AIペンテストとは？その仕組みを解説

既知のパターンに照らし合わせるスキャナーとは異なり、AIペンテスターはアプリケーションが本来どのように動作するべきかを推論し、人間のペネトレーションテスターのように、その意図を覆そうと試みます。ただし、継続的かつ大規模に実行できる点が異なります。このカテゴリーが登場したのは2025～2026年。大規模言語モデルが、ペネトレーションテストに欠かせない推論を実行できるほど高性能になり、年に1～2回ではなく継続的に実施できるコストになったことが背景にあります。

AIペンテストの仕組み

最新のAIペンテスターは、URLを指定して実行する単一のモデルではありません。次の4つの要素を組み合わせたオーケストレーションシステムです。

1. 推論モデルが評価計画を立てます。人間のテスターが案件に取り組むように、偵察、仮説の立案、プロービング、悪用、攻撃の連鎖を実行します。

2. 決定論的ツールに、モデルが十分に確立された作業を委ねます。既知の脆弱性クラスを対象とする網羅的なペイロードテストは、モデルがペイロードをトークン単位で列挙するよりも、動的アプリケーションセキュリティテスト（DAST）エンジンで実行する方が高速かつ低コストです。

3. 独立した検証器は、別のモデルまたはエンジンで構成され、報告前に脆弱性が実際に悪用可能かを確認します。自らの検出結果を自ら認定するようモデルに求めると、構造的な利益相反が生じ、検証結果も不安定になるため、この点は重要です。

4. 対象に関するコンテキストも必要です。優れたシステムは、組織が既存のツールですでに検出した内容を把握し、カタログ化されたバグを再発見するのではなく、推論が必要な脆弱性にコストのかかる処理を集中させます。

出力されるのは、単なるアラートの一覧ではなく、攻撃のストーリーです。個々の弱点がどのように連鎖して攻撃経路を形成するかを示し、理想的には実行可能な概念実証（PoC）と、人間が検証できるモデルの完全な推論過程も含まれます。

AIペンテストがスキャナーでは見つけられないもの

アプリケーションの脆弱性は、発見方法によって次の2種類に分けられます。

• ヒューリスティックで検出できる脆弱性は、パターンや予測可能な応答によって決定論的ツールに検出されます。SQLインジェクション、クロスサイトスクリプティング、設定ミスなどがこれにあたります。スキャナーは、こうした脆弱性を大規模かつ確実に検出できます。

• コンテキストに依存する脆弱性には、明確なシグネチャがありません。「ユーザーAがユーザーBの請求書を閲覧できてはならない」といったルールは、アプリケーションが意図する動作に依存するため、記述できません。この種の脆弱性には、オブジェクトレベル認可の不備（BOLA/IDOR）、テナント間のデータ漏えい、認証の回避、権限昇格、ビジネスロジックの悪用を組み合わせた攻撃などがあります。

AIペンテストは、攻撃者が狙うことが増えており、リリース間にポイントインタイムで実行するツールでは見逃される、後者の脆弱性をカバーします。前者を検出するスキャナーに取って代わるものではなく、シグネチャでは検出できない脆弱性までカバー範囲を広げます。

AIペンテスト、DAST、手動ペネトレーションテストの比較

この3つは相互に補完するものであり、代替関係にはありません。最も効果的なセキュリティプログラムでは、シグネチャで検出できる脆弱性にはスキャナーを、継続的な推論レイヤーにはAIペンテストを、特に高度な判断が求められる作業には人間のテスターを活用します。

「生成したモデルが検証役を兼ねてはならない」理由

AIペンテストの信頼性を左右する最大のポイントは、AIの報告を信頼できるかどうかです。ベンチマークでは、脆弱性の発見と認定を同じモデルに任せると、結果が一貫しないことが示されています。同じ対象を2回テストしても、同じ結論に至るとは限りません。そのため、信頼できるAIペンテストでは役割を分けます。1つのモデルが推論して脆弱性を提示し、独立した検証器が報告前に悪用可能性を確認します。再現できない検出結果は、何も検出できないよりも厄介です。

AIペンテストの信頼性は？（限界とは？）

AIペンテストは専門家の判断に取って代わるものではなく、その能力を増幅するものです。現状を正しく理解することが重要です。

• 難易度の高いタスクでは、自律実行の結果にばらつきがあります。ある自律型レッドチーミングのベンチマークでは、最も高性能なモデルでも全体の課題解決率は61%にとどまり、難易度の高いシステム悪用タスクでは26%を下回りました。

• 検出結果には独立した検証が必要です。未検証のAIツールは、およそ30%の確率で検出結果を幻覚することが確認されています。信頼できない誤検知は、何も検出できないよりも厄介です。信頼できるシステムでは、モデルと報告の間に独立した検証器を置きます。

• 単独のモデルより、オーケストレーションが効果的です。最も優れた結果を生み出すのは、対象に単一のモデルを向けることではなく、推論、決定論的ツール、独立した検証器を組み合わせたシステムです。

要点：AIペンテストは、継続的に実行されるオーケストレーション済みの独立検証システムとして、人間が特に重要な判断に関与する形で利用するのが最も効果的です。

AIペンテストの現状（事例を紹介）

• コーディングエージェントを使った非専門家が、かつては専門知識が必要だった複雑なCTF課題を、1時間以内、1件あたり20ドル未満で解決しました（RAND、2026年）。

• HackerOneに報告された、AIが生成した有効な脆弱性レポートは前年比で210%増加し、プロンプトインジェクションの報告は540%増加しました。

• 最先端モデルを活用したプログラムにより、広く使われているオープンソースソフトウェアから、ファザーでも見つからなかった10年以上前のバグを含む、重大度が高またはクリティカルな脆弱性が数万件発見されました（Anthropic、Mozilla、2026年）。

• 攻撃者も同じ能力を活用し始めています。セキュリティ研究者は、AIの支援を受けて開発された初の実環境でのゼロデイ攻撃を評価しました（Google GTIG、2026年）。

AIペンテストソリューションの評価方法

ツールを比較するときは、次の6つの質問が参考になります。

1. 独立した検証 — 悪用可能性を別のプロセスで確認しますか。それとも、脆弱性を見つけたモデル自身が評価しますか？

2. コンテキスト — 既存のスキャナーが検出済みの内容を把握し、同じバグを再発見するのではなく、新たな脆弱性を探しますか？

3. 継続性 — 変更のたびに再テストしますか。それとも、従来のポイントインタイムスナップショットと同じですか？

4. 検証可能な出力 — 実行可能な概念実証と、監査可能な推論過程を提供しますか？

5. 低い誤検知率 — チームが検出結果を信頼し、対処できるでしょうか？

6. 相互補完 — スキャナーや人間によるテストを置き換えるのではなく、その範囲を広げますか？

たとえば、Snyk's Evo Continuous Offensive Securityは、こうした特長を備えています。独立した検証モデル、Snyk AI Security Platformから得られるコンテキスト、継続的なテスト、そして決定論的エンジンとしてのSnyk API & Web（誤検知率0.08%）を組み合わせています。