Hardening 2026 Agentic Collapse の振返り

3回目のHardening競技会に参加して感じたことを、つらつらと書いてみました。あくまで個人的な体験ベースなので、構成はあまりきっちりしていませんが、ちょうどこのホームページを作り終えたところで、ブログに何か投稿するきっかけが欲しかったんです。

そもそもHardeningとは？

ざっくり言うと、Hardeningは毎年、日本のどこかの地方都市で3〜4日間にわたって開催されるイベントです。私はずっと「逆CTF」のようなものだと思っています。CTFは、プラットフォームに侵入してフラグを集め、最高得点を競いますよね。一方Hardeningでは、学生と社会人が入り混じった、IT運用やセキュリティの経験もバラバラなチームで、小さなECサイトの事業運営を再現した仮想マシンの数々を渡され、それを守ることになります。

敵は「Kuromame 6」(名前の由来は、正直さっぱりわかりません)という悪名高いハッカー集団です。渡されるシステムは驚くほど脆弱で(おそらく多くの企業のIT環境をかなりリアルに再現しているのでしょう)、それでいて在庫管理、取引先への請求、架空の商品の販促物づくりといった通常業務も止めずに回さなければなりません。

各チームには、公開されているWebサイト(ECストア)がいくつか割り当てられ、8時間のHardening Dayのあいだ、クローラーが定期的に巡回して商品を購入し、それがチームのスコアになります。これに加えて、こなすべきミッションがあり、イベントの後にはSoftening Dayで、詳細な分析、作業報告書、プレゼンテーションの発表まで行います。また、多くのスポンサー企業が自社製品やカスタムソリューションをマーケットプレイスに出品しています。

私の過去のHardening体験

初参加は「Hardening 2024 Convolutions」、沖縄県豊見城市でした。参加を申し込み、素晴らしい業界の仲間たちとチームを組み(その後、別の場所でばったり再会した方も多いです)、主に技術面を担当しました。ファイアウォールの設定を延々といじり続け、全商品ページの価格が0円にされてしまうのを止めようと奮闘したこと(ほとんど徒労に終わりましたが)をよく覚えています。

何より驚いたのは、イベントの個性の強さと、その楽しさです。8時間、空手会館にこもりきりだった翌日には、運河でハーリー船を漕ぎ、沖縄のビーチで最高のBBQを楽しんでいました。私はセキュリティ業界のイベントにはよく顔を出していますが、多くはもう少し落ち着いた雰囲気なので、Hardeningの賑やかさは格別でした。チームの成績もなかなか立派で、バラクーダネットワークスのWAFを使いこなしたことで、同社からスポンサー賞をいただきました。

2回目の挑戦は昨年、同じく豊見城市で開催された「Hardening 2025 Invisible Divide」です。2024年のチームの成績は悪くありませんでしたが、イベントを通じて闘争心に火がついてしまい、もう一度挑戦したくなりました。今度はチームリーダーに名乗りを上げ、書類作成や連絡調整などの非技術的な業務を含む、ビジネス面の指揮も担当しました。健闘の末、惜しくもグランプリでは2位となり、バラクーダネットワークスとソフトバンクからもスポンサー賞をいただきました。

あの年のチームメイトには本当に感謝しています。私のやり方はかなり「型破り」でしたが、チームはそのうちのいくつかを受け入れつつ、しっかり機能するチームにまとめ上げてくれました。(最初はきっと変人だと思われていたはずです。)

Hardening 2026 Agentic Collapse

今週、北海道函館市で開催された「Hardening 2026 Agentic Collapse」に参加してきました。今回の違いは、スポンサーチームの一員としての参加だったことです。私の勤め先である神戸デジタル・ラボ(KDL)は、オーダーメイドのITソリューションと情報セキュリティのコンサルティングなどを提供しています。同僚たちと私(全員Hardeningの参加経験者です)は、これまでの経験を活かしたアプローチを心がけました。

