最近、AIセキュリティ企業のXBOWは、世界で有名なバグファウンディングプラットフォームであるHackerOneにおいて、自社開発したAIツール「XBOW」が群雄を制し、アメリカランキング1位に輝いたと発表しました。これはAIツールが初めて人間のセキュリティ研究者を上回り、HackerOneのバグ報告ランキングでトップに立ったものであり、AIがバグ検出分野で画期的な進展を遂げたことを示しています。

image.png

XBOW AI：完全自動化されたペネトレーションテストの先駆け

XBOWのAIツールは、人間のセキュリティ研究者の操作をシミュレートして、ソフトウェアのバグを発見および利用する完全自律型のペネトレーションテスト（ペネトレーションテスト）システムです。このツールは数時間で包括的なペネトレーションテストを完了でき、リモートコード実行（RCE）、SQLインジェクション、クロスサイトスクリプティング（XSS）、サーバーサイドリクエストフォージェリ（SSRF）、情報漏洩などのさまざまなバグタイプをカバーしています。現在までに、XBOWはHackerOneプラットフォームで約1,060件のバグを提出しており、そのうち132件は公式に確認され修正されています。対象にはディズニー、AT&T、フォード、Epic Gamesなどの大手企業が含まれています。

その特徴は、XBOWが本物のバグデータを機械学習によって訓練し、複雑なセキュリティバグを正確に識別できる点にあります。さらに、自動検証メカニズムも備えており、提出されたバグレポートが正確であることを保証しています。このような「ブラックボックステスト」モードでは内部コードへのアクセスを必要とせず、現実的な攻撃シナリオを模倣することで、AIがサイバーセキュリティ分野における強力な可能性を示しています。

image.png

HackerOneランク首位：AIが人間を超えた歴史的出来事

HackerOneは、企業と倫理的なハッカーをつなぐプラットフォームで、バグ報酬プログラムを通じてセキュリティ研究者がシステムのバグを発見し報告することを奨励しています。XBOWのAIツールは、2025年第二四半期（4月から6月）にHackerOneのアメリカランキングで首位に登場し、提出されたバグ数、報酬総額、レポート品質、バグの影響力の総合評価で、99人の人間研究者を圧倒し、バグ報告計画（VDP）カテゴリで1位となりました。また、世界ランキングでも第6位にランクインしました。

注目すべきは、XBOWの成功が単なる「量」によるものではない点です。同ツールは、Palo Alto GlobalProtect VPNの未知のバグを発見し、これにより2,000台以上のマシンが影響を受けたことから、高リスクバグの発見能力が際立っています。また、XBOWは厳格な内部検証プロセスを経ることで、従来のAIツールによくある誤検出問題を大幅に軽減し、レポートの質を確保しています。

技術的突破：低難易度のバグから複雑なバグへの飛躍

XBOWの開発チームは、このツールがPortSwiggerやPentesterlabの「チャレンジ」テスト、そして現実的なシナリオを模擬した自前テスト環境での厳格なベースラインテストを複数回受けていると述べています。さらに、白箱テストやオープンソースプロジェクト内のゼロデイバグの発見を通じて、AIのバグ検出能力をさらに最適化しています。

現在、XBOWは主に既知のパターンのバグ、例えばSQLインジェクションやXSSなどを見つけることに長けていますが、自主的な探求と反復学習の能力が業界からの注目を集めています。専門家は、今後AI技術が進歩すれば、XBOWのようなツールがさらに進化し、複雑なビジネスロジックのバグやチェーン攻撃を見つける能力を持つようになる可能性があると指摘しています。それにより、サイバーセキュリティの攻防戦の中でより重要な役割を果たすことが期待されます。

業界への影響：AIが防御者を支援する新たな希望

XBOWの成功は、サイバーセキュリティ業界に技術革新をもたらしただけでなく、AIの役割についての新たな議論を巻き起こしています。HackerOneの共同創設者であるMichiel Prins氏は、「XBOWのようなAIツールはセキュリティ分野において驚異的な革新をもたらし、バグの発見と対応を加速させています」と語っています。一方で、XBOWのCEOであるOege de Moor氏は、「AI駆動の防御ツールは、企業がシステムを公開する前にすべてのバグを発見し修正するのをサポートし、攻防の天秤を次第に防御者側に傾けるだろう」と語っています。

一方で、業界内には懸念の声もあります。一部の専門家は、AIツールが「低木の果実」のバグを迅速に発見する能力が高いものの、創造的な思考や複雑な攻撃シナリオにおける能力はまだ検証が必要だと指摘しています。さらに、AIの自動テストによりバグ報告数が急増し、企業にとって修復作業に負担がかかる可能性もあると指摘されています。

資金調達：XBOWは7,500万ドルの資金調達で拡大を加速

XBOWがHackerOneのランキングで首位に立った直後、同社は7,500万ドル規模のBラウンド資金調達を完了し、総調達額は1億1,700万ドルに達しました。今回の資金調達はAltimeterがリードし、既存投資家であるシーリー・キャピタルなどが参加しています。資金は、XBOWのAI駆動型セキュリティプラットフォームのさらなる拡張と、グローバル市場での展開を加速するために使用される予定です。

AIとサイバーセキュリティの未来の交差点

XBOWの台頭は、AIがサイバーセキュリティ分野における大きな潜在力を示しています。その完全自動化されたペネトレーションテストツールは、バグの発見効率と規模を向上させ、企業にとってより強力な防御手段を提供しています。AIbaseは、XBOWの成功は技術の勝利だけでなく、AIと人間の協働による新しいモデルがサイバーセキュリティの枠組みを再構築していることを示していると述べています。しかし、AIの自動化の利点と人間研究者の創造的洞察のバランスをどのように取るかは、業界が将来にわたって探求しなければならない重要な課題です。

XBOWは、2025年8月のBlack Hat Briefings安全会議でさらに詳細な技術情報を共有する予定であり、世界中のセキュリティコミュニティがこのツールにますます関心を寄せています。