Hello there, ('ω')ノ
2026年、セキュリティ業界は「AIによる自動化」の波に飲み込まれています。 「もう手動の脆弱性診断なんて不要になる」という極端な意見も目にしますが、本当にそうでしょうか？
今回は、話題のAI搭載スキャナー3種の最新仕様とアーキテクチャを徹底調査。ホワイトハッカーの視点で、AIが「得意なこと」と、どうしても「手出しできない領域」を整理してみました。
1. 調査対象としたAIスキャナーの現在地
現在、主流となっている3つのAIアプローチをピックアップしました。
- Snyk (DeepCode AI): 静的解析（SAST）に特化。数兆行のコードを学習したモデル。
- Burp Suite (AI-Augmented Scanner): 業界標準のDASTにLLMを統合。
- Escape (AI-Native DAST): APIの構造をAIが自律的に学習し、ビジネスロジックを突く新興ツール。
2. AIスキャナーが「圧倒的」に進化したポイント
各社のホワイトペーパーや技術ブログを読み込むと、これまでのスキャナーとは次元が違うことがわかります。
- 「意味」を理解したクローリング: これまでのスキャナーはボタンを闇雲にクリックしていましたが、最新のAIは「この入力欄は検索用」「ここは決済用」と文脈を理解して動きます。
- 難読化の突破: JavaScriptで難読化されたパラメータも、AIがその生成ロジックを推論して、適切にペイロードを流し込めるようになっています。
- 低ノイズ: 「コードのこの部分は実際には実行されない」といった判定の精度が上がり、開発者を悩ませた「大量の誤検知」が劇的に減っています。
3. 【本題】AIには見えない「3つの壁」
仕様を深掘りしていくと、人間のホワイトハッカーにしか見えない領域が明確になってきました。
① ビジネスロジックの「意図」の解釈
AIは「コードが正しいか」は判断できても、「サービスとしてその挙動が許されるか」は判断できません。
- 例: 「一般ユーザーが、URLのIDを書き換えるだけで他人の注文履歴を見られてしまう（IDOR）」といった不備。コード自体にエラーはないため、AIはこれを「正常な機能」とみなす傾向があります。
② 複雑な「脆弱性の連鎖（Chain）」
AIは「点（個別のバグ）」を見つけるのは得意ですが、複数の要素を組み合わせて「致命的な一撃」を作るのが苦手です。
- 例: 「権限のないファイルアップロード」と「サーバー側のパス解釈の癖」を組み合わせてRCE（リモートコード実行）に繋げるような、ストーリー性のある攻撃シナリオの構築です。
③ 「未知の未知」への対応
AIの学習データはあくまで「過去の攻撃パターン」です。 発表されたばかりの独創的なゼロデイ攻撃や、その組織固有の特殊な認証フローに対しては、依然として人間の直感と経験が必要とされます。
4. 考察まとめ：AI時代の生存戦略
調査を通じて感じたのは、「AIはホワイトハッカーの代替ではなく、最強のコ・パイロット（副操縦士）になる」ということです。
| フェーズ | AIの役割 | ホワイトハッカーの役割 |
|---|---|---|
| 初期調査 | 網羅的なスキャン、単純バグの排除 | スキャン結果の精査、攻撃面の特定 |
| 深掘り | PoCの雛形作成、コード解説 | ロジックの矛盾を突く攻撃の組み立て |
| 最終報告 | 修正案の提示、レポートの下書き | ビジネスリスクの評価、対策の優先順位付け |
これからのホワイトハッカーに求められるのは、ツールを回す技術ではなく、「AIが『問題なし』と判断した場所から、いかに矛盾を見つけ出すか」という、よりクリエイティブな視点ではないでしょうか。
Best regards, (^^ゞ
