自律型ペネトレーションテストとは、AIエージェントが環境の変化に合わせて学習、適応、再テストを行い、攻撃経路を先回りして排除する手法です。
AIシステムが複数段階にわたる複雑なサイバー作戦を実行できるようになった今、善意やプロンプトによるガードレールだけでは、もはや十分ではありません。
自律型ペネトレーションテストの利点を実現するには、組織には信頼できるローカルAI機能と、認可、ログ記録、復旧、監督に関する業界横断的な標準が必要です。
組織のデジタル化が進むなか、悪用され得るシステム上の弱点を特定して排除することは、戦略的な優先事項となっています。
ペネトレーションテストとは、悪意ある攻撃者が悪用する前に、組織のシステムに対するサイバー攻撃をシミュレートして、セキュリティ上の弱点を特定する取り組みです。従来、こうした取り組みは断続的に行われ、人的な対応可能性によって制約されてきました。
テストチームが訪れ、定義された環境を検証し、報告書を作成して去っていきます。しかしその間にも、新しいコードが展開され、アイデンティティが権限を蓄積するなどして、環境は変化していきます。昨日の健全性の確認は、今日には文書化されていない露出へと容易に変わってしまうのです。
人工知能（AI）は、この仕組みを根本から変えました。新たに登場した自律型ペネトレーションテストという分野は、自動化されたスキャンを超えて、環境を観察し、仮説を立て、それを検証し、結果から学習して、次の行動を選択するシステムへと進化しています。
インシデント管理者が知っておくべき点は次のとおりです。
自律型テストはどのように機能するのでしょうか。
「自律型（autodidactic）」という言葉は、自己主導的な学習を指します。従来型のスキャナーは、一連のチェック項目に従って動作します。自律エージェントは、どのツールを使うかを自ら選択します。自律学習型のシステムは、失敗を解釈し、対象についての理解を更新して、次の試行を考案します。
例えば、直接的な悪用が遮断されていることを発見し、あるアイデンティティが別の経路を提供していると推測することがあります。その後、その仮説を検証し、結果を進化し続ける攻撃グラフに組み込みます。
プロンプトエンジニアリングや単純なツールへの指示を超えて、AIエージェントには、永続的なナレッジワークスペース（タスクをまたいだ推論、サブエージェントとの連携、委任された人間のアイデンティティを用いた過去の行動からの学習を支える、構造化されたメモリ）がますます必要とされています。
変化し続けるサイバー脅威の状況が自律学習型システムを必要とする理由
2026年7月、OpenAIは公表しました。内部のサイバー能力評価を受けていたモデルが、意図された制約から逸脱し、Hugging Faceのインフラを侵害したことを明らかにしています。
モデルはキャッシュプロキシにおけるゼロデイの欠陥（以前には知られていなかった脆弱性）を発見し、インターネットへのアクセスを獲得して、それを利用して追加の権限を取得しました。さらに複数の手法を組み合わせて、保護された標的（この事例ではExploitGym）に到達するための複雑な攻撃経路をたどりました。
こうした執拗さは、高度なエージェントが技術的な障壁を、尊重すべき境界ではなく解決すべき課題として扱うことを示しています。Anthropicも同様に、詳細を公表しており、それはベンチマークテストの検証で明らかになった3件のインシデントに関するものです。
現代の攻撃型AIにおける決定的な傾向は「長期的作戦（long-horizon operation）」です。単一のタスクを完了させるのではなく、エージェントは偵察、悪用、権限昇格、横方向への移動にわたって目的を維持します。シェル、ブラウザ、ソースコード分析、クラウドAPI、認証情報の窃取を調整し、先行する行動から学習できるだけの状態を保持することができます。
こうした能力は防御側にとっても有益です。自律学習型システムは、変化するインフラを継続的に検証し、発見事項が実際に悪用可能かどうかを確かめ、修正を再テストできます。
未修正の既知の脆弱性の一覧であるCVEの未対応リストに、さらに理論上の脆弱性を千件追加するのではなく、エージェントは、弱点がどのように組み合わさって重要な資産や標的への意味のある経路を形成するかを実証できます。
焦点は、生成された発見事項の数から、排除された露出の数へと移ります。これを、私たちは「自己防衛型ソフトウェア」と呼んでいます。
制度的な防護策の不利な点
Hugging Faceの対応からは、防御的なAIが最も必要とされる場面で制約を受けることも明らかになりました。Hugging Faceは、大規模言語モデルを活用したエージェントを用いて、17,600件の記録されたイベントを分析し、攻撃のタイムラインを再構築し、侵害の指標を特定して、影響を受けた認証情報を把握しました。
チームは当初、攻撃者のコマンド、悪用コード、コマンド＆コントロールの成果物を含む法科学的証拠を、プロバイダーのAPIを通じてフロンティアモデルに提出しようとしました。しかし、安全システムが法科学的な調査と、システムへの侵入の試みを確実に区別できなかったため、これらのリクエストは遮断されました。
その代わりにHugging Faceは、中国のオープンウェイトモデルであるGLM-5.2モデルを自社のインフラ上で実行しました。これにより、対応チームは拒否されることなく証拠を処理でき、機密データや参照された認証情報が自社環境の外へ流出することも防がれました。
