スパイスファクトリーは、AIを使ってWebアプリやAPIの攻撃経路を探索・検証する「AIペネトレーションテスト」の提供を開始しました。顧客の許諾と合意した範囲のもとで検証し、担当者が結果を確認したうえで報告書と改善に向けた助言を提供します。
AIペネトレーションテストの概要
AIペネトレーションテストは、Webアプリ・APIを対象に、AIを活用して攻撃経路や悪用可能性を探索・検証するサービスです。顧客情報の漏えいや、アカウントの乗っ取りから情報流出・データ改ざんへ被害が広がる可能性など、顧客の懸念を具体的な検証につなげます。
対象システムと顧客の要望を踏まえて検証内容や実施条件を定め、顧客の許諾のもと、合意した範囲で実施します。全機能や定義済みの検査項目を一律に調べるものではなく、実施範囲と確認できた内容、未確認事項を報告します。
検証方式と報告内容
検証方式は、ソースコードを参照しないブラックボックス方式と、ソースコードなどの内部情報を活用するホワイトボックス方式の両方に対応します。対象システムや提供できる情報に応じて、方式を相談できるとしています。
AIによるテスト結果はスパイスファクトリーの担当者が確認します。報告書には見つかった問題、想定される影響、検証の証跡をまとめ、改善に向けた助言も行います。
Ms.ガジェット提供できる内部情報によって検証方式を相談できるのが、検討時のポイントになりそうです。
AIの利用条件と情報の取り扱い
同社はAnthropicのCyber Verification Program（CVP）と、OpenAIのDaybreakのパートナープログラムに参加していると説明しています。各プログラムで承認された利用条件のもと、フロンティアAIを使ってセキュリティ検証を行います。
預かったコードやテストに関する情報は、モデルの学習に利用しない契約・プランのLLMで扱い、適用される契約・利用条件に従って取り扱うとしています。
Ms.ガジェットコードを扱うサービスなので、学習に利用しない契約やプランという条件は押さえておきたいです。
実施環境・費用と注意点
実施環境はテスト環境またはステージング環境を推奨しています。本番環境しか用意できない場合は、実施の可否を確認したうえで、対象範囲や実施時間などの条件を事前に定めます。
重要な機能や気になる箇所に絞った一度のテストのほか、リリース前や機能追加時、月次などの定期的な実施も個別に相談できます。費用と期間は、システムの規模、方式、範囲や条件に応じて個別に見積もります。
AIや検査ツールには見逃しや誤検知があり、問題が検出されなかった場合も安全性を保証するものではないと、同社は注意を示しています。
Ms.ガジェット本番環境しかない場合は、実施の可否も含めて事前に条件を定める必要があるのですね。
AIペネトレーションテスト 導入ガイド
同社は無料相談を受け付け、対象システムの概要や気になる機能・権限、ソースコードと検証環境の有無、希望時期や予算などを踏まえて実施範囲を案内します。また、テスト方式、報告書の記載項目、進め方と準備をまとめたホワイトペーパー「AIペネトレーションテスト 導入ガイド」を無料で配布しています。
Ms.ガジェット検証の進め方だけでなく、報告書の記載項目も事前に把握できるのが気になります。
- 本記事で使用している画像は、メディアユーザーとしてPR TIMESより提供されたプレスリリース素材を利用しています。
情報流出やアカウント乗っ取りへの懸念を、合意した範囲の検証につなげる点が気になります。