最新AI
ペネトレーションテスト
こんなお悩みはありませんか
大規模な漏えいが報じられるたびに経営層から点検の号令が出ますが、明確に答える材料が手元にありません。
2026年9〜10月の大量漏えいを受け、国家サイバー統括室・IPA・JPCERT が外部公開資産の精査を一斉に要請しました。
情報源が多すぎて整理が難しく、最新の脆弱性情報を常に把握するのが難しい、という調査結果があります。
定期診断は決まった項目の網羅が目的で、公開直後に悪用される手口や WAF の迂回までは対象になりにくい状況です。
こうした不安は、御社だけのものではありません。公開されたWebが、AIを使う攻撃者に短期間・広範囲で狙われていることは、政府の一斉注意喚起や調査でも確認されています。
脆弱性の公表から攻撃が確認されるまでの日数
2024年は141日。横浜国立大の観測、2026年8月末時点（読売新聞）情報源が多すぎて整理が難しいと答えた担当者
大企業の情シス・セキュリティ担当107人（フューチャー調査、2025年）脆弱性管理を十分に実施できている日本の大手企業
Gartner、2026年7月調査（2026-10-13 提言）攻撃の確認までの日数は年々縮まり、どの脆弱性が自社に関係するかの判断は追いつかなくなっています。本サービスは、その判断を御社に代わって行い、合意した範囲で実際に試します。
サービス概要
攻撃者は、ARTEX・Strix・GLM-5.3・REA といった最新のAI攻撃ツールで、公開された脆弱性や設定の不備を短期間・広範囲に試すようになっています。
HumanHacker は、新しいAI攻撃ツールが世に出るそばから、いち早く攻撃者視点で手を動かして検証し、その手口と防ぎ方を公開しています。ニュースを後追いするのではなく、攻撃の最前線で実際に試す——本サービスは、そこで把握した最新のAI攻撃ツールを使って、攻撃者より先に、公開資産からクラウド・社内システムまでを検証します。
CVE に載っていない、CVSS の優先度が低い、という理由で「自社は対象外」と判断するのが、こうしたAI攻撃ツールを前にすると危うくなっています。使えそうなものを片端から自動で試されるためです。
本サービスは、公開された最新の手口から御社に関係しうるものを選び、攻撃者が使うのと同じ最新のAI攻撃ツールで再現して、公開資産からクラウド・社内システムまで、合意した範囲内で実際に試します。攻撃者のAIを、防御の側で先に使う——それが本サービスです。
外から眺めるだけ（ASM）では、バージョンが不明で脆弱かどうか確定できません。攻撃者は細かい番号を気にせず攻撃コードを打ち込むため、実際に試して確かめることに意味があります。
見つけた弱点は件数ではなく、今日直すべきものに絞って優先順位をつけ、修正後の再検証まで行います。
対象となる資産
対象は、インターネットに公開している資産を入口に、クラウドや社内システムまで——公開Webサイト・Webシステム、公開API、会員・予約・問い合わせなどの入口、VPN・RDP などの公開機器、クラウド環境（AWS・Azure・Google Cloud の設定・権限）、そこから到達しうる社内の業務システムです。まず公開資産を入口に、攻撃者がたどる経路に沿って検証します。
公開Webの保守を制作会社に委託していて情シスが直接管理していない場合は、調整相手と検証してよい範囲を最初に整理します。委託先が開発したシステムの場合も、提供してもらえる資料と範囲を先に決めます。
診断項目
4つの観点で、御社の公開資産を合意した範囲で検証します。網羅的な定期診断とは違い、いま出回っている手口のうち、御社に効くものに絞ります。
| 既知・未掲載の脆弱性 | 認証・アクセス制御 | WAF・防御の迂回 | 公開APIと業務ロジック | |
|---|---|---|---|---|
| 確認内容 | 公開済み・未掲載を問わず、実際に悪用できるか | 認証の回避・権限の昇格・設定ミスが成立するか | WAF 導入済みでも迂回・無害化されないか | アプリ解析からのAPI直接攻撃や業務ロジックの欠陥が成立するか |
| 主な手口 | 公表された攻撃コード、設定不備の連鎖 | 認証バイパス、セッション、アクセス制御の不備 | 閾値回避、エンコード、IP の切り替え | A2B（アプリ解析からのAPI攻撃）、価格・在庫・権限の操作 |
