マイクロソフトとパロアルトネットワークスは、今週、独自のコード上でAIを使用して脆弱性を見つけた後、大きな成果を得たことを別々に報告しました。
Claude Mythosなどの高度なAIモデルは、サイバーセキュリティ業界で脆弱性発見の風景が今後どのようになるかについて議論を引き起こしています。これらのAIモデルがゲームチェンジャーであることを確認した組織がある一方で、実際のパフォーマンスについて懐疑的である組織もあります。
マイクロソフトは火曜日、最新のパッチチューズデーアップデートで修正された137個の脆弱性のうち12個以上が、MDASH（マルチモデルエージェンティックスキャニングハーネス）と呼ばれる新しいAIシステムによって発見されたことを発表しました。このシステムはマイクロソフトのAutonomous Code Securityチームによって構築されました。
パロアルトネットワークスは水曜日、Claude Mythosおよび他の最先端AIモデルを使用して製品ポートフォリオを深く調査した結果、数十個の脆弱性が発見されたことを明らかにしました。
マイクロソフトMDASHが16個の脆弱性を発見
マイクロソフトのMDASHシステムは、複数の最先端モデルとフィルタリングされたAIモデル全体で100以上の特殊なAIエージェントを編成し、テクノロジー大手独自のコードベースの脆弱性を見つけるために使用されています。
MDASHは、複数の異なるステージを通じて発見を進める構造化パイプラインを実行するように設計されています。準備、スキャン、検証、重複排除、プルーフ構築です。異なるエージェントが異なる役割を処理します。候補脆弱性を特定するもの、その悪用可能性のために議論するもの、最後のステージは実際にバグをトリガーする入力を構築しようとするものです。このマルチステージディベートアーキテクチャは、発見がヒューマンエンジニアに到達する前に精査に耐える必要があることを意味します。
マイクロソフトによると、MDASHは最新のパッチチューズデーアップデートで修正された脆弱性のうち16個を発見するために使用されました。そのうち4つはクリティカルと評価され、Windowsカーネルタクプ/IPスタックおよびIKEv2サービスなどのコンポーネント内の認証されていないリモートコード実行の欠陥が含まれています。
マイクロソフトはまた、2つの綿密に監査されたWindowsコンポーネントのパッチ前のスナップショットに対してMDASHをテストし、AIは過去5年間に見つかった確認済み脆弱性の96％および100％を回復しました。さらに、パブリックなCyberGymベンチマーク（1,507個の実世界の脆弱性タスクを含む）では、AIシステムは88％のレーティングを達成しました。
MDASHは現在、限定的なプライベートプレビューにあり、マイクロソフトはセキュリティチームに早期アクセスの申請を招待しています。
パロアルトネットワークスが75個の脆弱性をパッチ
パロアルトネットワークスは通常、月に5～10個の公開情報を発行しています。しかし水曜日に26個の新しい公開情報を発表しました。これはMythosなどの最先端AIモデルへの早期アクセスの成果として記録されています。
同社は、SaaSで配信されたおよびユーザー運営環境をまたいだ130個以上の製品を分析するためにAIを使用しました。これにはCyberArk、Chronosphere、およびKoiの最近の買収を通じて取得された製品が含まれています。
26個の新しい公開情報は75個の脆弱性をカバーしています。いくつかは外部の研究者に帰属していますが、大部分はAIを使用した内部検出でした。
サイバーセキュリティ大手は、75個の脆弱性のいずれもクリティカルではなく、それらが野生で悪用されたという兆候がないことを指摘しました。
3つの高深刻度脆弱性が検出されましたが、その悪用にはそれらを武器化するために非常に特定の構成が必要です。
パロアルトネットワークスは、AIスキャンがより広く普及するにつれて、脆弱性発見とパッチ適用が急増すると予想しています。セキュリティ企業は、敵に先行するためにわずか3～5か月のウィンドウしかないため、緊急に行動すべきだと考えています。
同社は、その直近の優先事項は脆弱性の修復ですが、長期的なシフトは本番コードに到達することを防ぐため、ソフトウェア開発ライフサイクルにAIモデルを直接組み込むことを含むと述べました。
「1日で26個のセキュリティ公開情報をリリースすることは、Frontier AIモデルを利用した当社の内部セキュリティ研究の直接的な結果です」と、パロアルトネットワークスのCISO Marc Benoitは述べました。「ボリュームは深刻度と同じではなく、むしろ悪用ステータスが「既知のものなし」である間に問題を見つけるという我々のコミットメントを反映しています。」
