SYZD Research合同会社（本社・北海道札幌市）は2026年11月10日、脅威インテリジェンスに基づく「攻撃者エミュレーションサービス」の提供を始めました。実際に観測された攻撃者の基盤・ツール・手法を顧客の環境に合わせて再現し、既存のセキュリティ対策がどこまで機能するかを検証するセキュリティアセスメントサービスです。主にAIを活用する個人・小規模な攻撃者を想定し、WebアプリケーションやAPIなどを起点とした初期侵入から、侵入後の権限拡大、横展開、重要情報へのアクセス、情報窃取の模擬までを、合意した攻撃シナリオに沿って検証します。同社は2026年9月に設立された、ブラウザ、OS、サーバー基盤、AI推論基盤などの脆弱性研究を行うセキュリティ研究開発企業です。
AI利用型のペネトレーションテスト基盤の悪用
同社は背景として、2026年10月7日にCrowdStrikeが公表した韓国の金融機関を標的とした情報窃取事案の調査結果で、攻撃者が管理するサーバーからAIを活用するペネトレーションテスト基盤「ARTEX」の設定ファイルなどが確認されたことを挙げています。JPCERT/CCも10月23日に更新した注意喚起で、ARTEX、Cairn、CyberStrikeAIといったAI利用型のペネトレーションテスト基盤が攻撃に悪用されていると報告しました。同社は、これらは異なる観測に基づくもので、すべてが同一の攻撃者による活動ではないとしたうえで、従来の攻撃手法にAI支援型の基盤を組み合わせた攻撃がすでに実環境で使われているとしています。
同社は、実際の攻撃は複数の手法を組み合わせるため、個々の脆弱性の把握だけでは十分とは言えないと説明しています。
独自基盤で再現する攻撃を選び段階ごとに記録
独自の脅威インテリジェンス基盤『SYZD-INTEL』で、攻撃者の活動傾向や攻撃目的といった戦略面の情報と、攻撃基盤・ツール・実行手順などの技術面の情報を照合し、対象の環境で再現する攻撃を選びます。検証では、攻撃が成立した箇所のほか、既存の対策で阻止できた箇所や侵入後に到達できた範囲も確かめ、結果を実際の操作記録とともに評価報告書にまとめて、優先して改善すべき対策を示します。
大規模なレッドチーム演習やTLPT（脅威ベースのペネトレーションテスト）とは異なり、主に個人・小規模の攻撃者を想定し、焦点を絞った攻撃シナリオで耐性を評価します。同社は、自社でSOCを運用していない企業や、セキュリティ監視・運用を外部に委託している中小企業でも、現実の攻撃に対する自社の耐性を具体的に把握できるとしています。
事前の合意と5つの工程で進め料金は20万円から
進め方は、検証目的・対象範囲の合意、脅威分析・攻撃シナリオの設計、攻撃環境の構築、攻撃の再現検証、耐性評価・報告の5工程です。調査や検証にはAIや各種ツールを使いますが、最終的な評価結果は担当リサーチャーが記録を確かめて確定します。着手の前に対象システムの所有者・管理権限を確かめ、実行する操作、想定される影響、禁止事項、停止条件などを合意します。
料金（税込の基本価格）は、限定的な攻撃シナリオを検証する「ライト」が200,000円、攻撃シナリオに基づいて耐性を評価する「スタンダード」が400,000円、複合シナリオで侵入後の到達まで評価する「アドバンスト」が600,000円からです。攻撃基盤の構築や対象環境の規模などに応じて個別に見積もります。
脆弱性診断ツールを比べるときに見ておきたい点
編集部では、攻撃が成立したかどうかに加えて、どの段階で既存の対策が働き、侵入後にどこまで到達できたかを記録として残す点に注目しています。脆弱性診断ツール/サービスの比較ハブには、Webアプリケーション診断やペネトレーションテストを扱う製品・サービスが載っています。料金は対象の範囲や検証内容に応じて見積もられるため、自社で守りたい重要情報と、検証の対象にできるシステムの範囲を確かめておきたいところです。
出典: SYZD Research合同会社プレスリリース（PR TIMES・2026年11月10日配信）
https://prtimes.jp/main/html/rd/p/000000001.000193314.html