AIペネトレーションテスト・ セキュリティ検証「AgenticSec」紹介資料

AIペネトレーションテスト・ セキュリティ検証「AgenticSec」紹介資料

会社・プロダクトサイト: https://agenticsec.tech/
採用情報: https://agenticsec.tech/jobs

Transcript

1. 事業紹介資料 セキュリティスキャナと同じ頻度でペネトレーションテスト。 攻撃者⽬線のAIエージェントで継続的に脆弱性‧リスクを検証。 © AgenticSec Inc. 1
2. 1. 当社ご紹介 2. AI時代におけるセキュリティ課題と対策すべきこと ⽬次 3. AgenticSecプロダクトファミリーのご紹介 4. Appendix CONFIDENTIAL © AgenticSec Inc. 2
3. 当社ご紹介 © AgenticSec Inc. 3
4. 代表者紹介 中⾕ 翔 Sho Nakatani 代表取締役CEO 2014 〜 2016 ディー‧エヌ‧エー エンジニア 2016 〜 2021 FOLIO 執⾏役員 2021 〜 2025 トヨタ⾃動⾞ 主幹 / プリンシパルリサーチャー、執⾏役員 2025 〜 現在 AgenticSec Founder / CEO 受賞歴 Black Hat USA Arsenal 登壇（2025） Automotive CTF 国内決勝2位‧世界⼤会 4位（2024） 防衛省サイバーコンテスト 7位（2024） 資格 OffSec Certified Professional（OSCP）2024- CISSP 2024- 学歴ほか 東京⼤学（学⼠ 2008- / 修⼠ 2012-） IPA 未踏クリエーター（2012） © LayerX Inc. © AgenticSec Inc. 4
5. メディア出演情報 最強AI「ミュトス」⽇本上陸へ ⽇本企業が「ミュトス」のアクセス権⼊⼿ © LayerX Inc. © AgenticSec Inc. 5
6. 当社役員体制 松本 勇気 福島 広造 取締役 株式会社LayerX 代表取締役CTO 取締役 株式会社LayerX 取締役COO 株式会社Gunosy、合同会社DMM.comのCTOを経て、2021年3⽉よりLayerX代表 ITコンサルティング会社を経て、ボストン コンサルティング グループ(BCG)に⼊ 取締役CTOに就任。開発や組織づくり、ならびにFintechとAI‧LLMの2事業の推 社。企業変⾰、テクノロジー領域を担当。2015年、ラクスル株式会社へ⼊社。全 進を担当。2019年には⽇本CTO協会の⽴ち上げに関わり、理事として活動したの 社の取締役COO及びRAKSUL事業CEOを務める。2023年からは、BCGのマネージ ち、2025年より顧問に就任。 ングディレクター＆パートナーとして、AI領域を担当。2025年10⽉1⽇付けで株 式会社LayerX上級執⾏役員COO 兼 バクラク事業CEOに就任した後、2026年7⽉1 ⽇付けで取締役COOに就任。 © AgenticSec Inc. 6
7. リーダーシップ紹介 五⼗川 侑汰 Yuta Isogawa Biz / GTM責任者 株式会社LayerX / 株式会社AgenticSec SaaSスタートアップでのインターンを経て、2021年に⼤⼿広告代理店へ新卒⼊社。 主に通販∕⼩売企業を中⼼に500社以上のマーケティングやCRMの改善に従事。 マーケティング部⻑、営業部⻑、CS部⻑として10億円以上規模の事業を牽引。 2024年より某ベンチャー企業へ⼊社し、マーケティング‧PR‧HR事業を統括する上 級執⾏役員COOに従事。 2026年1⽉から株式会社LayerXに⼊社し、⼈事労務系のプロダクトの責任者を務めた のち、2026年7⽉から株式会社AgenticSecに出向。Biz/GTM責任者として従事。 © LayerX Inc. © AgenticSec Inc. 7
