ニュースノート · IDAEO AI News
ニュース本文
概要
株式会社Ikotas Labs（代表：辻 知希、以下Ikotas Labs）は、TrendAIのZero Day Initiative（ZDI）が主催する世界最高峰のハッキングコンテスト「Pwn2Own Ireland 2026」（2026年10月6日〜9日、アイルランド・コークで開催）に出場し、賞金総額$361,000と42.5 Master of Pwn Pointsを獲得しました。 Ikotas Labsがハッキングに成功したのは、Google Pixel 10、Samsung Galaxy S26、OpenAI Codex、Oracle Autonomous AI Databaseの4製品です。最新スマートフォンからAIコーディングエージェント、AIデータベースまで、広く利用される製品に潜んでいた合計13件の未公開脆弱性を発見し、実機上で攻撃が成立することを証明しました。 特にGoogle Pixel 10とSamsung Galaxy S26では、利用者が攻撃者の用意したリンクを開くことをきっかけに、離れた場所からスマートフォン上で攻撃者の命令を実行できることを実演しました。Pixel 10への攻撃では、今大会最高額となる$300,000を獲得しています。 世界から29チームが参加した大会で、Ikotas Labsは2位に15ポイント差をつけて総合1位となりました。大会全体で最も多くのポイントを獲得したチームに贈られる「Master of Pwn」の称号を、日本企業として初めて獲得しました。
スマートフォンをハッキングし、遠隔操作を実証した場面
Pwn2Own Ireland 2026公式最終リーダーボード。Ikotas Labsは42.5ポイント、賞金$361,000で世界1位。
Pwn2Ownとは：世界中のトップハッカーが最新製品を本気で攻める大会
Pwn2Ownは、世界中のセキュリティ研究者がスマートフォン、AI、データベース、プリンター、スマートホーム機器などを実際にハッキングし、その技術力を競うコンテストです。参加者が使用するのは、メーカーにもまだ知られていない、または修正が公開されていないセキュリティ上の欠陥です。こうした未知・未公表の脆弱性は「0-day（ゼロデイ）」と呼ばれます。 単に不具合を見つけるだけでは成功になりません。決められた制限時間の中で実機を攻撃し、スマートフォンやシステムを実際に動かして、攻撃が成立するところまで公開のステージ上で証明する必要があります。成功した攻撃には賞金とMaster of Pwn Pointsが与えられ、最終的に最も多くのポイントを獲得したチームがMaster of Pwnとなります。2026年大会では29チームが合計61回のハッキングに挑戦し、大会全体で98件の0-dayが認定されました。支払われた賞金総額は$1,262,000です。
Pwn2Own Ireland 2026の会場
4製品のハッキングに成功、賞金総額$361,000
Ikotas Labsは3日間で5回のハッキングに挑戦し、Google Pixel 10、Samsung Galaxy S26、OpenAI Codex、Oracle Autonomous AI Databaseの4製品で成功しました。
Day
ターゲット
賞金
Pts
Day1
Samsung Galaxy S26
$11,000
4.5
Day1
OpenAI Codex
$40,000
4.0
Day2
Oracle Autonomous AI Database
$10,000
4.0
Day3
Google Pixel 10
$300,000
30.0
Day 1：Samsung Galaxy S26をリンクから遠隔操作
最初の成功はSamsung Galaxy S26でした。Ikotas Labsは4件の脆弱性を組み合わせ、利用者が攻撃者の用意したリンクを開くと、離れた場所から端末上で攻撃者の命令を実行できることを証明しました。攻撃者がスマートフォンに直接触れなくても、インターネット越しに端末を操作できる深刻な攻撃です。 4件のうち1件は、審査時点ですでにメーカーへ報告されていた脆弱性と一部が重複していたため、賞金とポイントの一部が減額されました。攻撃そのものは成功と認定され、$11,000と4.5ポイントを獲得しました。
Samsung Galaxy S26への攻撃に成功し、離れた端末から命令を実行している画面。画像提供：Zero Day Initiative
Day 1：OpenAI Codexをハッキングし、想定外のプログラムを起動
同日、Ikotas LabsはOpenAIのAIコーディングエージェントCodexのハッキングにも成功しました。攻撃者が用意したディレクトリをCodexに読み込ませることで、本来は許可されていない命令を実行させ、端末上で電卓アプリを起動しました。そのAIを動かしているコンピューター上で攻撃者の命令が実行され得ることを示したものです。 この脆弱性は、他チームの報告と重複しない独自の0-dayとして認定され、満額の$40,000と4ポイントを獲得しました。Ikotas LabsはPwn2Own Berlin 2026でもCodexのハッキングに成功しており、今回で二大会連続の成功です。Pwn2Own Ireland 2026でCodexのハッキングに成功したのはIkotas Labsだけでした。
OpenAI Codexへの攻撃により、本来意図していない電卓アプリを起動。画像提供：Zero Day Initiative
Day 2：OracleのAIデータベースを7件の脆弱性で突破
2日目は、Oracle Autonomous AI Databaseをハッキングしました。強固なシステムでは、一つの弱点を突くだけで最終的な遠隔操作まで到達できるとは限りません。Ikotas Labsは入口となる弱点から始め、権限を広げ、複数の防御を越えるために7件の異なる脆弱性を一つの攻撃経路として連結しました。最後は、プログラムが使用するメモリの扱いを誤らせる高度な攻撃によって、データベース環境上で攻撃者の命令を実行することに成功しました。7件すべてが独自の脆弱性として認定され、$10,000と4ポイントを獲得しました。
Oracle Autonomous AI Databaseへのハッキングに挑むIkotas Labs, Inc.
