Aikido Attack

Aikido Attackの中核は、創造的な人間のテスターのように振る舞うAIエージェントの一群だ。データベースとパターンを照合するだけではない。アプリを探索し、どこで破れるかについて仮説を立て、その箇所を悪用しようとする。スキャナが四百件の問題を挙げ、そのうちどれが本当に重要かを疑問に思ったことはないか。このエージェントは、小さな弱点をつなぎ合わせ、ある連鎖が価値あるものへ届くまで攻めることで、その問いに答える。忍耐強い攻撃者が丸一日かけて標的を攻めるのと同じやり方だ。結果として、誤検知は減り、誰かが実際にたどれる本物の攻撃経路に対応する発見が増える。

数週間ではなく数時間で、SOC2やISO27001の形式に沿った完全なPDFレポートが手に入る。この処理時間は、ペネトレーションテストを使える人を変える。もはや四半期先に予定する年に一度の行事ではない。商談やローンチが求めたときに走らせられるものになる。つまりセキュリティの話は、ロードマップ上の妨げではなくなり、午後一つで片付くチェック項目になる。

発見事項を修正した後、すぐに再テストを開始し、修正が保たれる確認を得られる。これは多くのチームが悩むループを閉じる。従来のペネトレーションテストでは、問題を直した後、元のベンダーが戻って検証するまで何か月も待つ。しかも多くの場合、追加費用がかかる。修正を出荷してからそれが機能することを証明するまでのこの空白こそ、退行が潜む場所であり、何か月ではなく数分でそれを閉じることは、人々が信頼するセキュリティプロセスと、静かに無視されるプロセスの違いになる。

攻撃する前に、Aikido Attackはあなたが露出しているものを描き出す。APIエンドポイントと、より広い攻撃対象領域を浮かび上がらせる。忘れてしまったかもしれないシャドウAPIも含む。見えないものは守れない。文書化されていないエンドポイントは、多くの実際の侵害の出発点だ。

Aikido Attackは、プラットフォームのDASTと並んで存在する。DASTとは、ソースコードを読むのではなく、稼働中のシステムに対して実行されるライブアプリのテストだ。つまり、CIで走らせる静的チェックと、ここでの能動的な悪用テストが同じシステムに流れ込む。コード水準の警告と、どれが悪用可能かの証明を、どちらも得られる。

このサービスは読み取り専用のアクセスで対象に対して動く。Aikidoはデータが共有されないと述べている。自動化ツールを本番環境へ向けることに不安を感じるチームにとって、これはハードルを下げる。また、出会ったばかりのツールに長期間有効な認証情報を渡さずに済むということでもある。セキュリティチームはまさにこの理由で新しいツールを止めがちであり、範囲を絞った読み取り専用の接続は、導入が頓挫する前に反対意見を取り除く。