Ikotas Labs、Pwn2Own Ireland 2026で総合1位 日本企業初「Master of Pwn」獲得

　株式会社Ikotas Labs は 10 月 12 日、10 月 6 日から 9 日までアイルランド・コークで開催されたハッキングコンテスト「Pwn2Own Ireland 2026」で総合 1 位となり、「Master of Pwn」の称号を獲得したと発表した。同社によると日本企業による同称号の獲得は初。

　Pwn2Own は TrendAI の Zero Day Initiative（ZDI）が主催するコンテストで、今大会には世界から 29 チームが参加した。同社は 5 回の挑戦中 4 回成功し、13 件のユニークな脆弱性が認定され、賞金 36 万 1,000 ドル（約 5,700 万円）と 42.5 ポイントを獲得した。2 位との差は 15 ポイントであった。

　最終日には、今大会最高額の 30 万ドル（約 4,700 万円）と 30 ポイントが設定された Google Pixel 10 の遠隔攻撃に挑戦し、利用者がリンクを開くことを起点として端末上でコードを実行し、遠隔操作できることを実証した。同端末ではそれまでにも成功例があったが、いずれもバグコリジョン（参加者が独自に発見したもののすでに報告されていた場合）として減額されており、同社は今大会で初めて満額評価となる完全なエクスプロイトに成功して首位に浮上した。

　このほか、Samsung Galaxy S26 では 4 件の脆弱性を連鎖させ、利用者がリンクを開くだけで攻撃者のコードを実行できることを実証した（うち 1 件はバグコリジョン）。AI コーディングエージェントの OpenAI Codex は引数の不正注入により攻略し、Pwn2Own Berlin 2026 に続く二大会連続の成功となった。Oracle Autonomous AI Database では 7 件の脆弱性を連鎖させて遠隔コード実行を達成しており、同社が開発する AI による脆弱性調査と、人間のリサーチャーによる解析を組み合わせたアプローチを活用したという。

　使用した脆弱性は ZDI を通じて各製品ベンダーへ共有され、修正が完了するまで攻撃に直結する技術詳細は公開しないとしている。