高千穂交易、米XBOWの自律型ペネトレーションテスト製品を国内販売へ

東京都新宿区に本社を置き代表取締役社長を井出尊信が務める高千穂交易株式会社（証券コード：2676）は、米国ワシントン州シアトルのXBOW社とリセラー契約を締結し、自律型ペネトレーションテスト・プラットフォーム「XBOW」の国内販売を開始することを発表した。AIが自律的にWebアプリケーションやAPIへの侵入テストを行い、悪用可能な脆弱性を証拠付きで報告するセキュリティ製品を提供する。企業の開発サイクルに合わせた継続的な検証体制の構築を支援する方針だ。

取扱開始の背景とA2B攻撃への懸念

生成AIやコーディング支援AIの普及によりアプリケーションの開発や更新が加速する一方、攻撃者側もAIを活用して脆弱性の探索と悪用を高速化させている。これにより、年に一度の人手によるペネトレーションテストや既知パターンに基づく脆弱性スキャンだけでは、変化し続ける攻撃対象領域を十分にカバーすることが難しくなっている。

特に、AIを用いてスマートフォンアプリなどを解析し、APIの仕様や認証情報を特定したうえでバックエンドを直接狙う「A2B（App-to-Backend）攻撃」が問題視されている。アプリ、API、バックエンドそれぞれの弱点を組み合わせて成立する攻撃に対し、高千穂交易株式会社は攻撃者視点でシステムを能動的に検証する「オフェンシブ・セキュリティ」領域を強化するため、「XBOW」の取り扱いを決定した。

XBOW社は2024年1月に設立された自律型オフェンシブ・セキュリティ企業である。提供するプラットフォーム「XBOW」は、AIがペネトレーションテスターのようにアプリケーションを調査し、攻撃経路を組み立てて悪用可能性を独立した検証プロセスで確認する。2025年にはバグバウンティプラットフォーム「HackerOne」の米国リーダーボードにおいて、自律型システムとして史上初めて人間のセキュリティ研究者を上回り1位を獲得した。

同社は2026年3月に1億2,000万ドルのシリーズC資金調達を実施し、評価額は10億ドルを超えている。現在は世界200社を超えるセキュリティチームに導入されている。創業者兼CEOのOege de Moor氏は、英オックスフォード大学で教授を務めた後にSemmle社を創業し、コード解析技術「CodeQL」を開発した実績を持つ。同社が2019年にGitHubに買収された後はGitHub Nextを率い、「GitHub Copilot」や「GitHub Advanced Security」を手がけた。De Moor氏は「防御側もそれと同等のスピードで対応する必要があります」とコメントしている。

製品の主な特徴

「XBOW」の主な特徴は以下の通りである。

実際に悪用可能な脆弱性のみを証拠付きで報告し、誤検知を抑制
AIエージェントがエンドポイントや認証フローを自動マッピングし、複数の弱点を組み合わせた攻撃経路まで自律的に検証
従来は数週間かかっていたテストを1～2日程度でオンデマンドに実施可能（対象の規模・範囲により異なる）
WebアプリケーションやAPIからモバイルアプリまで検証対象をカバー
攻撃経路、再現手順、修正方針をセットで提示するレポート機能
テスト範囲の定義や操作ログの記録・追跡によるガバナンス管理（SOC 2、ISO 27001、PCI DSS、NIS 2などのコンプライアンス要件への対応を支援）