8. AI時代における セキュリティ課題と対策すべきこと © AgenticSec Inc. 8
9. AI時代における セキュリティ課題と対策すべきことのまとめ フロンティア AIの登場により 攻撃側の攻撃能力が格段に向上している 脅威 攻撃 攻撃 VS 防御 広がり続ける GAP 防御 有効な 対策 対策の 現状と GAP Agentic Sec © LayerX Inc. 攻撃者は、どこか⼀箇所を突破できれば攻撃が成功する 守る側が全ての経路を守り切るのは、原理的に不可能に近い 脆弱性診断やペネトレーションテストで悪⽤可能な経路を早期に実証し続ける 現状 1回数百万円〜数千万円 年数回 高度人材のみ 毎回ゼロベースで GAP 高すぎて全て面を 検証できない 攻撃は秒単位で 変化しているのに 対策が追いつかない 人口減少の中、高度人材のみ が増えるはずがない 毎回の実施に時間を要する 提供 1回数万円〜数十万円 検証面を拡大 毎日でも実行 AIプロダクトで 非セキュリティ人材でも 運用可能 システム構成や脅威動向 テスト結果などは全て学習 © AgenticSec Inc. 9
10. AI時代におけるセキュリティ課題と対策すべきこと ① 急増する脆弱性報告。AI時代にはこれまでの前提が崩れる BEFORE これまでの前提 誰かが発⾒ AFTER AI時代に増えるもの 脆弱性報告の急増 2025年のCVE報告は約40%増。今年はさらに加速 機関に報告 CVE化 報告されない脆弱性 発⾒能⼒が上がっても、中央に共有されるとは限らない CVSS/EPSS採点 各社が対応 「報告、スコア化され、それを待って対応する」 というこれまでの暗黙知的な セキュリティ対応の前提が崩れ始めている。 名前のない攻撃経路 CVE化を待たず悪⽤される、未整理のリスクが増える 外から共有される情報を待つのではなく、 ⾃分のシステムを常時探索し、 ⾃分のリスクとして理解することが必要。 © LayerX Inc. © AgenticSec Inc. 10
11. AI時代におけるセキュリティ課題と対策すべきこと-② パッチウィンドウの崩壊 — 当⽇攻撃 vs 数⼗⽇修復の⾮対称性 誰でも攻撃者になりうる。かつ攻撃のスピードと精度はフロンティアAIの登場により格段に⾼まっている。 28.96% 55% 55〜75⽇ CVE公開当⽇に悪⽤ 7⽇以内に悪⽤（累計） 企業が脆弱性を修復 攻撃者がExploitを悪⽤ 公開から1週間で過半数 修復中央値、平均修復時間は 37⽇以上 空⽩期間 48〜68⽇ ＝ 攻撃者のボーナスタイム 平均悪⽤時間は 756⽇（2018年）→ 20時間未満（2025年）と劇的に短縮 ⽉次パッチ‧年次ペネテストは「⼈間の攻撃速度」前提の設計、AI時代には機能しない 防御の「⾜腰」＝ ⽌めずに検証‧パッチを回せる基盤への投資が必須 © LayerX Inc. © AgenticSec Inc. 11
12. AI時代におけるセキュリティ課題と対策すべきこと-③ 結果として広がり続けるセキュリティ運⽤の理想と現実 理想 現実 シンプルでスピーディー CVE報告 SAST ASM その他の脆弱性報告 5つの構造的課題 01 ソフトウェア資産が多すぎる 把握しきれず管理コストが膨⼤ 02 修正はまだ⼈⼒中⼼ コーディングエージェント活⽤が未普及 1 脆弱性‧攻撃ポイントを把握 2 コーディングエージェントで迅速に修正 04 ⼈⼒ペンテストは年数回 常時検証ができない 3 即座にリリース 05 LLM時代でCVE‧ゼロデーが急増 ⼤量の報告に追従しきれない 03 QA‧品質基準が厳しい リリース頻度が限定される 修正‧リリース能⼒がボトルネック ── ⼤量の脆弱性報告に追従できず、対策が後⼿に回る © LayerX Inc. © AgenticSec Inc. 12
