【ITニュース解説】Agentic Security Testing Automation: From Vulnerability Discovery to Remediation-in-Loop

現代のIT環境において、システムの安全性を保つためのセキュリティテストは欠かせない。これまでこの作業は、専門知識を持つ人間が時間と手間をかけて行ってきたが、最近、AIエージェントと呼ばれる自律的なプログラムが、このセキュリティテストのやり方を根本から変えつつある。これはシステムエンジニアを目指す皆さんにとっても、非常に重要な変化だ。

AIエージェントは、単なる自動化ツールではない。まるで人間がハッカーのように振る舞い、自ら考えて脆弱性を探し出し、悪用し、さらにはその修正まで提案する能力を持つ。実際に、ある自律型ペネトレーションテスト（侵入テスト）エージェント「XBOW」は、世界中のハッカーが競い合う脆弱性報奨金プラットフォーム「HackerOne」で、人間の専門家を抑えてトップの成績を収めた。このエージェントは1年間で1,060件以上の脆弱性を報告し、その中にはDocker Hubイメージに関する22件のCVE（共通脆弱性識別子）も含まれる。さらに驚くべきことに、その運用コストは人間の専門家のわずか3分の1以下だったという。これは単に速度が速いだけでなく、より複雑な48ステップもの攻撃チェーン（一連の攻撃手順）を組み立てることも可能だった。

AIエージェントの能力は、既知の脆弱性を発見するだけにとどまらない。まだ誰も知らない「ゼロデイ脆弱性」を自律的に発見する事例も生まれている。2025年12月には、あるAIエージェントがIoT機器に存在する、遠隔からコンピューターを自由に操作できてしまう「CVSS 10.0」という最高レベルのゼロデイ脆弱性を、最小限の指示だけで見つけ出し、悪用可能性まで確認した。これは、脆弱性の発見から悪用可能性の検証までの一連のプロセスをAIが完全に自律的に行った、サイバーセキュリティ史上初の出来事だった。

また、既存の脆弱性情報（CVE）が公開された後、それを利用して実際に攻撃が成功するかどうかを確認する「ワンデイエクスプロイト」の分野でもAIエージェントは目覚ましい進歩を見せている。ある研究では、AIエージェントが人間のセキュリティ専門家よりも多くの有効な脆弱性を発見し、その性能が人間の9割を上回る結果となった。しかし、この研究からは、特定の文脈理解や文化的背景、隠れた依存関係といった、ルーティンな技術実行の範疇を超える「最後の5%」の課題が、AIエージェントには依然として難しいことも明らかになった。

AIエージェントが見つけた「潜在的な欠陥」が、必ずしも「実際に悪用可能な脆弱性」であるとは限らないという問題もある。エージェントは多くの可能性を指摘するが、そのすべてが悪用可能とは限らず、誤検知が多い傾向があった。この問題を解決するため、XBOWは発見を担当するエージェントとは別に、独立した検証エージェントを導入する「二層アーキテクチャ」を採用している。これにより、発見された脆弱性が本当に悪用可能であるかを確実に確認し、精度の向上を図っている。

さらに、脆弱性を発見するだけでなく、その修正まで自動化する「レメディエーション・イン・ループ」の取り組みも進んでいる。ある企業では、AIエージェントが年間で38万件以上の脆弱性を完全に自律的に修正し、セキュリティチームや開発チームの作業時間を大幅に削減したと報告されている。この自動修正プロセスは、修正の指針を得て、コードに修正を適用し、複数の層で検証を行い、本番環境に適用可能なパッチを自動生成する。しかし、攻撃側がAIの力で新たな脆弱性をわずか数時間で悪用するようになっているのに対し、防御側がパッチを適用して対策を完了するまでには数日から数週間かかるという非対称性が問題となっている。攻撃と防御のイテレーション（反復）コストに大きな差が生まれているのだ。

