Show HN: ペネトレーションテストを行うポストトレーニング済みモデル
Show HN: We post-trained a model that pen tests instead of refusing
Cosine社は、ペネトレーションテストを行うためにポストトレーニングされたモデル「argusred」をリリースした。このモデルは、脆弱性を報告するだけでなく、Exploit Verification機能により安全な再現を試み、確認された脆弱性のみを提供する。無料インストールが可能で、初回利用時にCosineのアカウント登録が必要。新規アカウントには200万トークンが付与される。argusredは、攻撃的なセキュリティのためにポストトレーニングされたモデルを使用しており、既存のモデルが拒否するようなコードの攻撃対象部分を読み取る。安全性は、モデルの呼び出しをインターセプトするGoハーネスによって保証されており、セキュリティスキャンモードでは mutating tool をブロックし、ペンテストモードでは承認されたターゲットへのネットワーク egress を制限する。インストールされるバイナリは社内でも使用されているものと同じで、ローカルマシン上で実行される。記事では、JWT署名バイパス(CRITICAL・CVSS 8.6)やSSRF via OAuth consent redirect(HIGH・CVSS 7.4)などの脆弱性が報告されている。報告書はローカルマシンに保存され、エグゼクティブサマリー、モジュールごとの発見事項、場所、深刻度、原因、修正方向が含まれる。
- Cosine社がペネトレーションテスト用のポストトレーニング済みモデル「argusred」をリリースした
- argusredはExploit Verification機能により脆弱性の安全な再現を試み、確認された脆弱性のみを報告する
- JWT署名バイパス(CRITICAL・CVSS 8.6)およびSSRF via OAuth consent redirect(HIGH・CVSS 7.4)の脆弱性を検出・報告した
Cosine社がリリースした「argusred」は、ポストトレーニングされたモデルでペネトレーションテストを自動化する、セキュリティ業界にとって破壊的なプロダクトである。従来のAIモデルが拒否するような攻撃コードを扱える点、JWT署名バイパス(CVSS 8.6)やSSRF(CVSS 7.4)などの現実的な脆弱性を検出・検証できる点が重要。AI×セキュリティの交差点でスタートアップの競争が激化する中、Cosine社の差別化要因として「Exploit Verification(エクスプロイト検証)」機能は大きなアドバンテージとなる。200万トークンの無料枠で導入障壁を下げており、エンタープライズ向けセキュリティツール市場での拡大が期待される。