13. AI時代におけるセキュリティ課題と対策すべきこと-④ リスクは「脆弱性そのもの」より「悪⽤可能か」の実証が⼤切 限られた修正‧リリースのリソースを有効な打ち⼿に当てるには「実証」が⼤切 脆弱性リストではなく攻撃経路と業務影響から逆算する 弱点が「リスク」になるまで 脆弱性があること⾃体ではなく、そもそも悪⽤可能なのかの判断が⼤切。 ⼀つの脆弱性が権限とつながり、業務に到達して初めてリスクになる。 01 外部公開 02 脆弱性 03 侵⼊ ここまで⾒て初めて「どれから直すべきか」が決まる 04 01 02 脆弱性診断＝弱点を探す ある範囲の中で「弱点」を⾒つける作業 ペンテスト＝リスクになるかの検証 その弱点を使って「悪⽤が可能なのか」を検証 業務被害 03 最もリスクを下げる打ち⼿を選ぶ どの経路が現実的で、どの業務に効き、どの対応が効くかを判断 どこに脆弱性があり‧どの権限とつながり‧どこから⼊れて‧どの業務に響くか。 ここまで⾒て優先度が決まる。 © LayerX Inc. © AgenticSec Inc. 13
14. AI時代におけるセキュリティ課題と対策すべきこと-⑤ 到達可能性を実証するペンテストは重要だが、供給課題に サイバー攻撃の⾼度化で「実証型ペンテスト」の需要は増え続ける⼀⽅、供給体制は追いつかない 需要サイド プレッシャー増⼤ ⾦融庁が TLPT（脅威ベースのペンテスト）実施を推奨。重要 01 インフラ全般に波及する⾒込み。 供給サイド 構造的ギャップ 需要 ↑ 急拡⼤ 供給 → 横ばい 02 ギャップが毎年広がる 脆弱性診断‧スキャンツールは"かもしれない脆弱性"を⼤量⽣ 産。実発現を確認しないまま優先度を決めざるを得ない。 現場の悩み 本当はペンテストで発現確認してから対策したいが、従来の発 03 注モデルでは間に合わない。 「ペンテスト後に対策したいが、発現確認前に優先度を判断せ ざるを得ない」 規制‧重要インフラ要請は拡⼤。 だが現⾏モデルは⾼額‧低頻度で、現場は"かもしれない脆弱性"の⼭に埋もれている。 © LayerX Inc. © AgenticSec Inc. 14
15. AI時代におけるセキュリティ課題と対策すべきこと-⑥ 従来ペンテストは⾼額‧低頻度‧属⼈的 ⼈⽉依存のビジネスは、継続的リスク管理に構造的に合わない 数百〜数千万円 / 回 年 数回 ⾼度⼈材のみ ⾼額 低頻度 属⼈的 発注決裁のハードル 継続検証は不可能 スケールしない 決裁⾯倒 → 諦め 再現性‧影響評価の不⾜ ⼈⽉依存 → スケールしない 発注プロセスの重さで「今回は⾒送り」が常 態化。セキュリティサイクルから外れる。 レポートが来てもリスク管理に直結しない。 改修作業や事業影響の判断が難しい。 ベンダー側も新規脆弱性の発⾒を常駐で回さ ざるを得ず、供給は増えない。 「1回数百〜数千万円‧年数回‧⾼度⼈材のみ実⾏可能」 — ペンテストは"イベント"であって"基盤"になれていない。 © LayerX Inc. © AgenticSec Inc. 15
16. AgenticSecプロダクトファミリーのご紹介 © AgenticSec Inc. 16
17. リアルタイム実証から始まるセキュリティリスク管理の成功モデル ⾼頻度×継続的なペネトレーションテストが 真のセキュリティリスク状況可視化‧アクションに繋がる システム変更や脅威情報の 更新に対する当⽇中の実証率が向上 リアルタイム実証率 UP リアルタイムに 真のセキュリティリスク状況可視化 意味のあるアクションを 確信を持って継続的に⾏える UP 開発者がすぐに⾏動を起こせる アクションアイテムを多数アウトプット 偽陽性の排除や開発依頼に かかる時間を⼤幅に短縮 点から線の”実証”へ システムや脅威動向のカバー率が向上 システム/脅威カバー範囲 業務効率化へ WEB UIでの 結果表⽰ ベンダー品質の PDFレポート 再現コマンドの zipファイル © LayerX Inc. © AgenticSec Inc. 17
