オフェンシブセキュリティ
専門家が主導し、エージェント型AIが支援するペネトレーションテストとセキュリティアセスメント。攻撃者がお客様のシステムで何を発見するのかを、攻撃者より先に突き止めます。
今日では、“スキャンを実行する”だけではもはや十分ではありません。従来のペンテストでも同様です。
ウェブサイト、ウェブアプリ、SaaSプラットフォーム、APIは、一見問題なさそうに見えても、不正アクセス、露出したデータ、回避可能なビジネスロジックが隠れていることがあります。目的は警報を鳴らすことではありません。本当に重要なことを見つけ出し、それを実証することです。
安価だが、盲目
ビジネスロジックを見ることができず、誤検知だらけです。何百ものアラートが残る一方で、実際に悪用可能なものについては確証がゼロのままです
徹底的だが、遅い
高価で、スケールが困難です。希少な専門知識と、多くの組織には負担できない期間に依存します。
徹底的で、スケーラブル
専門家チームの深い洞察力と、エージェント型AIが可能にするスピードとカバレッジ。すべての発見事項は人間によって検証されます。
人間による指揮。大規模なレッドチーム。
すべてのペネトレーションテストは、当社セキュリティチームの技術的責任のもと、人間の指揮によって実施されます。専門家が何をテストするかを決定し、結果を承認します。AIエージェントは、攻撃対象領域全体にわたって並行して作業します。
指揮を執るペネトレーションテスター
戦略を立て、何をテストするかを決定し、状況を解釈し、真の脆弱性とノイズを見分け、レポートに署名します。機械が探索し、人間が判断します。
アドバンスドエージェント
エクスプロイトチェーン、影響分析、多段階シナリオ、クラウドおよびマルチテナント環境、複雑なAPI、重要機能。
シニアエージェント
認可、認証、ビジネスロジック、BOLA / IDOR、ワークフローの悪用、シグナルの相関分析。
ジュニアエージェント
偵察、マッピング、エンドポイントとパラメータ、OWASPチェックリスト、既知の設定ミス、繰り返し現れるパターン。
なぜエージェント型AIなのか
実際のネットワークを対象とした独立研究によると、エージェント型AIフレームワークは、カバレッジの面では認定を受けた人間のペンテスターに匹敵する一方、判断力の面ではまだ遅れをとっています — だからこそ、最終的な判断は常に人間に委ねられています。参考文献: J. W. Lin et al., arXiv:2512.09882。
一つのサービスで、攻撃対象領域のすべてを
ウェブアプリからインフラまで、AIモデルからソースコードまで。一つの手法で、6つのカバレッジ領域を、お客様と合意した範囲に合わせて設計します。
Web & SaaS
ウェブサイト、ポータル、ウェブアプリ、SaaSプラットフォーム：認証、認可、ビジネスロジック、データ露出。
API
REST、GraphQL、マシン間サービス：BOLA / IDOR、ワークフローの悪用、入力検証、レート制限。
モバイルアプリ
iOSとAndroid、OWASP MASVSに準拠：ローカルストレージ、通信、クライアント側の堅牢化、接続先のバックエンド。
インフラ & ネットワーク
外部および内部の境界、クラウドおよびマルチテナント領域、セグメンテーション、設定ミス、露出。
AI / LLMセキュリティ
AIモデルとAI搭載アプリケーション：プロンプトインジェクション、データ漏洩、エージェントの悪用、推論制御。
セキュアコードレビュー
攻撃者視点のコードレビュー：ソースレベルの脆弱性、依存関係、ビルドパイプライン。
最大限の深さ、即興はゼロ
高度なAIモデルを活用しながら、お客様のデータが平文のまま外部に出ることは決してありません。すべての案件はクローズドループに従います。データは保護された状態で取り込まれ、隔離された環境で扱われ、作業の完了とともに消去されます。いかなる場合も、お客様のデータがモデルの学習に使用されることはありません。
非識別化
ホスト、認証情報、識別子、機密性の高い参照情報は、外部での処理に先立って仮名化されます。モデルが目にするのは、匿名化されたバージョンのみです。
専用の暗号化環境
