株式会社Ikotas Labs（東京都渋谷区）は2026年10月6日〜9日にアイルランド・コークで開かれた「Pwn2Own Ireland 2026」に出場し、Google Pixel 10、Samsung Galaxy S26、OpenAI Codex、Oracle Autonomous AI Databaseの4製品で合計13件の未公開ゼロデイ脆弱性を実証しました。賞金総額は361,000ドル、Master of Pwn Pointsは42.5で、2位に15ポイント差を付け、日本企業として初めて「Master of Pwn」を獲得しました。
Pwn2Ownは、メーカーにも未認知または未修正の脆弱性（0-day）を実機へ制限時間内に攻撃し、公開ステージで成立を示して賞金とポイントを競う大会です。2026年は29チームが参加し、全体で61回の挑戦が行われ、0-dayは98件認定、賞金総額は1,262,000ドルでした。Ikotas Labsは3日間で5回のハッキングに挑戦し、複数脆弱性の連結などで攻撃を成功させました。
内訳として、Day1はGalaxy S26で賞金11,000ドルと4.5ポイント、OpenAI Codexで40,000ドルと4.0ポイントを獲得しました。Day2はOracle Autonomous AI Databaseで7件の脆弱性を連結し、10,000ドルと4.0ポイントを獲得。Day3はPixel 10で1回のハッキングで30.0ポイントを獲得し、Pixel 10での賞金は300,000ドルと大会最高額でした。Pixel 10とGalaxy S26では、利用者が攻撃者の用意したリンクを開くことを起点に、遠隔から端末上で命令を実行できることを実演しています。
同社はAIによる脆弱性調査と人間のセキュリティリサーチャーの解析を組み合わせた手法を用いたとしています。脆弱性はZDIを通じて各メーカーへ共有済みで、修正手続き中のため技術詳細は非公開とし、修正状況と公開方針を確認のうえ、順次発信する予定です。
【関連リンク】
コーポレートサイト: https://ikotaslabs.com
