はじめに

こんにちは。普段はWebアプリケーションの脆弱性診断を行っている田内陸斗です。

2026/08/01～08/06にラスベガスで開催された「Black Hat USA 2026」に参加しましたので、この記事では、私が受講したトレーニングおよび参加したブリーフィングについて紹介します。

会場の雰囲気や全体の流れにつきましては、同じ部から参加した他メンバーがブログを公開しておりますので、そちらをご参照ください。

Black Hat USA 2026 参加レポート | 技術者ブログ | 三井物産セキュアディレクション株式会社

トレーニング概要

今回受講したトレーニングは「AI AppSec Robots: Building Real-World Agents for Application Security」です。

本トレーニングでは、既存のアプリケーションセキュリティ（AppSec）のワークフローを自動化・強化する様々な自律型AIエージェントを実際に構築・活用する方法を2日間かけて学びます。

アプリケーションセキュリティ（AppSec）とは、アプリケーションの設計、開発、テスト、運用において、脆弱性の特定・修正・防止を行うプロセス全体を指します。

近年LLMの発達により、アプリケーションの脆弱性を突いた攻撃が増加し、セキュリティ対策の重要性はかつてないほど高まっています。そんな中、増加する攻撃に対応するために、AppSecのプロセスを効率化することが求められるようになってきました。本トレーニングでは、AIと自動化技術を活用して、アプリケーションセキュリティの課題をどのように解決できるのかを学習することができます。

トレーニングのスケジュール

l  1日目

l  AIについての講義とラボ演習(エージェント・SKILLS・RAG・MCP)

l  AIエージェントを用いた脅威モデリング

l  ２日目

l  AIエージェントを用いたSAST・DAST

l  AIエージェントを用いたKubernetes監査・クラウド(AWS)監査

l  AIを扱う上での注意点(機密情報の管理・サンドボックス化)

トレーニングは講義とラボ演習を繰り返す実践的な形式で進行します。資料が充実しており、詳細なドキュメントや専用サイトからの環境再起動機能が提供されていたため、スムーズに学習を進めることができました。

トレーニング内容

AIエージェントを用いた脅威モデリング

1日目の前半にAIエージェント等の仕組みについて学習後、実際にソースコードから脅威モデリングを行うAIエージェントを動かします。

エージェントは2つの役割に分かれており、まずプロファイリングエージェントがコードの仕様を詳細に分析し、次に脅威モデリングエージェントがそのレポートを元に分析を行います。事前にプロファイリングされたレポートを作成しておくことで、アーキテクチャ図などの仕様書からは特定が難しいデータの流れや隠れたエンドポイント等の脅威も把握しやすくなります。

実際に脅威モデリングエージェントを実行すると、コード上に存在するデータ資産や考えられる脅威やその対策がレポートとして出力されました。

また、RAGを活用して脅威モデリングの結果をOWASP ASVSへ対応付ける演習にも取り組みました。

AIエージェントを用いたSAST・DAST

2日目の午前中は、AIエージェントを用いたSAST（静的解析）とDAST（動的解析）の自動化がテーマでした。

SASTエージェントでは、ソースコードを解析して脆弱性を特定するエージェントを構築しました。従来の静的解析ツールは、パターンマッチングで脆弱性を検出しますが、誤検知が多いという課題があります。

本章では、AIエージェントが静的解析ツールの結果を受け取り、コードの文脈を理解した上で「これは本当に脆弱性なのか」を判断する仕組みを実装しました。また、AST-GREPなどのツールを併用することで、コンテキストの精度向上や実行速度の効率化を図る方法についても学びました。

DASTエージェントでは、実際に動作しているWebアプリケーションに対して、AIが自律的にセキュリティテストを実行する仕組みを学びました。従来のDASTツール（OWASP ZAP、Burp Suiteなど）は事前に定義されたテストケースを実行しますが、AIエージェントは以下のような高度な動作が可能です。

• アプリケーションの構造を自動的に理解
• テスト結果を観察し、次のテスト戦略を動的に変更

演習では、Playwrightというブラウザの自動化ライブラリをMCPサーバ化し、ブラウザを操作可能なエージェントを構築し、巡回->診断を実施しました。今回は時間の関係上、詳細な検証は行いませんでしたが、MCPサーバの有用性をとても実感することが出来ました。

AIエージェントを用いたKubernetes監査・クラウド（AWS）監査

2日目の午後は、Kubernetes環境とAWS環境のセキュリティ監査をAIエージェントで自動化する方法を学びました。

Kubernetes監査エージェントでは、Kubernetesクラスタの設定を分析し、セキュリティ上の問題を特定するエージェントを構築しました。

それぞれ役割ごとに監査人エージェントを用意し、エージェントはkubectlコマンドなどを実行してクラスタ情報を取得し、分析を実行していきました。

AWS監査エージェントでは、AWS環境のセキュリティ設定を包括的にチェックするエージェントを構築しました。

エージェントはAWS API MCPサーバーを使用してAWS環境の情報を収集し、分析を実行します。

演習では、実際に講師が用意したAWS環境（意図的にセキュリティ問題が仕込まれている）を監査しました。

どちらも基本的な設定不備を検出でき、証跡・影響・対策が記載された具体的なレポートが出力されました。実行時間も検証環境では10分程度であったため、手軽に大まかな脆弱性を把握するにはエージェントはとても有用であることが分かりました。