| 主な対象 | 公開Webサイト・公開機器 | 会員・管理・予約の入口 | WAF の保護下にある公開資産 | 公開API・モバイル連携 |
| 成果 | 悪用可否と影響、今日直すものの指定 | 成立した経路と、止めるための設計の指定 | 迂回の成否と、設定で止める箇所 | 悪用の成否と、入力検証・権限設計の指定 |
各観点の確認方法
4つの観点について、確認する内容と進め方を示します。観点は御社の構成と業務に合わせて追加します。
既知・未掲載の脆弱性の悪用可否
公表された脆弱性の攻撃コードが、御社の構成で実際に動くかを確かめます。CVE に載っていない、優先度が低いという理由で放置されがちな弱点も、連鎖すれば悪用できるため対象にします。
- 政府・IPA・JPCERT の注意喚起と公表直後の重大な脆弱性から、実際に悪用が確認されているか（KEV）・悪用の起きやすさ（EPSS）も手がかりに、御社に関係するものを選ぶ
- 合意した範囲で攻撃コードを実行し、悪用の可否を記録する
- 見つけた弱点を、今日・今週・計画的の3段階で優先順位づけ（トリアージ）する
認証・アクセス制御の不備
ログインの回避、他人の権限への昇格、公開してはいけない画面やデータへの到達（IDOR）を確かめます。普通の利用の範囲で越えられる境界から先に試します。
- 認証の回避、セッションの扱い、権限の境界を、通常の操作と不正な操作の対で試す
- 公開してはいけない画面・データ・管理機能に到達できるかを記録する
- 成立した経路ごとに、設計で止める箇所を指定する
WAF・防御の迂回
WAF を入れていても、迂回・無害化されないかを確かめます。今回の大量漏えいでは、閾値ぎりぎりで多数のIPを切り替える手口で WAF が破られた例が報告されています。
- WAF の保護下にある公開資産に対し、エンコードや分割、IP の切り替えで迂回を試す
- 迂回できた場合に本来の弱点が悪用できるかまで確かめる
- WAF の設定で止める箇所と、根本の修正箇所を分けて報告する
公開APIと業務ロジックの悪用
画面の裏で動く公開APIへの直接攻撃と、価格・在庫・権限などの業務ロジックの欠陥を確かめます。画面では防いでいても、API を直接叩くと通る経路が対象です。
- アプリやモバイルを解析し、公開APIを直接呼び出して、権限や入力検証の不備、サーバを踏み台にする欠陥（SSRF など）を試す
- 価格・数量・権限・決済など業務ロジックの操作が成立するかを記録する
- 入力検証・権限設計・サーバ側の検証で止める箇所を指定する
既存の診断との違い
本サービスは、既存の診断や監視を置き換えるものではありません。それぞれ対象と目的が異なるため、補完として組み合わせることを前提にしています。下の表で、何がどう違うかを示します。
| 比べられるもの | その対象・方法 | 本サービスとの関係 |
|---|---|---|
| 既存の脆弱性診断（Web） | 定めた項目を網羅的に点検。年1回の定期と改修時が主。 | 網羅性では既存診断が上。本サービスはいま効く手口に絞る補完で、置き換えではありません。 |
| 従来型のペネトレーションテスト | 専門家が手作業で攻撃シナリオを組み、網羅的に侵入可否を検証。年1回程度・数百万円規模。 | 本サービスも侵入可否を試すペネトレーションテストですが、最新のAI攻撃ツールで手口を再現し、対象を絞って四半期ごとに回すAI活用型。公開直後の手口に短い周期で追従します。 |
| ASM（外部公開資産の継続監視） | 外から公開資産を継続的に見張る。安価。 | ASM は外から見るだけで確定できません。本サービスは見えたものを合意範囲で実際に試す、その次の一手です。 |
| BAS（攻撃シミュレーション） | 最新手法を自動化し、主に社内の防御の効き目を測る。 | BAS は社内の防御の効き目が対象。本サービスは公開資産からクラウド・社内システムまで、攻撃者がたどる経路そのものが対象で、目的が異なります。 |
| WAF・EDR などの製品 | 通信や端末を守る常設の防御。 | 「入れているから大丈夫」が今回の攻撃で破られました。迂回されないかを試すのが本サービスです。 |
網羅的な定期診断は監査や取引先への説明の土台として続けていただき、本サービスはその隙間に出てきた最新の手口を、公開直後に先回りで確かめる役割を担います。
診断の流れ
