自律型ペネトレーションテストを実現するサイバーセキュリティAIのTenzai、AIハッカーが世界的ハッキング競技で上位1％に到達

Tenzaiは、自律型ペネトレーションテストAIエージェントを開発するAIネイティブなサイバーセキュリティ企業として、自社のAIハッキングシステムが世界的に知られる6つのハッキング競技で上位1％に入る成績を達成したと発表しました。これらの競技は本来、人間の参加者向けに設計されたものであり、自律型AIシステムがこの水準の結果を示したのは初めてだとしています。これまでにもAIセキュリティツールがバグバウンティ競技や学生向けハッキング課題で成果を示した例はありましたが、今回の結果は、より高度な攻撃技術を評価するエリート級のCapture-the-Flag環境において達成された点が特徴です。TenzaiのAIエージェントは、websec.fr、dreamhack.io、websec.co.il、hack.arrrg.de、pwnable.tw、LakeraのAgent Breakerを含む6つの主要CTFプラットフォームで、複雑な脆弱性課題を継続的に解き、参加者の99％以上を上回ったとされています。

Capture-the-Flag競技は、実践的なハッキング能力を測る手段として広く利用されています。参加者は複雑なシステム内に存在する実際の脆弱性を見つけ出し、悪用しなければならず、上位に入るのは通常、経験豊富なセキュリティ研究者やプロのペネトレーションテスター、バグバウンティハンターです。企業が独自に設計したベンチマークとは異なり、こうした競技には個人の専門家が独立して参加しているため、人間の実力と比較する上で意味のある指標になりやすいとされています。

Tenzaiは、人間の専門家との比較が意味を持つようにするため、数万人規模の参加者を抱える大規模競技や、段階的に難易度が上がる課題、さらにAIエージェントに対するセキュリティ問題を扱うAgent Breakerのような特殊環境を含めて評価を行いました。これらの競技の多くでは、解答に関する詳細なwriteupが制限されており、TenzaiのAIハッカーの学習データにその答えが含まれている可能性は極めて低いと同社は説明しています。こうした環境で高順位を獲得するには、単なる自動スキャンだけでは不十分です。競技には限られた数の課題があり、難易度と得点価値が上がるにつれて、上位に入るには極めて複雑な脆弱性を発見し、悪用する必要があります。歴史的に見ても、そのような問題を解けるのは少数の参加者に限られてきました。TenzaiのCEO兼Co-founderであるPavel Gurvichは、現時点で同社のエージェントは、こうした競技に参加する人間の約99％より高い性能を示していると述べています。その対象は125,000人以上の人間の専門家に相当するとしています。

一方でPavel Gurvichは、なお一部の卓越したハッカー集団は現在のAIシステムを上回っており、その差を埋めることは今後の重要な課題だと認めています。ただし、すでにAIによって、これまで一部の高度な専門家に限られていた攻撃的セキュリティ能力を、企業が必要な時に必要な規模で利用できる時代に入りつつあると強調しています。Tenzaiのシステムは、認証回避、不適切な直接オブジェクト参照であるIDOR、複雑なアプリケーションロジックの欠陥、複数段階にまたがる攻撃チェーンなど、多様な脆弱性クラスに対応する能力を示しました。今回解いた課題の多くでは、同一システム内の複数の弱点を組み合わせて悪用する必要があり、これは実際の攻撃でもよく使われる手法ですが、自動化が難しい領域です。Tenzaiによると、自社のAIエージェントは大規模スキャンや総当たり探索に依存するのではなく、アプリケーションの挙動、認証、信頼境界、システム間の相互作用を推論しながら、微妙な脆弱性を見つけ出しているといいます。

今回の結果は、AIシステムがこれまで一部のエリート人材だけが到達していた攻撃的セキュリティ能力に近づきつつあることを示唆しています。企業にとって重要なのは、その能力をスケールできる点です。高技能のペネトレーションテスターは依然として希少であり、通常は限られた頻度でしか関与できません。これに対して自律型エージェントは、アプリケーションが変化するたびに継続的にテストを行い、新しいリリースやシステム更新をより高頻度で評価できます。その結果、企業はコンプライアンス検証サイクルを短縮し、より多くのアプリケーションにセキュリティテストを広げ、複雑な脆弱性を開発の早い段階で発見しやすくなります。Tenzaiは、高度な攻撃推論と継続的な自動化を組み合わせることで、現代のソフトウェア開発速度に合わせたセキュリティテストを可能にすることを目指しています。

Tenzaiについて
Tenzaiは、企業がより安全なソフトウェアを提供できるよう支援するため、自律型AIハッカーを開発するAIネイティブなサイバーセキュリティ企業です。同社のプラットフォームは、エンタープライズシステム全体に対して継続的に脆弱性と悪用経路を探索し、アプリケーションを能動的にテストします。2025年にPavel Gurvich、Ariel Zeitlin、Ofri Ziv、Itamar Tal、Aner Mazurによって設立され、Greylock Partners、Battery Ventures、Lux Capitalなどから$75Mのシード資金を調達しています。