Day 3：Google Pixel 10を遠隔操作し、$300,000の賞金を獲得
最終日は、今大会で最高額となる$300,000と30ポイントが設定されたGoogle Pixel 10に挑戦しました。攻撃の入口は、利用者が攻撃者の用意したリンクを開くという日常的な操作です。Ikotas LabsはそこからPixel 10上で攻撃者の命令を実行し、離れた場所からスマートフォンを操作できることを実証しました。この攻撃は満額評価となり、1回のハッキングで$300,000と30ポイントを獲得。Ikotas Labsは一気にリーダーボードの首位へ浮上し、そのまま最終結果でも世界1位となりました。
Google Pixel 10へのハッキング成功直後のIkotas Labsメンバー
29ハッカーチームの頂点へ、日本企業として初のMaster of Pwn
最終結果は、賞金総額$361,000、42.5 Master of Pwn Points、13件の独自脆弱性でした。2位は27.5ポイントで、Ikotas Labsは15ポイント差をつけて世界1位となっています。一つの製品だけに特化するのではなく、スマートフォン、AIコーディングエージェント、AIデータベースという性質の異なる製品を次々にハッキングした総合力が、今回の結果につながりました。大会を通じて最も多くのポイントを獲得したチームに贈られるMaster of Pwnを、日本企業として初めて獲得しました。
Pwn2Own Ireland 2026のMaster of Pwnトロフィー
AIと人間のハッカーを組み合わせた脆弱性調査
今回の成果には、Ikotas Labsが開発するAIによる脆弱性調査と、人間のセキュリティリサーチャーによる解析を組み合わせたアプローチを活用しています。AIは大量のコードや攻撃経路を広く調べ、人間のリサーチャーは製品固有の仕組みを読み解き、実際に攻撃を成立させるための判断と検証を担います。
未知の脆弱性を見つけるだけでなく、攻撃者が現実にどこまで侵入し、何を操作できるのかを実証することが、Ikotas Labsのセキュリティ調査の特徴です。
法人のお客様へ：その製品は、外部からどこまで操作されるのか
スマートフォン、AIエージェント、クラウド、Webサービスは、単体では安全に見えても、複数の小さな弱点をつながれることで重大な侵入につながる場合があります。Ikotas Labsでは、Pwn2Ownで培った攻撃者視点の技術を活かし、以下のサービスを提供しています。
AI・LLM・AIエージェントのセキュリティ診断
スマートフォンアプリ、Webサービス、IoT製品の脆弱性診断
実際の侵入経路を検証するペネトレーションテスト
組織全体への攻撃を想定したレッドチーム演習
製品設計や新機能に対するセキュリティ評価
AIを活用した脆弱性調査・研究開発支援
診断では、問題の一覧を作るだけではなく、攻撃者が実際に到達できる範囲、想定される攻撃経路、優先して修正すべきリスクを明らかにします。
技術詳細の公開について
今回使用した脆弱性は、Zero Day Initiativeを通じて各製品メーカーへ共有され、修正に向けた手続きに入っています。利用者を危険にさらさないため、脆弱な部品、攻撃の再現手順、攻撃用プログラムなどの技術詳細は、メーカーによる修正が完了するまで公開しません。修正状況と公開方針を確認したうえで、安全に公開できる情報から順次発信する予定です。
お問い合わせ
AI領域のセキュリティ、脆弱性診断、ペネトレーションテスト、コンサルティングのご相談は、下記までお気軽にお問い合わせください。
コーポレートサイト: https://ikotaslabs.com/
お問い合わせフォーム: https://forms.gle/s4JF17WUjaHf6KRM9
会社概要
Pwn Anything
項目
内容
会社名
株式会社Ikotas Labs （Ikotas Labs, Inc.）
代表者
代表取締役 辻 知希
事業内容
AI×セキュリティを中核とする、攻撃者視点のセキュリティ診断・脆弱性リサーチ・コンサルティング
コーポレートサイト
https://ikotaslabs.com/
お問い合わせ
https://forms.gle/s4JF17WUjaHf6KRM9
本リリースに記載の社名・製品名は、各社の商標または登録商標です。