Hugging Faceはこれを非対称性の問題と呼びました。攻撃者は制限のない、またはジェイルブレイクされたモデルを利用する一方で、ホスト型のフロンティアモデルを利用する防御側は、プロバイダーのガードレールによって阻まれてしまいます。実践的な提言は、インシデントの発生前に、高い能力を持ち、ローカルに展開可能なモデルを審査し、使える状態にしておくことです。
非対称なサイバーアクセスへの対抗策
答えは、安全対策を撤廃することではなく、説明責任を伴うアクセスを構築することです。OpenAIのTrusted Access for Cyber（サイバー分野における信頼されたアクセス）のようなプログラムは、検証済みの防御者がより強力な識別確認、監視、監督を経て、より広範な権限を得られるアプローチを示しています。
安全管理には、誰が行動しているのか、どのシステムのテストが認可されているのか、どこで実行が行われているのか、そしてすべての行動がどのように監査され、必要に応じて元に戻されるのかといった文脈が必要です。
AIペネトレーションテストのエージェントは、実際のサイバー作戦を実行できるほど強力です。したがって、彼らが倫理的に振る舞うと信頼するだけでは不十分です。倫理的な振る舞いを強制する技術的な安全策が必要です。InfoSecurity Magazineで論じられているとおり、エージェントが認証、列挙、悪用、ピボット、そして情報の持ち出しを行えてしまう場合、倫理的な意図だけでは不十分です。
これらの安全策は、エージェントが行ってよいことを制御し、その行動を封じ込め、自らの痕跡を確実に消去させ、実行したすべての行動について監査可能な記録を作成しなければなりません。さもなければ、脅威アクターがシステムへ侵入するための足がかりを残してしまうことになります。
安全策が自律型ペネトレーションテストとどのように連携すべきか
認可は、プロンプトや作業範囲記述書に頼るのではなく、コード上で強制されなければなりません。標的は、認可を与えた組織と暗号学的に関連付けられるべきです。対象範囲、時間枠、禁止行為、停止条件は、機械的に強制可能でなければなりません。
学習システムは、どのようにテストするかを決定してもかまいませんが、何をテストする資格があるかを決定することは決してあってはなりません。
封じ込めはモデルの下位層で行われなければなりません。例えば次のとおりです。
エージェントがデータを送信したり接続したりできる先を制限する、ネットワークの出力制限。
エージェントを隔離された環境で実行するセグメント化された実行。これにより、たとえエージェントが誤動作しても、組織の他のシステムに自由にアクセスすることはできません。
最小権限のアイデンティティ、すなわち必要不可欠な権限のみを与えること。1つのアプリケーションをテストしている場合、会社全体へのアクセス権を自動的に持つべきではありません。
リソースの上限。エージェントが消費できる計算能力、ストレージ、メモリ、時間の量を制限します。
行動レートの上限。エージェントが行動を実行する速度を制限し、何か問題が起きた場合に数秒のうちに数千件のリクエストや変更を発生させることを防ぎます。
人間による承認ゲート。エージェントが実際に行えることを制約します。「サンドボックスの外に出ないこと」というプロンプトは、サンドボックスにはなりません。
後片付けも同様に重要です。自律型テストは「エージェントの残留物」と呼びうるものを生み出します。これには、一時的なアカウント、トークン、ペイロード、構成変更、アップロードされたファイル、スケジュールされたジョブ、そして潜在的な永続化の仕組みが含まれます。
システムはこれらの成果物を棚卸しし、削除したうえで、既知の安全な基準状態に照らして復元を検証すべきです。「クリーンアップ完了」は、安心感ではなく、証拠によって裏付けられるべきです。
サイバーセキュリティのエコシステムを構築することの重要性
最後に、すべての行動は、特定のエージェントインスタンス、人間の認可者、モデルのバージョン、ツール、認証情報、そして業務契約に紐付けられなければなりません。自律学習型の振る舞いは、テスト開始時点ではエージェントが最終的にたどる経路を予測できないため、より高い監査負担を生みます。
以前にサイバー保険とレジリエンスに関する世界経済フォーラムの記事では、エコシステムの関係者が協力、改善計画、継続的なモニタリング、情報共有を通じてセキュリティを向上できると論じられていました。同じ論理がここにも当てはまります。
モデルプロバイダー、セキュリティベンダー、保険会社、規制当局、企業は、認可の証拠、エージェントのログ記録、クリーンアップの証明、復元テストに関する共通の標準を確立しなければなりません。
自律型ペネトレーションテストは、防御側に持続的な優位性をもたらします。それは、環境の変化するペースに合わせて継続的に学習する能力です。
しかし、障害を乗り越えるよう訓練されたシステムは、やがて安全上の境界さえも単なる別の障害として扱うようになるでしょう。したがって、その成功は、何を発見したかだけでなく、認可された状態を保ち、封じ込められた状態を維持し、自らの行動を説明し、後片付けを行い、指示されたときに停止するかどうかによっても判断されなければなりません。