AIを扱う上での注意点

2日目の最後に、AIエージェントをセキュリティ業務で実用化する際の注意点について学びました。

機密情報の管理: AIエージェントがソースコードやクラウド環境の設定情報を扱う際、それらにはAPIキーなどの機密情報が含まれる可能性があります。演習では、機密性の高いエンドポイントやファイルを参照しようとした際にブロックするプログラムを実装しました。ブロックの方法はエンドポイントやファイル名をブラックリスト形式でフィルタリングする方法であり、あくまでも予防的対策のため、最終的には利用者自身で注意する必要があり、さらには他の予防的対策と組み合わせることで多重防御を行うことも重要になります。

サンドボックス化: AIエージェントは自律的にコマンドを実行するため、誤った操作や悪意のある指示（プロンプトインジェクションなど）によって、システムに被害を与える可能性があります。そこで本演習では、nonoというツールを用いてサンドボックス化を行いました。

nono を使ってアプリケーションをラップし、最小特権のセキュリティポリシーを適用することで、ポリシーに違反しているファイルの参照や操作がブロックされ、意図しない命令による被害を抑えることができました。

まとめ

攻撃者・防御者の双方がAIを活用する時代になりつつある中で、脆弱性の発見だけでなく、修正やリスク評価まで含めて迅速に進めることが求められていると強く感じました。設計・開発フェーズでは「脆弱性を作りこまない」仕組みを整え、運用・保守フェーズでは調査や優先順位付けを効率化する。その実現手段としてAIエージェントは今後ますます重要な役割を担うだろうと強く感じています。

ブリーフィング概要

ブリーフィングとは最新の技術や研究成果を、専門家がスライドなどを用いて講演する技術発表セッションのことで、今回は8月5日と6日の2日間にわたって開催されました。

セッションごとにホールが分かれており、どの会場もかなり広めです。また、公式アプリからセッションごとにリアルタイム文字起こしと翻訳を参照することが可能です。会場のマイクから音声を認識しているため、文字起こしの精度も高く、非常に便利でした。

私は以下のセッションを聴講しました。

• Bye Bye AI: How We Hacked the AI Shopping Assistant of a Top 3 US Retailer
• AI and the Future of Cyber Defense Panel
• Attacking and Defending AI Browsers
• No Tools Required: Post-Injection Exploitation Across AI Agent Frameworks
• Pass-the-Passkey Family of Attacks
• CRLF-Powered Desync Attacks: Beheading HTTP Streams
• When AI Attacks AI: Inside the Self-Propagating Botnet Built on Compromised AI Infrastructure
• Chaos by Design: The Death of Stochastic Race Conditions in HTTP/3
• Beyond Detection: What We Learned Testing Every AI Approach to Vulnerability Classification
• ThreatForest: Automated Attack Trees from Source Code
• Beyond Normalization: The Expanding Unicode Attack Surface

今回聴講したセッションはいずれも興味深い内容でしたが、その中でも特に印象に残ったのが「脅威モデリングへのAI活用」と「AIインフラにおける新たなリスク」に関するセッションです。前者は自身の業務にも直接応用できる可能性を感じたテーマであり、後者はAI活用が進む今だからこそ意識すべきリスクを考えさせられる内容でした。

ThreatForest: Automated Attack Trees from Source Code

まず1つ目は「ThreatForest: Automated Attack Trees from Source Code」というタイトルで、AWSの方が開発している「ThreatForest」の紹介になります。

ThreatForestはリポジトリの内容から自動的に脅威モデルと攻撃ツリーを生成するオープンソースツールです。ソースコードだけでなく、PDF文書や設計図なども読み込み、「何をするアプリか」「誰が使用するか」「どのレベルのデータを扱うか」といった情報を元に、攻撃経路や攻撃の分岐を含む攻撃ツリーを生成します。

主に脆弱性の有無のみを分析するSASTツールと比べて、詳細な分析が可能であることや、実際の影響度を担当者が把握しやすいというメリットがあります。また、TTP（Tactics, Techniques, and Procedures）との対応付けも行われるため、「どのような手法で攻撃が発生するのか」をより深く理解・分析することが可能です。

なお、当該ツールはオープンソースでGithub上に公開されています。

aws-samples/sample-agentic-attack-tree-generator: AI-Driven Threat Modeling & Attack Tree Generation with MITRE ATT&CK Integration

帰国後に実際の案件で活用できる可能性があるかを確認する目的で、やられサイト（意図的に脆弱性が埋め込まれたプログラム）であるHackazonを用いて検証を行いました。実際に触ってみて分かった特徴や分析の流れについては、最後の章で紹介します。

When AI Attacks AI: Inside the Self-Propagating Botnet Built on Compromised AI Infrastructure

