SentinelOne、AI支援型の脅ハンティングによる顧客の侵入検知が1日28件に急増と発表 前年比22倍、フロンティアモデルのサイバー能力は「4カ月ごとに倍増」
OneCon 2026プレショーセッション、ラスベガス、2026年10月20日
SentinelOneは、顧客向けカンファレンス「OneCon」の初日夜のセッションで、昨年の同イベントで発表したAI支援型脅威ハンティングプログラムの運用実績数値を公開した。チーフ・カスタマー・オフィサー（CCO）のSteven Stone氏は、これらを説明責任を果たすための取り組みと位置づけ、1年前に壇上で約束した内容を振り返った。製品および戦略に関する本格的な発表は10月21日に予定されており、プロダクト部門のリーダーやCEOのTomer Weingarten氏が登壇する。この日のセッションはテーマが絞られており、財務情報ではなく運用面での開示が中心となったが、投資家にとってはSentinelOneの最新AI機能が実際の運用環境でどのような成果を上げているかを示す、稀少な定量的視点を提供するものとなった。
AI支援型ハンティングは小規模なベースから急速に拡大
中心的なデータポイントとして、2025年12月1日に稼働を開始したAI支援型ハンティングが、現在では顧客に対して1日あたり28件の侵入活動を通知していることが挙げられる。Stone氏によると、同手法による悪意ある活動の検知能力は、第1四半期に380%上昇し、6カ月時点で1,400%増、通年では2,200%（22倍）増に達したという。同氏は、初期の数値には限定的な意味合いしかないと率直に認めた。「何かを構築した者なら誰でも分かることだが、最初のイテレーションでは、何もない状態から何かが生まれる。それは実際には意味のある数値ではない」と述べ、顧客にとって重要となるのは「1日28件の通知」という実績値であるとした。
またStone氏は、SentinelOneが直近の暦年において、顧客向けに1,400万件以上のトゥルーポジティブ（真の陽性）検知を特定したと述べ、これは50%の増加に相当する。同氏はこれを、組織あたりのエンドポイント数が約16%増加している状況と比較し、これがSentinelOne自身のインストールベースの拡大と合致していると指摘した。したがって、検知のボリュームは保護対象となる表面積の約3倍のスピードで拡大していることになる。同氏はこの要因として、同社の自律型モデルを挙げた。SentinelOneが2014年に出願した最初の特許が自律型マルウェア検知モデルを対象としていたことに言及し、この歴史があるからこそ、他社がAIへの移行に苦戦する中で同社は優位なスタートを切ることができたと主張した。なお、これらの機能に紐づく収益、マージン、アタッチ率に関するデータは提供されなかったため、この技術的進歩がどのように財務成果へと結びつくのかについては依然として不透明なままである。
React2Shell：発表後48時間以内のストレステスト、Windowsにおける課題も認める
Stone氏は、新しいハンティングエンジンの最初の本格的なテストとして、「React2Shell」の脆弱性を挙げた。12月3日にCVSS基本値10.0として開示されたこの欠陥は、認証やユーザーの操作を必要とせず、単一の巧妙に細工されたHTTPリクエストを通じてシステムが侵害されるというものだった。SentinelOneは、その開示の2日前にAI支援型ハンティングをローンチしていた。Stone氏は、同社が12月9日に顧客環境で初めてReact2Shellの活動を確認し、AI支援型ハンティングがそれをフラグ検知した最初のメカニズムであったと述べた。このハンティングエンジンは、ウェブ悪用の一般的なパターンを認識するように構築されていた。
Stone氏は、弱点についても異例の率直さで語った。「当初、LinuxやMacでは強固なカバレッジがあることを把握していたが、Windowsでは現実的な課題を抱えていた」と述べ、同社には「カバーしなければならない弱点があった」と付け加えた。また同氏は、AI対人間の議論を慎重に見極めるべき投資家にとって重要となる点を強調した。最初の警告は日常的なペネトレーションテスト（侵入テスト）のように見えたが、何かがおかしいと判断したのは、長年のペネトレーションテストの経験を持つ人間のハンターだった。「私たちは技術的な解決策があり、すべてが普遍的であると言いたがる。機械駆動であると。しかし、それが私たちがこの事業を始めた方法ではない」と同氏は述べ、「長年ペネトレーションテストを見てきた専門家がいて、その専門家が『これはおかしいと直感で分かる』と言える状況があった」と振り返った。
