スパイスファクトリー株式会社（本社・東京都港区、代表取締役社長兼グループCEO・高木広之介）は2026年11月10日、Webアプリ・APIを対象に、AIを使って攻撃経路の探索と攻撃の検証を行う「AIペネトレーションテスト」の提供を始めたと発表しました。「顧客情報が漏えいしないか」「アカウントの乗っ取りから、情報流出やデータ改ざんに被害が広がらないか」といった懸念を具体的な検証につなげ、報告書と改善に向けた助言を提供します。同社は、AI・デザイン・事業開発・PRを統合して企業や行政機関の変革を支援しています。
攻撃側でも進むAIの利用と防御側の検証
同社は背景として、2026年7月31日のサイバーセキュリティ戦略本部の会合で、内閣総理大臣がAIの急速な高度化がサイバー攻撃の脅威をさらに深刻にしているとの認識を示したことを挙げています。また、Anthropicが9月10日に公表した報告書で、取り上げたサイバー攻撃の事例の過半数でAIが攻撃の実行や一連の処理の統括を担っていたと報告していることにも触れ、防御側でもAIを使って自社のシステムに攻撃につながる弱点がないかを検証する具体策の一つが、AIペネトレーションテストだとしています。同社は、AI駆動開発の実践と顧客企業への導入支援で培った経験をセキュリティ検証に生かしました。
ブラックボックスとホワイトボックスの両方式
対象システムや要望をもとに検証内容と実施条件を決め、顧客の許諾のもとで、合意した範囲でAIを使った攻撃経路の探索と検証を行います。ソースコードを参照せずに検証するブラックボックス方式と、ソースコードなどの内部情報を使うホワイトボックス方式に対応します。AIのテスト結果は同社の担当者が確かめ、見つかった問題と想定される影響、検証の証跡をまとめた報告書を提供します。同社はAnthropicのCyber Verification Program（CVP）とOpenAIのDaybreakのパートナープログラムに参加しており、承認された利用条件のもとでフロンティアAIを使います。預かったコードやテストの情報は、モデルの学習に利用しない契約のLLMで扱います。
合意した範囲で探索し未確認の事項も報告
検証は合意した範囲で攻撃経路や悪用の可能性を探るもので、全機能や定義済みの検査項目を一律に検査するものではないため、実施した範囲と、確認できた内容・未確認の事項を報告します。実施環境はテスト環境・ステージング環境を推奨し、本番環境しかない場合は実施の可否を確かめたうえで条件を事前に決めます。重要な機能や気になる箇所に絞った一度のテストから始められ、リリース前や機能追加の時期、月次などの定期的な実施も相談できます。費用と期間は、対象の規模やテスト方式などに応じて個別に見積もります。同社は、AIや検査ツールには見逃し・誤検知があり、問題が検出されなかった場合も安全性を保証するものではないとしています。
脆弱性診断ツールを比べるときに見ておきたい点
編集部では、顧客の懸念に合わせて合意した範囲で攻撃経路を探り、確認できなかった事項も報告書に書く点に注目しています。脆弱性診断ツール/サービスの比較ハブには、ペネトレーションテストやWebアプリケーション診断を扱う製品・サービスが載っています。費用はリリースに書かれていないため、検証に使えるテスト環境があるかと、ソースコードを渡して検証するかどうかを確かめておきたいところです。
出典: スパイスファクトリー株式会社プレスリリース（PR TIMES・2026年11月10日配信）
https://prtimes.jp/main/html/rd/p/000000233.000022779.html