RapidPen: AIエージェントによるペネトレーションテスト初期侵入全自動化の研究

Slide 1

Slide 1 text

RapidPen: AIエージェントによるペネトレーションテスト初期侵入全自動化の研究 Security & Development Lab 中谷翔 (@laysakura)

Slide 2

Slide 2 text

背景ペネトレーションテスト

Slide 3

Slide 3 text

貢献やったこと・新規性 ● ﾍﾟﾈﾄﾚｰｼｮﾝﾃｽﾄ自動化ツールRapidPenを開発 ○ AIエージェントによる創造性 ○ ｵﾌｪﾝｼﾌﾞｾｷｭﾘﾃｨ専門知の活用による職人芸 ● 新規性 ○ 高速な完全自動初期侵入 (IP-to-Shell) ■ 人間の介在を排する強力なタスク計画と実行

Slide 4

Slide 4 text

ユースケース先行研究と本研究の比較ターゲットユーザープロのペンテスター (支援) ペンテスト知識ない開発者 (委託) プロのペンテスター (支援・委託)

Slide 5

Slide 5 text

手法 AIエージェントで全自動化

Slide 6

Slide 6 text

手法 AIエージェントで全自動化

Slide 7

Slide 7 text

先行研究との比較・差分 (1/2)

Slide 8

Slide 8 text

先行研究との比較・差分 (2/2)

Slide 9

Slide 9 text

評価 HackTheBox Legacyマシンへの初期侵入 (内訳気にせずOK) 6回成功/10試行実行時間 200~400秒程度で侵入成功コスト ($) 0.6$ 弱で侵入成功

Slide 10

Slide 10 text

今後の課題

Slide 11

Slide 11 text

発表したもの何・リンク QRコード本スライド論文 (arXivプレプリント) 何・リンク QRコード Webサイト (RapidPenの紹介・ニュース) OSS: wish (RapidPenのAct部分を切り出して人間が使うようにしたLLMシェル)

Slide 12

Slide 12 text

参考文献 [1] Deng, Gelei, et al. "PentestGPT: Evaluating and harnessing large language models for automated penetration testing." 33rd USENIX Security Symposium (USENIX Security 24). 2024. [2] 高江洲勲, 一ノ瀬太樹, "BLADE：自律AIエージェントを活用したペネトレーションテスト自動化の試み," AVTOKYO 2024. [3] Yao, Shunyu, et al. "ReAct: Synergizing reasoning and acting in language models." arXiv preprint arXiv:2210.03629 (2022).

Slide 13

Slide 13 text

アンケートご回答お願いします！