お客様ごとに専用の暗号化された隔離環境を用意し、イタリア国内のACN認定クラウドインフラ上でホスティングします。アクセスはセッショントークンのみで行い、永続的な認証情報は使用しません。
案件終了時の破棄
レポートの納品が確認されると、環境はすべてのデータ、ログ、トークンとともに破棄されます。DORAおよびNIS2が求めるトレーサビリティのために、最小限の実行記録のみが保持されます。
経営陣が読み解け、技術チームが実行に移せるレポート
- すべての脆弱性に証拠を添付：リクエストとレスポンス、スクリーンショット、タイムスタンプ、深刻度（CVSS 3.1）、影響。
- 確認済みの事項と、さらなる検証が必要な事項を明確に区別。ノイズはありません。
- 是正の優先順位と、是正計画のための具体的な土台。
- 修正内容を継続的に検証するための再テストおよび定期アセスメントプランもご用意しています。
方法論とフレームワーク
3つのモデル。1つの手法。
同じ指揮系統を、お客様の攻撃対象領域とカバーすべきリスクに合わせて設計します。最終的なお見積りは、合意した範囲に基づきます。
スモールビジネス
コーポレートサイト、ランディングページ、WordPressサイト、小規模ECストア、シンプルなアプリケーション、軽量なAPI。
ミッドサイズビジネス
デジタルプラットフォーム、複雑なEC、カスタマーポータル、ウェブベースの業務管理システム、認証付きの企業向けAPI。
エンタープライズ
企業グループ、複雑なインフラ、マルチテナントSaaS、APIエコシステム、NIS2またはDORAの要件が適用される組織。
固定の料金表はありません。すべての案件は、実際の範囲（対象領域、深さ、制約条件）に基づいてお見積りします。お見積りについてはお問い合わせください。
規制が問うのは、ツールを持っているかどうかではありません。求められるのは証拠です。
NIS2、DORA、ISO/IEC 27001、GDPRはいずれも、証拠、統制、リスク管理を求めています。文書化されたペネトレーションテストは、提示できる最も具体的な証拠の一つです。
NIS2
セキュリティおよびインシデント管理の義務を支えるテストとリスクアセスメント。
DORA
デジタルオペレーショナルレジリエンス：金融セクター向けの定期的なテストと、活動の完全なトレーサビリティ。
ISO/IEC 27001
マネジメントシステムの統制と認証プロセスを裏付ける証拠。
GDPR
個人データを保護する技術的対策の検証と、データ侵害リスクの低減。
判断する人間、スケールするテクノロジー
本サービスは、オフェンシブセキュリティおよび監査の認定資格を持つペネトレーションテスターとセキュリティエンジニアのチームによって提供され、ISO/IEC 27001リードオーディターが統括します。これは、Magellano Techが認証済みの統合マネジメントシステムを達成するに至った、セキュリティとコンプライアンスの文化そのものです。
Certified Offensive AI Expert（Hack The Box）
当社チームは、世界で最初期に発行されたHTB COAE認定の一つを保有しており、イタリアでも最初期の保有者です。これは、実際のAIインフラ上での7日間の実践的な案件を通じて取得し、商用レベルの技術レポートの提出で締めくくられるAIレッドチーミングの資格です。この専門知識が、AIおよびLLMシステムのテストと、当社のオフェンシブエージェントのオーケストレーションを支えています。
単なる監査人ではなく、ソフトウェアハウス
私たちはソフトウェア、SaaSプラットフォーム、AIソリューションを開発しています。コードを内側から知っています。アプリケーションをテストするとき、どこを見るべきかがわかります。毎日同じようなアプリケーションを作っているからです。
イタリア国内のACN認定クラウド上のインフラと、認証済みの情報セキュリティおよびAIマネジメントシステム。コンプライアンスは付け足しではなく、私たちの仕事のやり方そのものです。
攻撃者が見つけるものを、攻撃者より先に知る
保護したいものをお聞かせください。範囲を一緒に定め、私たちの進め方をご紹介します。お約束は不要です。