Replitは2026年8月17日(現地時間)、Replitアプリケーション向けのブラックボックス型侵入テスト(pen test)を提供開始した。これは、外部攻撃者の視点からネットワークを通じてアプリのセキュリティ脆弱性を検出するもので、ソースコードアクセス型のホワイトボックススキャンを補完する。開発者はプロジェクトのセキュリティセンターから「Level 3」スキャンを実行することで利用できる。
ブラックボックス型侵入テストは、アプリケーションのソースコードにアクセスせず、外部の攻撃者が行うのと同様にネットワークを通じてテストを実行する。これは、コードを読み込んで危険なパターンを特定する既存のホワイトボックス型スキャンとは異なり、実際にアプリを操作して脆弱な箇所を探す。Replitは、アプリの完全なコピーをプライベートサンドボックスで実行し、安全な環境でテストを行う。
このスキャナーは、最初にアカウントなしでアプリを操作し、訪問者がアクセスできる範囲を確認する。次に、認証済みの一般ユーザーとして再度テストを行い、他のユーザーの記録へのアクセスや管理者専用エリアへの到達可能性を検証する。テスト完了後、確認された問題のリストが提供され、Replit Agentを使用して修正できる。
Replitが実施した両スキャンを比較したところ、それぞれ異なる種類の脆弱性を発見した。ホワイトボックススキャンは、アクセス権を失ったユーザーが操作を継続できるバグなど、微妙なロジックの欠陥検出に強みがある。一方、ブラックボックススキャンは、推測可能なアドレスにログイン不要な管理ダッシュボードが存在するなどの問題を特定した。マルチプレイヤーゲームの例では、ブラックボックススキャナーのみが、エンドポイントに過負荷をかけることで進行中のマッチをクラッシュさせられる脆弱性を発見した。
Replitでは、このブラックボックス型侵入テストは、ホワイトボックス型セキュリティスキャンと、悪意のあるパッケージファイアウォール、WAFファイアウォール、SSL/TLS暗号化を含むReplit Auto-Protectの機能群に加わる。利用可能なアドホックセキュリティスキャンは以下の3つのレベルがある。Level 1は依存関係チェックと静的コード分析、Level 2はホワイトボックスエージェントスキャナーによる詳細なセキュリティスキャン、そしてLevel 3はホワイトボックススキャナーとブラックボックススキャナーの両方を実行する。
参考: Replit Blog (アーカイブ) — 2026年8月18日 01:52 (JST)
原文ハイライト"A penetration (”pen”) test is a safe, authorized mock cyberattack"