Show HN: Exfault——エージェント駆動型モバイルアプリペネトレーションテストツールを開発しました
Androidアプリの脆弱性を自律的に発見するAIエージェントツール。静的解析・動的解析とAIエージェントを組み合わせ、jadx、apktool、Frida、hermes-decなどのツールを活用。実Androidエミュレータ上でアプリを操作し、脆弱性を検証・報告する。APKをアップロードせず、パッケージ名を入力するだけでテスト可能。認証情報を渡せば自動ログインして認証後の攻撃面も探索する。無料デモあり。
背景メモ
- ExfaultはAndroidアプリの脆弱性を自動検出するAIエージェント型ペネトレーションテストツール。作者がShow HNで公開した。
- 近年「vibe coding」（AIにコード生成を任せて高速開発するスタイル）の普及でモバイルアプリのリリースペースが上がり、セキュリティ検証が追いついていない課題に着目。
- Webアプリ向けのAIペネトレーションツールは増えているが、Android/iOS向けはまだ少ない。Exfaultはjadx（逆コンパイラ）、apktool（リソース解析）、Frida（動的解析）、adb（デバッグブリッジ）などの既存ツールをAIエージェントが連携して使い、実エミュレータ上でアプリを操作しながら脆弱性を検証・報告する。
- パッケージ名を指定するだけでAPKを自動取得して解析開始。認証情報を渡せばログイン後の画面もテスト可能。MFAなど複雑なログインフローには人間の介在（Human-in-the-loop）を準備中。