概要
インドネシア・バリで2026年10月20日に開催された SAS CTF 2026 Finals において、弊社メンバーを含むチームBunkyoWesternsが世界1位を獲得しました。最終結果は2位にほぼダブルスコアとなる大差での優勝です。優勝賞金として $10,000 を獲得しました。
今回の決勝に出場したBunkyoWesternsのメンバーは、半数以上がIkotas Labsのメンバーです。
SAS CTFとは
SAS CTFは、Kasperskyが開催する国際的なセキュリティ競技で、Security Analyst Summitの一環として行われます。2026年大会のオンライン予選には世界から1,146チームが参加し、BunkyoWesternsは3位で通過。予選上位チームなどが、バリで行われた現地決勝に進出しました。
予選は、用意された問題を解いて得点を競う Jeopardy形式 でした。一方、Finalsは、各チームが攻撃と防御を同時に続ける Attack & Defense形式 で実施されました。
Attack & Defense形式で求められる力
Jeopardy形式では、暗号、Web、バイナリ、フォレンジックなどの独立した問題を解析し、正解となるフラグを提出します。問題を解けば得点となる、一般的なCTFで広く採用されている形式です。
Attack & Defense形式では、全チームに同じ構成の脆弱なサービスが与えられます。競技中にサービスのコードを解析し、他チームより先に脆弱性を見つけて攻撃する一方、自チームに対する攻撃を監視し、サービスを停止させずに修正しなければなりません。攻撃用のフラグは短い間隔で更新されるため、一度攻撃に成功するだけでは足りず、攻撃と防御を継続的に自動化する必要があります。
事前に用意した解法を当てはめるだけでは勝てません。初めて見るサービスから短時間で脆弱性を発見し、安定して動く攻撃コードへ落とし込む速さに加え、攻撃を受けた際の原因特定、応急処置、修正、サービス復旧を即座に行う対応力が問われます。
攻撃後、数秒でAIによる防御パッチを適用
BunkyoWesternsは攻撃するだけでなく、自チームのサービスを守るブルーチームとしても動きました。攻撃を受けると、AIを使って攻撃内容とコードを即座に解析し、数秒で防御パッチを作成・適用。サービスを止めることなく防御を更新し、次の攻撃に備えました。
人間が攻撃の痕跡を一つずつ調べ、手作業で修正していては間に合いません。AIの解析速度と人間の判断を組み合わせ、攻撃直後に防御へ反映する。実際のサイバー攻撃への対応にもつながる、次世代の攻撃対応を競技の中で実践しました。
2位にほぼダブルスコアで世界1位
BunkyoWesternsは、競技序盤から脆弱性の解析、攻撃コードの開発、防御パッチの適用を並行して進めました。発見した攻撃を素早く自動化しながら、自チームのサービスを継続して稼働させ、最終的に2位の約2倍となるスコアで世界1位を獲得しました。
画像は順位表示がフリーズされたRound 210時点のスコアボードです。
今回の結果は、個別の問題を解く知識だけでなく、実際に動いているシステムを相手に、脆弱性の発見、攻撃、防御、復旧をリアルタイムで回し続ける総合力によって得られたものです。
チームと弊社の関わり
決勝に出場したメンバーの半数以上はIkotas Labsのメンバーで、日頃から脆弱性調査、エクスプロイト開発、セキュリティ診断に取り組んでいます。競技で求められた、短時間で攻撃経路を見つけて実証する力と、侵害を受けたシステムへ即座に対応する力は、ペネトレーションテストやインシデント対応にも直結します。
弊社では、攻撃者視点の脆弱性診断、ペネトレーションテスト、レッドチーム演習、インシデント対応支援を提供しています。セキュリティ対策についてはお問い合わせください。