OWASP APTS を眺めてみた
自律型ペンテスト時代の統制モデルとして、OWASP APTSを眺める。
OWASP APTSは、Autonomous Penetration Testing Standardの略称である。2026年4月にリリースされた新標準で、自律型ペンテストを安全に運用するための要件集として位置付けられている。
目的
この資料で確認することは次の3つ。
- OWASP APTSを知る。
- セキュリティ標準の位置付けを整理する。
- ティアモデルと8ドメインを把握する。
APTSは、Policy / Standard / Procedure / Guidelineの階層のうち、Standardに位置する。手順書ではなく、守るべきルールを定義する文書として読む。
OWASP APTSとは
OWASP APTSは、自律型ペンテストプラットフォームが安全、透明、定義された境界内で動作するためのガバナンス標準である。
「テストの手順書」ではなく、AIが守るべき制約や要件を定義する。
対象になるシステムは次のようなもの。
- 人間の介入なしにターゲット選定、手法、エクスプロイトを決定するシステム。
- 本番環境または本番相当環境に対してテストを実施するシステム。
- SaaSプラットフォーム、オンプレミスツール、クラウドネイティブシステム、社内構築プラットフォーム。
- ガバナンスの監督と説明責任を要求するシステム。
既存標準としては、PTES、OWASP WSTG、OSSTMMを補完する。
APTSが想定している利用者
公式ドキュメント上では、主に次の利用者が想定されている。
| 利用者 | 位置付け |
|---|---|
| ベンダー | SaaSやオンプレ製品を顧客に販売する側。自社プラットフォームのAPTS準拠を証明し、顧客に開示する。 |
| サービス事業者 | MSSPやコンサルが顧客の代わりにAIペンテストを運用する側。契約やSLAの中にAPTS準拠を盛り込む。 |
| 社内セキュリティチーム | 自社システムをテストするために内製プラットフォームを構築、運用する側。内部ガバナンス基準としてAPTSを採用する。 |
共通点は、全員がAIプラットフォームを作るか、運用する側であること。
セキュリティ文書の階層
セキュリティ文書は、抽象度の高い順に見ると次のように整理できる。
| 階層 | 意味 | 例 |
|---|---|---|
| Policy | 方針。何を守るか。 | 安全にペンテストを行う。 |
| Standard | 標準。どうあるべきか。 | APTS。守るべきルール。 |
| Procedure | 手順。どのように実行するか。 | スコープ設定方法、テスト実行フロー。 |
| Guideline | ガイドライン。推奨事項。 | 推奨設定、ベストプラクティス。 |
APTSはこのうちStandardにあたる。
APTSの位置付け
OWASP APTSは、やり方や方法論ではなく、AIに守らせるべき制約を定める。
APTSが定めないものは次の通り。
- テスト手法、攻撃手順。
- ツール選定、設定値。
- どんな脆弱性を探すか。
APTSが定めるものは次の通り。
- スコープを逸脱しないこと。Scope Enforcement。
- 人間が即座に停止できること。Safety Controls。
- 改ざん不可能な監査証跡。Auditability。
- Prompt Injectionへの耐性。Manipulation Resistance。
なぜ必要か
自律型AIには、従来のペンテストとは異なるリスクがある。
| リスク | 内容 |
|---|---|
| AIが勝手に判断 | 人間の承認なしにターゲット選定や攻撃判断を行い、想定外のアクションが発生する可能性。 |
| スコープ逸脱 | 契約範囲外のホストやシステムへの攻撃、探索が自動的に行われるリスク。 |
| 過剰攻撃 | 本番システムへの意図しないDoS、データ破損、サービス停止など、取り返しのつかない影響。 |
| Prompt Injection | 攻撃対象のシステムに仕込まれた悪意ある入力が、AIエージェントの行動を操作、乗っ取る攻撃。 |
APTSの全体像
APTSは、8つのドメイン、3つのティア、173要件で構成されている。
| # | ドメイン名 | 要件数 | 主な内容 |
|---|---|---|---|
| 1 | Scope Enforcement (SE) | 26 | スコープ定義、検証、継続監視。 |
| 2 | Safety Controls (SC) | 20 | 影響分類、ブラストラディウス、緊急停止。 |
| 3 | Human Oversight (HO) | 20 | 承認ゲート、エスカレーション、中断制御。 |
| 4 | Graduated Autonomy (AL) | 22 | 4段階の自律レベル。L1は補助付き、L4は完全自律。 |
| 5 | Auditability (AR) | 26 | ログ記録、改ざん不可な監査証跡、証拠保全。 |
| 6 | Manipulation Resistance (MR) | 23 | Prompt Injection対策、入力検証。 |
| 7 | Supply Chain Trust (TP) | 16 | データ処理、マルチテナント分離、基盤モデルの開示。 |
| 8 | Reporting (RP) | 20 | 報告精度、FP率開示、エグゼクティブサマリ。 |
合計は173要件で、Tier 1からTier 3までの累積として扱われる。
ティアモデル
APTSの適合レベルは、Tier 1からTier 3までの3段階で整理される。
| Tier | 要件数 | 位置付け |
|---|---|---|
| Tier 1 Foundation | 72 | 基礎。スコープ外テストの禁止、即時停止機能、基本的な監査証跡の記録。監督ありの自律テストに安全に導入可能。 |
| Tier 2 Verified | 累計157 | 検証。完全な透明性、改ざん不可能な監査証跡、独立検証可能な調査結果、顧客への詳細な説明責任。 |
| Tier 3 Comprehensive | 累計173 | 包括的。最高レベルのガバナンス、高リスク環境や規制産業での導入、第三者評価や認証を視野に入れる。 |
ペンテスター個人はどこにいるか
APTSが守ろうとしているものは、顧客、発注企業、テスト対象のシステムやデータ、社会、ベンダーや事業者の説明責任である。
一方で、APTSはプラットフォームを縛る標準であって、ペンテスター個人を守る標準ではない。
AIが自律的に動いた結果の法的責任が誰に帰属するかという問いに対して、「AIが勝手にやった」は言い訳にならない。AIに任せた分、人間の判断力や技術力は落ちないかという問いも残る。
ペンテスターはAPTSをどう使うか
APTSは、守られる側ではなく、使う側として扱うこともできる。
- 道具として使う。AIペンテストツールを選定、評価するとき、APTSのTierを確認指標にする。
- 交渉材料として使う。顧客への提案時に、使用するツールがTier 1準拠か確認、要求できる。
- 問いとして持ち続ける。AIが広がるほど、ペンテスターの役割は実行者から監督者、設計者へシフトする。
APTSは、その役割変化が歓迎すべきことか、技術者としての空洞化なのかまでは答えていない。そこは考え続ける必要がある。
まとめ
- OWASP APTSは、自律型ペンテストAIのガバナンス標準であり、方法論ではなく制約を定める。
- Policy / Standard / Procedure / Guideline階層のStandardに位置する。
- 独断判断、スコープ逸脱、過剰攻撃、Prompt Injectionの4つのリスクへの対策を体系化する。
- 8ドメイン、173要件、3ティアの段階的な適合モデルを採用している。