supa、AIエージェントの自動ペネトレーションテスト基盤を提供

supa株式会社は、AIエージェントによる全自動ペネトレーションテスト基盤「supaattack」の提供を始めました。
AIエージェントが攻撃者の視点で対象システムを操作し、脆弱性を検証します。
テスト中に脆弱性を発見すると、Slack通知やチケット起票につなげられます。
推論には、ゼロデータ保持（ZDR）に対応する国内向けLLM推論API「suparouter」を使います。

記事の概要

supa株式会社は、プライベートLLMを組み込んだ「supaattack」の提供を開始しました。
同サービスでは、AIエージェントが攻撃者の視点で対象システムを操作し、ペネトレーションテストを実施します。
テストの完了を待たず、脆弱性を発見した時点でイベントを送信します。
Slackへの通知やチケットの起票により、数時間の実行を待たずに対応へ移れます。
脆弱性の影響や再現手順、修正方針などの情報をまとめて確認できます。
コードの差分や決済機能など、対象範囲を限定したテストにも対応します。
GitHub Actionsなどから定期実行でき、推論には「suparouter」を使います。
推論内容は保存せず、検証結果の本文や証拠は暗号化して保存します。

記事のポイント

1. 発見時点で通知： テストの完了を待たず、脆弱性を発見した時点でSlack通知やチケット起票につなげられます。
2. 対象範囲を限定： コード差分や決済機能など、注目する単位からテストを始め、必要に応じて範囲を広げられます。
3. ZDRで推論： 国内向けLLM推論API「suparouter」を使い、推論内容を保存しないゼロデータ保持で処理します。

このニュースがもたらす影響

• 導入企業： 開発フローに組み込む際は、全体診断の頻度だけでなく、差分や重要機能を起点に、発見から修正までの運用設計を見直す必要がありそうです。
• 診断事業者： 診断結果を最後にまとめて渡す従来型の提供では、検出直後に開発側へ連携する運用との違いを、対応速度や継続性で示すことが求められそうです。
• 開発部門： 脆弱性の検出を開発工程の外部作業にせず、CIやチケット管理と接続して日常化できるかが、AIエージェント活用の判断材料になりそうです。

このニュースの背景

AIの進化によって、サイバー攻撃の手法や自動化が進み、修正パッチの公開から攻撃コードが作られるまでの時間も短くなっています。
年に1回程度の人手によるペネトレーションテストだけでは、最新の脅威への対応が遅れる可能性があります。
認可の不備など、実際にアプリケーションを動かさなければ見つけにくい脆弱性もあり、コードレビューだけでは十分に確認できない場合があります。
一方で外部診断を高頻度で受けるのは難しいため、テストの自動化と定期実行に加え、攻撃手順や脆弱性情報を安全に扱う仕組みが求められています。

関連するニュース

• supaは、AI攻撃を再現するペネトレーションテストを最短即日で開始しました。
• ユーザーローカルが、生成AI上の自社言及を調べるLLMO調査プロンプトの自動提案機能を提供開始しました。
• ポルトは、AIによるアプリ解析とAPI診断を組み合わせたサービスを10月15日に始めます。

詳しい記事の内容はこちらから（引用元）

プレスリリース・ニュースリリース配信シェアNo.1｜PR TIMES

supa.ai、プライベートLLMつき全自動ペネトレーションテスト基盤「supaattack」提供開始

supa株式会社のプレスリリース（2026年11月5日 15時17分）supa.ai、プライベートLLMつき全自動ペネト…