Stone氏は、なぜこの種の検知が本番環境の検知としてではなく、ハンティングとして配備されているのかについて説明した。ウェブ悪用の大まかなパターンを認識するツールは、同氏の言葉を借りれば、エンドポイント上で「爆発的に作動」し、「顧客をアラートの洪水に埋もれさせてしまう」からだという。ハンティングから得られた知見は精査されて本番グレードの検知へと変換され、それによってハンティング層が新たな活動の追跡に専念できるようになるという仕組みだ。最初の30日間で、SentinelOneは顧客の間で8件の攻撃試行を特定した。これには、より深い侵入につながるよう設計されたとStone氏が表現したドメイン偵察や、暗号資産マイニングなどの活動が含まれていた。SentinelOne独自の調査では、最初の1週間にこの欠陥を悪用していた重要な脅威グループが少なくとも7つ特定されたという。Stone氏は、AWSが約12時間以内に中国を拠点とするグループを報告したことに言及し、CISA（米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁）が最初の悪用から36時間後にこの欠陥を「悪用が確認された脆弱性カタログ（Known Exploited Vulnerabilities Catalog）」に追加したことを指摘した。
SectopRATが示す、地味だが実用的なユースケース
3つ目の事例として挙げられたのは、あえて地味なものだった。SentinelOneが7年間にわたり追跡してきたブラウザセッションおよび暗号資産ウォレットの窃取ツール「SectopRAT」は、数カ月ごとに新しい配信ラッパーを変えて送り出されてくる。直近のラッパーは、偽のClaude Desktopインストーラーに偽装していた。Stone氏によると、ここでの核心的な検知手法はAI支援型ハンティングではなく、静的ルール、行動検知、および約50の既知のC2（コマンド＆コントロール）インジケーターが依然として亜種を捕捉できているかを確認する品質管理レイヤーとして機能したという。同社はまた、特定のマルウェアそのものではなくその「挙動」を狙ったDLLサイドローディング用のハンティングパックも構築した。このことは、この技術の短期的な価値が、新しい脅威の発見と同様に、既存のカバレッジの維持にも大きく寄与していることを示唆している。
脅威の背景：攻撃側のAI能力は3倍に、アタッカーはマシン・スピードで稼働
Stone氏は、約3カ月前に発表された英国政府の評価を引用し、フロンティアモデルの攻撃的サイバー能力が「4カ月ごとに倍増している」と指摘した。同氏の計算によれば、その能力は前回のOneCon開催時から3倍に拡大している。アタッカーによるAIの活用はもはや予測ではなく、「来年の話ではなく、昨年の話だ」と述べ、個人、小規模グループ、そして国家による利用が進んでいると指摘した。
また同氏は、AIを活用した脆弱性発見こそが最大の問題であるという見方に異議を唱えた。「脆弱性の発見は、これまでもアタッカーのボトルネックであったことは一度もない」と述べ、ディフェンダー側は20年前には数「倍（複数形）」遅れをとっており、2年前には100倍、現在は1,000倍遅れていると推計した。同氏の視点において、より大きなパラダイムシフトは「我々が文字通り、アタッカーがマシン・スピードで動くのを目の当たりにしているのは歴史上初めてであるという点だ」という。一方で、AIによる攻撃はエージェントが回避行動において規律を欠く傾向があり、プロンプトによってアタッカーが「やりたいことを文字通り書き出さざるを得ない」ため、かえって検知しやすくなる可能性があるという冷静なメリットも提示した。
ディフェンダーの優位性の主張と、それがプラットフォームに意味するもの
Stone氏は、これが「ディフェンダーにアタッカーよりも大きな利益をもたらすと私が実際に考える初めてのテクノロジーである」との見方を示す一方で、専門家の不在下ではツールだけでは不十分であると強調した。この枠組みこそが、SentinelOneが再展開している脅威サービス「Wayfinder」、Purple AI、およびエージェント型調査に関する提案の根底をなしている。Stone氏は、エージェントをスタッフのようにタスクに割り当て、24時間体制で稼働させ、アナリストをルーティンワークから解放することができると述べた。この主張は妥当であり、同社の指標とも整合しているが、あくまで解決策を販売するベンダーのエグゼクティブの視点にとどまるものである。特筆すべき点として、今回のセッションでは独立したベンチマーク、ハンティングエンジンの誤検知率（フォールス・ポジティブ率）、および顧客ごとの経済性に関するデータは一切提示されなかった。投資家は、これらの運用上の効率化がプラットフォームビジネスの持続的な成長を牽引できるかどうかの証拠を、翌日の製品ロードマップやWeingarten氏の発言に求めることになるだろう。