2つ目は「When AI Attacks AI: Self-Propagating Botnet Built on AI Infrastructure」というタイトルで、AIインフラにおける新しいセキュリティリスクを示す研究報告になります。

本セッションでは「シャドウ脆弱性（Shadow Vulnerabilities）」という概念が提唱されました。これは、CVEが発行されない、開発者によって「仕様である」として却下される、またはドキュメントの免責事項で曖昧にされる脆弱性を指します。これらは技術的には悪用可能であるにもかかわらず、正式な脆弱性として認識されないため、スキャナーが検知せず、セキュリティ担当者も警戒しないという深刻な問題を生み出します。

本研究で取り上げられたRayフレームワークの事例では、「Rayは元々Pythonコードを実行するように設計されている」という理由で、任意コード実行の問題が脆弱性として扱われませんでした。しかし攻撃者は、インターネットに公開された約25万のRayクラスタでこの「機能」を悪用し、AIインフラを標的とした自己増殖型ワームを展開しました。さらに、攻撃コードにはLLMを使って開発された痕跡が見られ、AIを活用したマルウェア開発が実用段階にあることも明らかになりました。

本セッションでは、脆弱性であるかどうか議論の余地があるAIインフラの弱点を軽視することの危険性が強調されました。

脅威モデリングツールを実際に使ってみた

本章の最後に、前段で述べたThreatForestの使用感についても紹介します。

ThreatForestでは、対象リポジトリやアプリケーション情報を設定した後、AIとの対話を通じて分析を進め、最終的に攻撃ツリーの生成や対策案が提案されます。

対象リポジトリの設定

まずは、分析対象となるリポジトリ(フォルダ)を設定します。また、対象アプリの概要や含まれる情報の種類や重要度なども設定することで、対象システム特有の深掘りした分析が可能となります。

対話形式での分析・真偽判定

実行中、ThreatForestは「このアプリは本番環境ですか？」や「当該アプリはどのように使われる想定？」といった質問を投げかけてくるので、利用者はその回答を入力しながら分析を進めていきます。

また、分析途中で検出された脆弱性に対して真偽判定を行いながら分析を進めるなど、誤判定を軽減する仕組みも備わっていました。

対話形式でのやり取り

検出された脆弱性の真偽判定やリスク設定

分析結果の生成(攻撃ツリー)

分析完了後、検出された脅威ごとに、Hackazonの仕様に応じた具体的な攻撃経路がツリー形式で表示されます。「認証は必要か？」「想定される影響(OSコマンドインジェクションであれば機密ファイルの漏えい、Webシェルの設置など)」といった段階的な攻撃手順が可視化され、各ステップにMITRE ATT&CKのTTPがマッピングされます。当該機能は、脆弱性そのものの詳細よりも「その脆弱性を悪用して何が可能か」という点に重点が置かれており、リスク分析などを実施する際に非常に有用な情報となります。

分析結果

 

検出されたOSコマンドインジェクションの攻撃ツリー

分析結果の生成(詳細な緩和策)

各検出事項に対して、優先度付きで複数の対策が提案されます。一般的な緩和策の情報だけではなく、「対象ファイルのn行目のコードに対して××を実施する」といった具体的な実施指針も提示されました。

そのため、開発者は修正箇所の特定や判断に時間をかけずに、迅速かつ的確に対処することが可能です。

OSコマンドインジェクションに対する緩和策

検証で使用したやられサイト: rapid7/hackazon: A modern vulnerable web app

所感

実際に試してみた印象としては、攻撃経路が可視化されることでリスクを直感的に理解しやすく、具体的な対策案まで提示される点は非常に魅力的でした。一方で、分析結果として出力される情報量はかなり多く、今回の検証環境では100件の緩和策が提示されました。そのため、どのリスクから優先的に対応すべきかを判断する際には、依然として専門家による評価が重要になると感じています。

また、今回はやられサイトということもあり、コード内に脆弱性に関する設定ファイルが含まれていたりなど、比較的脆弱性を見つけやすい環境でしたが、それでも単なる脆弱性の列挙に留まらず、攻撃経路の可視化や具体的な緩和策まで提示される点は非常に有用だと感じました。　

最後に

今回のBlack Hat参加を通じて、AIを活用したアプリケーションセキュリティの最新動向だけでなく、開発現場が直面している課題や、AI導入に伴う新たなリスクについても幅広く知ることができました。

普段担当しているWebアプリケーション診断とは異なる視点で学ぶ機会も多く、特に「どの工程でAIを活用すれば効果を最大化できるのか」「逆に人が判断すべき領域はどこなのか」について考えさせられました。AIモデルやAIエージェントの急激な性能向上に可能性を強く感じるとともに、利用者側も結果を鵜呑みにせず適切に評価するといった運用面やリテラシー面の重要性も高まってきていると改めて認識しています。

私自身、ツールや仕組みを活用して業務を改善することが好きなので、今回得た知見を日々の業務へ積極的に取り入れながら、社内の生産性向上などにつなげていきたいと考えています。また、AIをどのように活用すればセキュリティ品質の向上に結び付くのかを引き続き検証し、実践の中で得た知見を還元していきたいと思います。