2025年、私のチームはたくさんのことを自動化しました。パスワードの変更、パスワードポリシーの変更、バックアップなどです。スクリーンショットを自動で撮るスクリプトまで作ったので、あとからレポートを書くのが格段に楽になりました。そこで、他のチームの負担を少しでも減らせるものを作りたいと思いました。見知らぬネットワーク環境を渡されて「8時間守れ」と言われたら、誰でも圧倒されてしまうものですから。

その経験をもとに、将来のお客様向けの自動バックアップソリューションを作ることにしました。種明かしは控えめにしますが、データベースのダンプ、サーバー上の主要フォルダの収集、圧縮、そしてKDLのマーケットプレイスサーバー(Kuromame 6の攻撃対象外のはず)への転送までを自動で行う製品です。競技者のサーバーが攻撃を受けたときは、KDL側からバックアップを引き戻して、ファイルを復元したり被害をなかったことにしたりできます。Hardeningの環境で、素早く簡単に導入できるように調整してありました。

同僚も同じく「あの修羅場の最中に、あったらいいなと思ったもの」という発想で、Discord連携のスマートなサーバー死活監視ツールを開発しました。サーバーが落ちるとほぼ即座にチームに通知してくれるので、攻撃を受けたときだけでなく、ファイアウォールを締めすぎてしまったことに気づくのにも重宝します。

私たちの製品は今年の競技者チームにとても好評で、なんと完売しました！これまで何度か最前線を経験してきた身として、今回は違う立場からHardeningに関わり、他のチームを支えられたのは嬉しいことでした。

Hardeningの魅力

私がHardeningに何度も参加してしまう理由は何なのか、しばらく考えてみました。

実践的な面から言うと、これはセキュリティ分野の若手にとって、本物の修羅場を体験できる絶好の機会です。手順書どおりに進めればいい穏やかな状況ではありません。ファイアウォールの変更、ミッション、連絡調整、書類作成を同時にこなしながら、装備も腕も一流のハッカー集団が運用を妨害しにきます。「最悪の一日」をかなりリアルに体験できるのに、現実の被害は一切ありません。

さらに、実務にもよく還元されます。今年のKDLの2つの製品は、どちらも競技者として直面した課題から生まれました。極限状態の一日を過ごすと、何が足りないのかがはっきり見えてくるからです。スポンサーのマーケットプレイスも、双方にメリットがあります。参加チームは本番さながらのプレッシャーの中で実際の製品を試せますし、ベンダー側は率直なフィードバックを得られます。

そして、なんと言っても楽しいんです。学生と社会人が混ざったチーム、同じ会場にいるスポンサー企業の皆さん、そしてふだんなら訪れる機会のなかった日本の各地を巡れること。今年の開催地は函館で、遠い街なので、このイベントがなければ行くことはなかったと思います。戊辰戦争最後の戦い・函館戦争の舞台となった星形の城郭、五稜郭は、行く価値十分です。

そして北海道の食べ物は、ほっぺたが落ちるほど絶品です。

函館山からの夜景も、本当におすすめです。

毎回のイベントを終えるたびに、新しい出会い、新しいアイデア、新しいスキル、そして日本の地方の新たな魅力を持ち帰っています。

これから

競技者として2回、そしてマーケットプレイスの製品を出すスポンサーとして1回参加した今、またぜひ参加したいと思っています。スポンサーとしての参加も考えていますが、チームを直接サポートする「Support Agent」という役割にも興味があります。乞うご期待！

そして、この記事を読んでいる日本在住の学生や社会人の方も、ぜひ参加してみてください！ITやセキュリティの経験が少なくても心配いりません。経験のある仲間とチームを組めますし、この業界に気軽に足を踏み入れて、その実態を肌で感じられる素晴らしい機会です。

最後になりましたが、Hardeningの運営の皆様に心から感謝申し上げます。これほど規模が大きく、完成度が高く、そして楽しいイベントを毎年開催し続けるのは並大抵のことではありません。競技者としても、スポンサーチームの一員としても関われたことを、本当に嬉しく思っています。