このような状況は、「エクスプロイト時間の短縮」という新たなトレンドを生んでいる。CVEが公開されると、それは攻撃者にとってのエクスプロイト（脆弱性を悪用するプログラム）の設計図のようなものになる。AIがその設計図をわずか数分で実際の動作するエクスプロイトに変換できるようになり、セキュリティの脅威がこれまで以上に迅速に現実のものとなる。このため、常に自身のシステム環境でセキュリティ検証を行うことが、組織にとっての重要な対策となる。

AIエージェントによるセキュリティテストの技術的な仕組みを見ると、複数のエージェントが役割を分担して連携する「マルチエージェントオーケストレーションアーキテクチャ」が一般的だ。例えば、偵察を担当するエージェントがネットワーク情報を収集し、計画エージェントが攻撃経路を立案し、エクスプロイト開発エージェントが攻撃コードを生成し、検証エージェントがそのコードの有効性を確認し、レポートエージェントが結果をまとめ、最終的に修正エージェントがパッチの生成まで行う。このように、大規模言語モデル（LLM）をモジュール化して役割を与えることで、タスクの完了率が大きく向上している。

しかし、AIエージェントにはまだ限界がある。ビジネスロジックに深く関わる脆弱性（例えば、認証の回避や権限昇格など）や、環境設定が複雑で不完全な認証情報しか与えられないような状況では、性能が大きく低下する。また、人間の創造的な洞察や複雑な多段階推論が必要な高度な脆弱性の発見は依然として難しい。「最後の5%」のボトルネックと呼ばれる部分だ。さらに、誤検知率も無視できず、人間による最終確認が不可欠な場合も多い。

加えて、セキュリティテストを行うAIエージェント自身が、攻撃の対象となる皮肉な問題も浮上している。メールエージェントのハイジャックや、エージェントの記憶領域に悪意のある情報を注入する攻撃、悪意のあるウェブコンテンツを介してエージェントを操作するプロンプトインジェクションなど、エージェントの脆弱性を突く新たな攻撃手法が報告されている。

コンプライアンスや倫理面でも課題は多い。自動化されたスキャナーを禁止するバグ報奨金プラットフォームのルール、自律的なネットワーク探索が特定の地域の法律に抵触する可能性、そしてAIエージェントが行うテストが人間と同じ法的保護を受けられるのかといった問題がある。自律的なコード修正も諸刃の剣で、意図しない新たな脆弱性を生み出したり、既存の機能を破壊したりするリスクがある。特に金融や医療のような高度に規制された業界では、AIが直接コードを修正すること自体が規制要件を満たせない場合もあり、現在の主流なアプローチは、人間が修正内容を最終的に承認するプロセスを残している。

今後の方向性としては、特定時点でのテストではなく、開発プロセスと同期して継続的に攻撃シミュレーションを行う「継続的攻撃」へと移行していくことが予想される。また、静的なCVSSスコアに代わり、攻撃経路やシステムへの影響、ビジネス文脈を考慮した「動的な悪用可能性スコアリング」が重要になるだろう。修正についても、低リスク環境では完全自律、高リスク環境では人間が意思決定を支援するハイブリッド型が主流となる見込みだ。最終的には、攻撃側のエージェントと防御側のエージェントがサイバー空間で戦い合う「エージェント対エージェントの攻防戦」が新たなセキュリティの常態となる可能性もある。そして、セキュリティエージェントが普及するにつれて、そのエージェント自身の安全性を評価する「セキュリティエージェントのセキュリティ」という新たな専門分野も生まれてくるだろう。

AIエージェントは、すでに実験室の成果にとどまらず、現実の運用環境で数多くの脆弱性を発見し、人間を超えるパフォーマンスを発揮している。しかし、その能力には依然として限界があり、誤検知や特定の複雑な課題への対応能力には課題が残る。この新しいツールが持つ能力の範囲とリスクの範囲を正確に理解し、能力を最大限に活用しつつ、リスクに対しては適切なガードレールを設けることが現実的な道筋となる。サイバーセキュリティの攻防の様相は、ほとんどの人が予想するよりも速いスピードで書き換えられつつあるのだ。