18. 防御の⼯程とAI活⽤状況 ① 対象を決める ② 発⾒ ③ 優先順位付け ④ 検証 ⑤ 是正‧運⽤ 守る範囲を定義する 資産‧脆弱性を洗い出す 対応要否‧順序を決める 悪⽤可能なものを実証 直して運⽤に回す AI活⽤度 AI活⽤度 AI活⽤度 AI活⽤度 AI活⽤度 •◦◦ 低 ••• ⾼ ••◦ 中 ••• ⾼ ••◦ 中 事業判断は⼈間に残る 最も伸びた領域 ⼀次トリアージは実⽤ AIペンテストが実⽤段階 ⾃動修復が⼀部実運⽤ [33] © LayerX Inc. "Ctem-diagram.svg" by Monserrat Enriquez, licensed under CC BY-SA 4.0. Source: https://commons.wikimedia.org/wiki/File:Ctem-diagram.svg © AgenticSec Inc. 18
19. AgenticSecのフォーカスポイント 内部トリアージ 最終トリアージ ① 対象を決める ② 発⾒ ③ 優先順位付け ④ 検証 守る範囲を定義する 資産‧脆弱性を洗い出す 対応要否‧順序を決める 悪⽤可能なものを実証 資産把握‧解析 (特許化検討技術) AIペンテスト (特許申請中) レポート⾃動⽣成 ‧Web / NW / … ‧PDF / JSON ‧ブラックボックス / ‧再現コマンド集 ‧リポジトリ / 設計情報 他製品連携 フォーカス ⑤ 是正‧運⽤ 直して運⽤に回す ホワイトボックス ‧SCA / SAST / DAST / ⾃動修正 CSPM / … ‧pull-req ⾃動作成 AI脆弱性診断 ⼿動 ⾃動 半⾃動 「検証」を最⼤のフォーカスとし、圧倒的なトリアージ体験を造り、CTEMループを⾼速‧継続的に回す。 © LayerX Inc. © AgenticSec Inc. 19
20. AgenticSecのフォーカスポイント 1 攻撃者は、どこか⼀箇所を突破できれば攻撃が成功する。 ∃ 2 守る側が全ての経路を守り切るのは、原理的に不可能に近い。 ∀ 3 防御側のAI活⽤は「解の広さ」「誤り許容度の低さ」に課題 防御AIの弱点 4 「侵⼊できるか」は、成⽴する経路を⼀つ⾒つければ答えが出る。 攻撃者と対等 5 そもそも侵⼊ができるのかの「検証」が最重要‧最軽量な投資箇所 AgenticSecは全てを守り切ることではなく、“本当に侵⼊ができ、悪⽤ができるのか”を確かめることに注⼒する。 © LayerX Inc. © AgenticSec Inc. 20
21. セキュリティの課題（as is）とAgenticSecの⽬指す姿（to be） 課題1 ⽂書のサイロ化 ターゲット 情報 情報資産管理-v2.xlsx Scoping 他製品出⼒ 情報 情報資産管理.xlsx Prioritizatio n Validation Mobilization © LayerX Inc. CONFIDENTIAL Scoping 情報資産管理-v2-final-0226.xlsx 脅威 情報 SBOM製品 Discovery 常に最新情報がDevSecOpsに溜まり ↓ 常に悪⽤可能な攻撃経路の 探索と実証が回り続ける SAST製品 ASM製品 VM製品 脆弱性管理-2601.xlsx 価値1 (Pentest) AI⾃動ペネトレーションテスト 脆弱性管理-2602.xlsx 要検証脆弱性-FY25Q4.xlsx 【決裁書】ペネトレーショ ンテスト-◯◯セキュリティ 株式会社.xlsx セキュリティ担当者 ペネトレーション ペネトレーションテスター テストレポート.pdf 開発担当者 input テスト結果input 価値2 (DevSecOps) ターゲット情報の蓄積＆更新(各製品軸 + 時間軸) Validation 課題2 価値3 (DevSecOps + Pentest) 検証スピード鈍化 即⾏動に繋がるアクションアイテム/レポート 課題3 価値4 (SOC + PSIRT + Dev) 対応依頼コスト レポート確認/インシデントレスポンス/fix開発 逆 転 Prioritization Mobilization セキュリティ担当者 as is Discovery to be © AgenticSec Inc. 21
