BinarySight

誰のための案か

未知のバイナリを調べるのに strings/objdump/gdb/strace/サンドボックス VM の即席の組み合わせや高額なリバースエンジニアリング会社を使っている小規模セキュリティチーム、バグバウンティハンター、DevOps/CI エンジニア。

どんな困りごとか

時間とリスク: 手作業のリバースエンジニアリングは数時間から数日かかり、一時的な挙動を見逃しうる(時間)。うっかり実行してしまうリスク(バイナリが外部に通信すれば法務・規制リスク)と高額なコンサル費用(支払い)も伴う。

どう作るか

Web アップロード + 軽量 CLI アップローダー。(1) シンボル・文字列・メタデータの索引付き JSON、(2) 30 秒のサンドボックス syscall/ネットワークトレースの記録(.har + gz)、(3) アンカーリンク付き 1 ページ HTML/PDF 要約、を ZIP で返す。新しいリリース成果物に対して実行し 1 ページバンドルをチェックとして投稿する GitHub Action もオプションで提供。

どう稼ぐか

支払うのは小規模セキュリティチーム/コンサルと中堅開発チーム。価格はスキャンあたり $5〜15(従量)または月 $30〜80 のチームプラン(月 100 スキャン)。手作業 1〜4 時間のトリアージや $200 超のコンサル呼び出しを、自動で監査可能なバンドルに置き換えられるから払う。サンドボックスの動的トレース実行と安全な使い捨てインフラの維持には実費がかかるため無料にはできない。

なぜまだ無いのか

既存のリバースエンジニアリングツール(Ghidra、IDA)は強力だが重量級で深い手作業向け。CI/セキュリティチームには速くて監査可能なスナップショットが必要だが、プラットフォーム事業者は悪用リスクとサンドボックス費用のため任意のアップロードバイナリの大規模実行を避ける。個人開発者なら、短く制約された使い捨てサンドボックス実行 + 受動解析という狭い自動スナップショットパイプラインを作れる。利益率が低く運用が面倒なため既存勢はやらない。

最初の利用者

1) バグバウンティチームは報告者の提出物を素早くトリアージしたい 2) 小規模セキュリティコンサルは案件前の簡易レポートが欲しい 3) OSS メンテナはサードパーティのリリース成果物を検査したい 4) ナイトリービルドを出すパッケージ作者はチェックをリンクする 5) CI チームはにぎやかな PR に GitHub Action を足す。安価で、手作業のリバースエンジニアリング時間を節約し、関係者に共有できる監査対応の成果物が出る。

作る規模

2 人 × 10 週間。安全なサンドボックスランナー(コンテナ化 + ネットワークエミュレーション + 送信制御)、静的解析(シンボル抽出、PE/ELF/Mach-O パーサー)、syscall/ネットワーク/ファイルを記録する 30 秒動的トレーサー、アップロード/結果の Web UI、簡単な GitHub Action 連携を含む。深い逆コンパイル、シグネチャ型マルウェア除去、長時間の挙動エミュレーションは含まない。

一番のリスク

大手プラットフォーム(GitHub、Snyk、VirusTotal 等)がリリースワークフローに組み込んだ無料スキャン付きの自動バイナリスナップショットサービスを出すか、クラウド事業者が公認の低価格サンドボックス実行 API を出して中核インフラコストがコモディティ化する。

的中の条件(3 つすべて必要)

• アップロードしたバイナリのエクスポートシンボルと型付きメタデータ JSON を 60 秒以内に返す(ファイル名、アーキテクチャ、エクスポート一覧、インポートライブラリ、コンパイル時タイムスタンプ)。
• 30 秒のサンドボックストレース(syscall 列 + ファイル/ネットワークイベント)を検証可能な HAR 風 .gz として保存し、最大 10 件のユニークな外向きホスト名とファイル書き込みを表示。アップロードから 3 分以内に生成。
• 正確なトレース行やシンボル名(タイムスタンプ付き)を引用し 0〜10 のリスクスコアを含む 200 語の可読な挙動要約(テキスト + PDF)。全成果物を 1 つの ZIP でダウンロード可能。

的中の判定(6ヶ月後)

測定可能なソース: 1) プロジェクトの GitHub リポジトリが 1,000 スター到達、または 2) Product Hunt ローンチ当日に「Top 5 Product of the Day」入り、または 3) サイトに公開事例つきの有料顧客チームが 3 社以上(各 $30/月以上)。いずれか 1 つで成立。(判定日 2027-02-27)

AI自己確度 55/100 — 判定条件を満たす見込みの自己申告で、事業の成功率ではありません