📰 今日のZenn記事
元記事：AIペネトレーションテストツール「Strix」を試してみた（Zenn）
著者が、AIエージェントが自律的にWebアプリを攻撃して脆弱性を探すOSSツール「Strix」（ストリックス）を自作のデモアプリで試した記事です。ペネトレーションテスト（侵入テスト。攻撃者の目線で穴を探す検査）の役割をAIが担います。Strixは偵察・攻撃・検証を分担する複数のAIエージェントが協力し、見つけた怪しい点は実際にリクエストを送って再現できたものだけ報告します。ソースコードを渡さず、URLだけで診断した結果、OSコマンドインジェクションなど6件を検出しました。費用は約30分で約20ドルかかったと書かれています。一方で、画面にリンクされていない機能は見つけられなかったことも示されています。対策として、調査観点を指示文で具体的に伝えるか、ソースコードも渡して診断する方法を挙げています。
正直、すごく面白いというよりは、わりと疑いの目線で読みました。まず、Strixの精度がどのくらいなのかが分からない。AIのモデルは高度なハッキングは基本的に断るはずなので、実際どのレベルまで動いてくれてるのかも分からないかなと。記事にもGPT5.4で動かしたと書いてある。めちゃめちゃ古いモデルですね。
また、オープンソースソフトなので、本物のハッカーの攻撃に比べたら、だいぶ手心が加えられた状態なんじゃないかとも思います。
それでも、自作のアプリにかけて早速6件見つけているのは優秀ですね。約20ドルは正直けっこう高いなと思いますが、穴が見つかるなら安いコストなのかなと。ただ、オープンソースでLLMもユーザーが自分で用意する形なので、ハッキングに悪用できないような仕組みはないのかが気になります。費用も、サービス利用料なし、APIの料金だけでこの値段はさすがにかかりすぎな気がします。
ハッキング自体がものすごく増えている状況なので、こういうツールに注目しておくのはいいのかなとは思いました。