22. 主な機能：AI⾃動セキュリティ検証 脆弱性診断からペネトレーションテストまで AIがまるごと⾃動で。"⾒つける"だけでなく "本当に侵⼊できるか"まで確かめます。 POINT 01 | 診断もペネトレーションテストも、AIが⾃動で完結 インターネット経由でのデータ侵害‧初期侵⼊を、AIエージェントが⾃動で 実⾏します。専⾨のペンテスターに依頼しなくても、脆弱性が"実際に攻撃と して成⽴するか"までAIが実証します。 AIが⾃動でターゲットに ペネトレーションテストを実⾏ POINT 02 | 結果はベンダー品質のレポートと再現コマンドで確認 ⾒つかった脆弱性はベンダー品質のPDFレポートと再現コマンド付きで提供 します。開発チームが「どこをどう直せばいいか」をすぐに把握でき、修正 開発がスムーズに進みます。 POINT 03 | アップデートや新たな脅威のたびに、⾃動で継続検証 システムを更新したとき、新しい脆弱性情報が出たときなど、必要なタイミ ングで⾃動的に再検証。年に数回の"点"の診断から、いつでも安⼼を確認で きる"線"の運⽤へ。 © LayerX Inc. CONFIDENTIAL PDFレポートや再現コマンドを アウトプットします © AgenticSec Inc. 22
23. 主な機能：ホワイトボックス検証 & ナレッジ蓄積 コードも過去のレポートも取り込んで、 "内側の情報"まで踏まえた検証を。 使うほど、守りたい資産への理解が深まります。 POINT 01｜社内の情報を取り込み、より深いホワイトボックス検証 コードリポジトリや過去のセキュリティ診断レポートを取り込めます。外部 からの視点だけでなく、"内側の情報"も踏まえた精度の⾼い検証ができま す。 POINT 02｜検証結果が蓄積し、資産の最新状況を⾼精度に把握 ⼀度きりで終わらず、検証結果がシステムに蓄積されます。静的‧動的の両 保護対象資産の⼀元管理 ⾯から、守りたい資産の"いまの状態"を⾼い精度で把握。使えば使うほど精 度が上がる好循環が回ります。 POINT 03｜CLIで、いつでも⾃動で最新状態に CLIから取り込み‧更新ができるので、⽇々の開発や運⽤フローに組み込んで ⾃動で最新化。⼿作業なしで、常に最新のコード‧情報にもとづいた検証を 保てます。 © LayerX Inc. CONFIDENTIAL ホワイトボックス情報の取込み © AgenticSec Inc. 23
24. 主な機能：既存のセキュリティ投資をそのまま活⽤ いま使っているツールも、いまの体制も、 置き換え不要。過去の投資がさらに活きます。 POINT 01｜既存のスキャナ‧診断結果を取り込んで、⾃動で"実証" すでにお使いの脆弱性スキャナや診断結果を取り込み、「本当に攻撃でき るのか」をAIが⾃動で検証します。「かもしれない」を「実証済み」に変 え、偽陽性の確認に追われる時間を減らします。 POINT 02｜いまの運⽤フローにそのまま乗せられる MITRE ATT&CK形式での可視化や標準フォーマットでの出⼒に対応。SOAR など、すでに社内で回している運⽤‧連携の仕組みに無理なく組み込めま す。 豊富なセキュリティスキャナへの 取り込み対応 © LayerX Inc. CONFIDENTIAL © AgenticSec Inc. 24
25. Vision あなたのシステムを誰よりも深く知り、 攻撃者よりも速く検証する。 ✓ 世界初の技術 ✓ エンタープライズ実績 ✓ ⽇本発‧⽇本語ネイティブ ⼈間にしかできなかった初期侵⼊を、 ⼤⼿⾃動⾞メーカー、⼤⼿ITベンダー 製品‧レポート‧サポートまで⽇本語。 LLMが⾃動化。 ⼤⼿インターネットサービスへ導⼊。 国内の商習慣に最適化 論⽂‧特許‧Black Hat USA 2025発表 ⾦融企業へも拡⼤中。 デモのご依頼‧お⾒積りは、お気軽にお問い合わせください。 © LayerX Inc. CONFIDENTIAL © AgenticSec Inc. 25