AIを使ったペネトレーションテストを、一緒に実務へ育てていく方を募集します。 世良では、ソースコードの解析と、動作するWebアプリ・APIへの検証を組み合わせた「AIペンテスト」のサービス化を進めています。AIが出した結果をそのまま渡すのではなく、人が再現性と事業への影響を確かめ、開発者が対策を進められる報告につなげることを大切にしています。 今回お任せしたいのは、診断の実施に加えて、AIによる検証の進め方や報告品質を整える仕事です。ペンテストや脆弱性診断の経験を、AIを活用した新しい実務に生かしたい方を歓迎します。 【具体的な仕事】 ・対象、目的、手法、実施時間、停止条件を関係者と確認し、テストを計画する ・許可された開発・ステージング環境で、AIを使ったソースコード解析と動的検証を実施する ・認証・認可、権限境界、複数の弱点を組み合わせた攻撃経路を、必要に応じて手動でも確かめる ・AIの指摘について誤検知を切り分け、再現手順、証跡、影響、修正の優先度を整理する ・推奨対策を報告し、開発・運用担当者と内容をすり合わせる。合意した範囲で修正後の再テストも行う ・検証手順、AIへの指示、報告書のひな形を改善し、継続して使える実施体制を整える 基本の担当範囲は、診断と対策の提案です。コード修正そのものは標準の担当範囲に含めず、案件ごとに合意します。テストは必ず事前に許可された対象・範囲で行い、機密情報や証跡の取り扱いも確認します。 【必須となる経験・スキル】 ・ペネトレーションテスト、またはWeb・APIの脆弱性を手動で検証した実務経験 ・Webの認証・認可やネットワークの基礎を理解し、攻撃が成立する条件を説明できること ・Burp Suiteなどの診断ツールを使い、再現手順と証跡を含む報告書を作成できること ・決められた検証範囲と安全条件を守り、進捗や不明点を関係者へ共有できること 【歓迎する経験】 ・AIエージェントやLLMを用いた検証、開発、業務自動化 ・Python、JavaScriptなどによる検証用スクリプトの作成 ・クラウドのIAM、認証基盤、生成AIアプリの権限・データ参照境界の検証 ・脅威モデリング、セキュア開発、診断手順や報告品質の改善 ・OSCP、CEH、CompTIA Security+などの資格、CTFや脆弱性研究の取り組み AIペンテストそのものの経験は必須ではありません。これまでの診断経験を土台に、AIの出力を疑い、確かめながら使い方を改善できる方と取り組みたいと考えています。 【働き方】 業務委託・完全在宅です。担当範囲、稼働量、オンライン会議の時間帯、開始時期は個別に相談します。副業での参画も相談できます。報酬などの詳細は、この募集に連携した募集条件をご確認ください。 【まずお話ししたいこと】 これまで担当した診断の対象、ご自身の役割、検証や報告で工夫したこと、AIを使って試してみたいことを伺いたいです。共有できる範囲の実績で構いません。顧客名、実環境の認証情報、未公開の脆弱性など、守秘義務のある情報は送らないでください。 「AIを使ったペンテストを実際の仕事にしていきたい」と思った方は、まずはお話ししましょう。