初回は3〜4週間が目安で、5つの工程で進めます。上の図は各工程の時期を示したもので、黒が HumanHacker の作業、黄緑がAIの試行を含む作業、白枠が御社と共同で行う作業です。
攻撃の手口は数か月で入れ替わるため、本サービスは四半期ごとに繰り返す継続型を基本にします。年1回の定期診断の補完として、公開直後の手口をその都度先回りで確かめます。
各工程の内容
御社が公開しているWebサイト、システム、API、公開機器を洗い出します。ASM や聞き取りで棚卸しし、どこまでを御社が管理し、どこを制作会社や委託先が管理しているかを整理します。保守の委託先がある場合は、検証してよい範囲と連絡経路を先に決めます。
政府・IPA・JPCERT の注意喚起、公表直後の重大な脆弱性、自社の観測記録から、御社の構成に関係しうる手口だけを選びます。関係のない手口は試しません。選んだ手口と、なぜ御社に関係するのかを先に共有します。
対象資産、やってよいこと・やってはいけないこと、実施する時間帯、試行回数の上限、停止条件、緊急連絡先を文書で取り決めます。本番に影響を出さないため、テスト環境を優先し、WAF や IPS を一時的に外す必要がある場合やサービスを止めうる手口は、個別に可否を確認します。
合意した範囲で、攻撃者が使うのと同じ最新のAI攻撃ツールを用い、選んだ手口を再現して実際に試します。試行とログの整理は AI が行い、悪用できたかどうかの判定は専門家が行います。悪用できた弱点は、再現の手順と影響、止めるための箇所を記録します。
経営が可否を判断できる要約1枚と、弱点ごとの記録を納品し、報告会で説明します。弱点は今日・今週・計画的の3段階で優先順位をつけます。御社が修正したあと、同じ手口で再検証（retest）し、直ったものと残ったものを同じ番号で示します。
報告書
納品するのは、経営が「今、何を直すべきか」を判断できる記録です。件数の多さではなく、1枚の要約で可否と優先順位を判断でき、記録で再現と修正ができることを基準に作ります。下は報告書の見本です。
| 優先度 | 内容 | 期限の目安 |
|---|---|---|
| 今日 | 公開APIの認証不備（他ユーザー権限への昇格が成立） | 即時 |
| 今週 | WAF を迂回して管理画面へ到達 | 7日以内 |
| 計画的 | 利用中ライブラリの既知脆弱性（N-day） | 次回更新時 |
※数値・指摘はすべてサンプルです。実際の報告書は御社の構成と検証結果に合わせて作成します。
構成は次の6つです。
御社の実際の構成に合わせた報告書サンプルは、ご相談のうえでお作りします。固い体裁に HumanHacker の配色を残した A4 の形で用意しています。
お見積りと前提条件
着手前に、検証してよい範囲と、HumanHacker が守る段取りを揃えます。公開Webに手を入れる以上、本番に影響を出さないことを最初に取り決めます。
具体的には、対象資産、やってよいこと・やってはいけないこと、実施する時間帯、試行回数の上限、停止条件、緊急連絡先を文書で合意します。テスト環境を優先し、WAF や IPS を一時的に外す場合やサービスを止めうる手口は、政府機関のガイドラインに沿って個別に可否を確認します。
公開Webの保守を制作会社に委託している場合は、調整相手と提供してもらえる資料を先に整理します。情シスが直接管理していない資産でも、関係者への事前の周知と可否確認を揃えてから進めます。
見つかった問題を御社に代わって修正する作業と、AIモデル単体の性能評価は含みません。網羅的な定期診断の代わりではなく、その補完です。
お見積りは、対象資産の数・試す手口の数・検証の範囲・再検証の回数・四半期継続か単発かで決まります。公開資産の構成を拝見したうえで、範囲と金額をご提案します。
よくあるご質問
Q01見つけても、直す人が社内にいません
Q02年1回の定期診断を、既にやっています
Q03WAF や EDR を入れています
Q04うちは、狙われるほどの会社ではありません
Q05本番のシステムに攻撃を試すのが怖いです
Q06大手のセキュリティ会社に頼んでいます
Q07単発の診断はもう古い、と聞きました
診断範囲と進め方の
ご相談
同業の漏えいを受けて自社の公開Webを確かめたい。経営から点検を求められている。最新の手口に自社が対応できているか先回りで知りたい。そうしたご相談をフォームから受け付けています。