O3 Webアプリケーション脆弱性診断の現在地

フロンティアAIの発展で、「AIが脆弱性を発見する」という話題が注目を集めています。実際、発見の実演としては目覚ましい成果も報告されており、診断業務の一部が自動化されていく流れは避けられません。

ただ、こうした文脈で語られるAI活用は、その多くが発見報酬型の発想に立っています。つまり、見つかったものだけが成果であり、見つからなかった領域については何も語らないアプローチです。一方、Webアプリケーション脆弱性診断が培ってきたのは、網羅性をはじめとする品質の文化です。どの観点を、どの範囲に、どこまで適用したのかを明らかにし、その検証の確かさごと顧客に引き渡す。

「診断」の価値は発見の数ではなく、この品質の保証にあります。折しも、SCS評価制度をはじめとするサプライチェーンセキュリティの要請から、初めて脆弱性診断を発注する組織は今後増えていくと見込まれます。品質を語れない成果物と診断との違いを知らないまま発注すれば、安く速いサービスを買ったつもりが、本来必要だった保証を手にできていなかった、ということが起こりえます。

本セッションでは、この品質という軸から、AIに任せられる領域と人間の判断として残る領域を切り分け、Webアプリケーション脆弱性診断がいま立っている位置を整理します。AI礼賛にもAI悲観にも寄らず、実務者の目線でこの仕事のこれからを論じてみます。