、そしてすべての評価に活用されるプラットフォームインテリジェンス。ポイントソリューションは実行のたびにゼロから始まり、メモリも、プラットフォームのコンテキストも、ガバナンスもありません。このハーネスが埋めるのは、そのギャップです。

同じくらい重要なのは、COSが既存のセキュリティエンジンに取って代わるのではなく、それらを補完するという点です。スキャナーは得意とする実装レベルの脆弱性クラスを引き続き担当し、最も高度な判断を要する作業は人間のテスターが担います。COSはその間を埋める、継続的な推論依存のレイヤーとして、アプリケーションが変更されるたびに再検証します。

防御を完成させる：発見、修正、防止

検証は攻撃テストの要ですが、これは一連のサイクルの一手にすぎず、その強さは周囲の要素に左右されます。COSが攻撃者に悪用される可能性を証明できるのは、プラットフォームがテスト対象となる攻撃対象領域全体を発見し、攻撃者に突かれる可能性のあるバックログを解消し、テストの速度を上回るペースで新たなリスクが積み上がるのを防ぐからです。今回の3つの発表がこのサイクルを完成させ、それぞれがCOSの精度を高めます。

発見 - AI Security Posture Managementを強化

発見（AI-SPM）：発見によってCOSが適切な対象に照準を合わせられ、さらにAIネイティブアプリのテストにCOSが活用するAI-BOMやAI-SPMのシグナルも得られます。

見えないものを管理することはできません。しかし、ほとんどの組織は、AIリスクが今まさに存在するレイヤーをまだ把握できていません。Snykは、AI Security Posture Management（AI-SPM）のリスクインテリジェンスを大幅にアップグレードします。モデルリスクの分類体系とスコアリングエンジンを全面的に刷新し、新たにスキルとMCPサーバーのリスク分析をAI-BOM内で直接確認できるようにしました。これにより、エージェントが実際に接続しているすべてのモデル、スキル、MCPサーバーを可視化し、それぞれがもたらすリスクをより的確かつ説明可能な形で評価できます。Snykが新たに公開した調査で明らかになったように、組織が実際に利用するAIの範囲は、モデルの一覧からわかるよりはるかに広く、大半のガバナンスプログラムはその全容を把握できていません。このアップグレードで、そのギャップを埋めます。

修正 - Evo Agentic AppSec：次の展開を先行公開

修正（Agentic AppSec）：修正によって、COSの検出結果を未解決のチケットではなく、解消済みのリスクに変えます。

Snykは、自律型アプリケーションセキュリティのビジョンであるEvo Agentic Application Securityも初公開します。AppSecを、問題の発見から、自律的な修正と防御へと移行させる取り組みです。その柱となるのが、Snykの修正エージェントのCLIおよびADEでのパブリックプレビューです。開発者にトリアージが必要なバックログを渡すのではなく、脆弱性を自動で修正します。また、悪意のあるコードがリリースされる前に検出する新しいマルウェア検出エージェントも初公開します。これはセキュリティの進む方向であり、プラットフォームの次章の始まりです。

防止 - Snyk Secretsが正式リリース

防止（Snyk Secrets）：防止によって、COSが次の四半期に同じ問題を再発見するのを防ぎます。

最後に、Snyk Secretsが正式リリースされました。これは、エージェント型開発ライフサイクル（ADLC）向けに構築されたシークレットの検出・防止製品です。AIが生成するコードによって、認証情報の漏えいは最優先で対処すべき問題になりました。Snyk Secretsは、候補となるシークレットの周辺コンテキストを読み取る独自の機械学習検出エンジンで誤検知を減らし、AIコーディングエージェント、IDE、プルリクエスト、CI/CD全体に防止のゲートを設けます。開発者の作業を止めずに認証情報が本番環境に到達するのを防ぎ、エージェント型ソフトウェアの開発を安全にする自然な仕組みです。

「AI生成コードの量とペースは、私たちの多くが長年続けてきたペネトレーションテストのモデルを根本から追い越しました。継続的なリスクに対して、テストの予定を組むだけでは対処できません。今のソフトウェア開発の実態に追いつく攻撃テストが必要です。理論上の可能性だけでなく、実際に悪用できるものに焦点を当てるための十分なコンテキストを備えたテストです。」、Gabriel Brolo、Yalo、Staff Security Engineer

重要である理由

少し視点を引いてみると、4つの発表は一つのメッセージを伝えています。AIはソフトウェアの開発プロセスのあらゆる部分を加速させると同時に、ライフサイクル全体の攻撃対象領域を拡大しました。AIが書くコード、その構成要素となる認証情報やコンポーネント、組み込まれたモデルやエージェント、そして攻撃者が調査する実行中のアプリケーションです。ポイントツールや特定時点のテストは、より遅く直線的な世界を前提に作られていました。AIによって加速するソフトウェアを守るには、今の開発と攻撃の実態に合わせてテストする必要があります。継続的に、プラットフォーム全体のコンテキストを活用し、脆弱性を発見したモデルとは別のモデルが評価することで、信頼できる結果を提供します。

それが、AIによって加速するソフトウェアのライフサイクル全体を守るということです。どのように作られるか、何をもとに作られるか、そしてどのように攻撃されるかを守ります。

提供状況

Evo Continuous Offensive SecurityとSnyk Secretsは正式リリースされました。強化されたAI-SPM機能は、既存のお客様に現在ご利用いただけます。Evo Agentic AppSecの修正エージェントはSnyk CLIを通じてパブリックプレビュー中で、悪意のあるコード検出エージェントはプライベートプレビュー中です。今すぐデモを予約して、Evoについて詳しくご覧ください。