【登壇レポート】「AWS Continuum for Penetration Testing にDeep Diveしてみる」というタイトルで登壇しました #devio2026

こんにちは、クラウド事業統括本部の浅野です。

2026 年 10 月 24 日に開催された「DevelopersIO 2026 Tokyo」で、「AWS Continuum for Penetration Testing にDeep Diveしてみる」というタイトルで登壇しました。本記事では、その登壇資料と、検証を通して分かったポイントを共有します。

DevelopersIO 2026 Tokyoとは？

クラスメソッドが主催する技術カンファレンスで、今年で 12 年目を迎えます。東京の 2 拠点で開催され、AWS・生成 AI・アプリ開発など、幅広いテーマのセッションが行われました。

スライド

セッションの内容

AWS Continuum for Penetration Testing（旧 AWS Security Agent）は、Web アプリケーションに対して AI がペネトレーションテストを自動実行するサービスです。検証用アプリ（OWASP Juice Shop など）で繰り返し実行し、実際の挙動を確認してみました。主に次の内容を扱っています。

• 機能の概要と実行環境、実行前の注意点、テストの観点（リスクタイプ）
• エージェントの処理の流れと、検出結果を裏取りする「検証用エージェント（Validator）」の動き
• 検出結果（finding）の見方、実行例と料金、レポート、管理表のススメ
• ナレッジによる探索範囲の変化と、予算管理（最大タスク時間）
• コード修正（修正 PR）とコードレビュー、検出結果の再検証
• CI/CD 統合でセキュリティ対応のサイクルを回す

参考資料

• AWS Continuum（製品ページ）
• AWS Security Agent（now part of AWS Continuum）ユーザーガイド

最後に

AI にペネトレーションテストを任せられるようになっても、「安全に・無駄なく・継続的に」回すための勘所は人側に残ります。登壇では、検証から見えた次のポイントを紹介しました。

• 準備: 本番ではなく STG・開発環境で、テスト用の認証ユーザーを使う
• 実行: ソースや認証情報を渡し、ロールを変えて複数回まわす
• 予算: 最大タスク時間で上限を先に決める
• 修正: 修正 PR は人がレビューし、再検証まで 1 セットで行う
• 運用: CI/CD に組み込み、差分だけを継続して回す

いずれも私自身の検証にもとづく内容です。気になった方は、ぜひご自身の環境でも試してみてください。

以上、浅野でした！