高千穂交易株式会社は2026年10月23日、XBOW社とリセラー契約を締結し、自律型ペネトレーションテスト・プラットフォーム「XBOW」の国内販売を始めると発表しました。SaaSを自社で開発・運用する企業にとって、変更やリリースに合わせて攻撃者視点の検証を行う選択肢が増える動きです。
XBOWは、AIがWebアプリケーションやAPIへの侵入テストを自律的に実行し、実際の攻撃者と同じ手法で悪用可能な脆弱性を証拠付きで報告するプラットフォームです。高千穂交易は、防御・検知に加え、攻撃者視点で能動的に検証するオフェンシブ・セキュリティ領域を強化する目的で取り扱いを開始します。
開発速度に伴う攻撃対象領域の変化
生成AIやコーディング支援AIの普及により、アプリケーションの開発・更新は加速しています。高千穂交易はリリースで、攻撃者側もAIを活用して脆弱性の探索と悪用を試みている状況を課題として挙げています。
年1回の人手によるペネトレーションテストや既知パターン中心のスキャンだけでは、変化を続ける攻撃対象領域を十分に捉えにくいとされています。
懸念される手法の一つが、スマートフォンアプリなどをAIで解析し、APIの仕様や認証情報を特定したうえで、アプリを介さずAPIやバックエンドを直接狙うA2B（App-to-Backend）攻撃です。アプリ、API、バックエンドの弱点を組み合わせる攻撃経路は、開発やリリースのたびに変わり得ます。
脆弱性を一覧化するだけでなく、実際に攻撃が成立するものを見極め、修正の優先順位を付ける必要があります。こうした検証を行う製品やサービスは、脆弱性診断ツール/サービスのカテゴリで比較できます。
XBOWが示す自律検証の仕組みと範囲
XBOWでは、対象のURL、仕様書、APIドキュメントを渡すことで、エンドポイントや認証フローを自動でマッピングします。複数のAIエージェントが並行して攻撃を試み、単体の弱点だけでは見落とされがちなアタックチェーンも検証対象とします。
独立した検証プロセスで再現性と悪用の成立を確認し、証拠付きで報告する点が特徴です。
レポートには攻撃経路、再現手順、修正方針がセットで記載されます。Webアプリケーション、API、バックエンドにまたがるリスクを確認でき、検証対象はモバイルアプリまで広がっています。組織側でテスト範囲を定義できるほか、実行したすべての操作を記録・追跡できるため、SOC 2、ISO 27001、PCI DSS、NIS 2などの要件に必要な検証と証跡の取得も支援します。
従来は数週間を要していたペネトレーションテストを1〜2日程度で実施可能とし、変更やリリースのたびにオンデマンドでの検証が可能とのことです。実施期間は対象の規模・範囲により異なります。
SaaS導入で確認したい運用上の視点
SaaSやWebサービスの導入・開発部門では、診断結果を受け取るだけでなく、開発チームが修正につなげられる運用設計が必要です。検証の対象範囲、リリース前後の実施タイミング、再現手順を受け取った後の対応担当を事前に定めることが、継続利用の前提になります。
高千穂交易は、WebアプリケーションやSaaS、スマートフォンアプリを自社で開発・運用するIT・SaaS企業を中心に、製造業、金融・保険業、小売・EC業界へ提供する方針です。既存のセキュリティ製品や運用サービスと組み合わせ、2030年度までに100社への導入を目指します。
リリースによれば、XBOW社は2024年1月設立で、2025年にはHackerOneの米国リーダーボードで自律型システムとして初めて人間のセキュリティ研究者を上回り1位を獲得したとしています。2026年3月には1億2,000万ドルのシリーズC資金調達を実施し、世界200社を超えるセキュリティチームに導入されているとのことです。
編集部としては、攻撃者視点の検証を開発サイクルへどう組み込むかが、導入判断の焦点になると考えます。検証速度だけでなく、対象範囲の統制、証跡の管理、修正体制まで含めて評価したい製品です。
出典: 高千穂交易株式会社プレスリリース（PR TIMES・2026年10月23日）