CloudbaseがAIペンテスト開始、専門家と重要資産への経路を検証

Cloudbase株式会社は、AIとセキュリティ専門家が連携する「コンテキスト・ドリブン・ペネトレーションテスト」の一般提供を始めました。同社のCNAPPに蓄積された環境情報などをもとに、重要な資産へ到達できる経路を検証するサービスです。

環境情報を手がかりに攻撃経路を検証

本サービスでは、Cloudbaseが管理する資産や設定、脆弱性、SBOMなどの情報を検証の出発点にします。顧客が提供する構成情報やソースコード、スナップショットといった実際の環境に関する資料も活用し、AIが攻撃シナリオを探して検証。その結果について、セキュリティ専門家が妥当性を確認します。 外部からの推測を中心とする方式とは異なり、複数のアカウントやクラウド環境を横断して、重要資産までの到達可能性を調べるのが特徴です。サービスの利用にはCloudbaseの導入が必要で、未導入の企業にはCNAPPとあわせて提案するとしています。提供情報の外側やアクセスできない領域は、確認範囲に含まれない場合があります。

AIの探索を専門家が見極める

AIは広範な探索に加え、攻撃シナリオの仮説づくりや検証を担当します。一方、人の専門家はシナリオの現実性や、業務上のルールに関わる弱点などを判断。実施前には、対象範囲や方法、緊急時の連絡方法を合意書で定め、業務への影響も顧客と確認しながら進めます。 検証では、たとえば開発環境から本番環境へつながる道がないか、重要資産に届く可能性があるかなど、顧客が確かめたい点を整理します。報告書には到達経路や悪用に必要な条件のほか、問題が見つからなかった場合も、その根拠を含めて記載。最終報告は経営層も交えて行い、技術面の結果を経営判断に結びつけやすい形で説明します。標準的な実施期間は約2カ月です。

大手企業での経験を生かし一般提供へ

サービスは国内大手企業への先行提供を経て、一般向けに展開されます。担当チームには、企業のクラウド環境でペネトレーションテストを実施してきた専門家に加え、DEF CON 34のCloud Village CTFで260チーム中2位となったメンバーが参加。同大会では正解した問題の約95％でAIを活用したと説明しています。 Cloudbaseは、クラウド環境の変化に対して年1回のテストだけでは確認が追いつきにくい点や、見つかった脆弱性が実際に悪用可能かを調べる作業が人手に頼りがちな状況を、開発の背景として挙げています。サービスの詳細や相談は専用ページで案内。提供開始にあわせ、Security Days Fall 2026の大阪会場と東京会場では、AI時代のセキュリティなどをテーマにした講演も予定されています。

編集者コメント

AIによる探索だけで完結させず、専門家が検証内容を判断し、問題が確認されなかった場合も根拠を示す点が本サービスの要所といえそうです。クラウドの資産情報を生かした検証が、企業のリスク判断にどう役立つのか注目されます。