AIとセキュリティ運用――時間との新たな戦い

Anthropicが「Project Glasswing」とMythosモデルを発表した際、議論の多くはその能力そのものに集中しました。

セキュリティ責任者たちの間では、こうしたシステムが脆弱性の発見やエクスプロイト開発、攻撃的な技術革新のペースにどのような意味を持つのかが議論されました。研究者たちは技術的なベンチマークを検証し、業界関係者はこうした能力がどれほど早く攻撃者の手に渡るのかを問いました。

これらの議論はいずれも重要です。同時に、私がCISOたちと交わす議論で最も多く登場する、より大きな問いを浮き彫りにしています。それは「私たちにはどれだけの時間が残されているのか」というものです。

この1年で、AIとサイバーセキュリティをめぐる議論は目に見えて変化しました。12カ月前、セキュリティ責任者たちが知りたがっていたのは、AIがセキュリティ運用を実質的に改善できるかどうかでした。アラートを正確に調査できるのか、アナリストの作業負荷を減らせるのか、本番環境で確実に機能するのか――そうした点に関心が集まっていました。

現在、セキュリティ責任者たちが問うているのは、導入までのタイムラインや実装方法、AIがどれほどの速さで脅威の状況を変えつつあるのか、そしてそれがセキュリティチームの運用方法にどう影響するのか、といった点です。

AnthropicのMythosとGlasswing、OpenAIのDaybreak、そしてDeepSeekの進化が、こうした議論に一層拍車をかけています。それぞれの動きが、AI能力が進歩するスピードを改めて示しているのです。

AIは今や、これまで高度に専門化された知見を必要としてきたセキュリティ上の問題を推論できるようになっています。その影響は、脆弱性の発見、攻撃経路の分析、偵察活動、ソーシャルエンジニアリング、セキュリティ運用にまで及びます。

この変化が映し出しているのは、より大きな現実です。サイバーセキュリティは今、防御の質そのものと同じくらい、適応のスピードが重要になる時代に突入しつつあります。AIは攻撃と防御を同時に加速させており、各組織はこの現実に合わせてセキュリティ運用を急速に再設計しています。

ある一つの帰結が、次第に明らかになりつつあります。長年、サイバーセキュリティチームは脅威の発見、脆弱性の特定、テレメトリの収集、インテリジェンスの収集に膨大な労力を注いできました。AIはこれらの活動の多くを同時に加速させています。可視性は向上し、発見は迅速化し、調査はより速く、より網羅的になりつつあります。

ボトルネックは移動し始めています。課題の中心は次第に、組織が把握している情報にどれだけ迅速に対応できるかという点に移っています。優位に立つのは、最も多くの情報を持つ組織ではなく、その情報を最も速く実行に移せる組織になるでしょう。

圧縮されるタイムライン

サイバーセキュリティはこれまで、数多くの大きな技術的転換を経験してきました。クラウドコンピューティングはインフラを変え、モバイルデバイスは攻撃対象領域を拡大し、デジタルトランスフォーメーションはかつて孤立していたシステムをつなぎ合わせました。

AIはこれらとは異なる力学をもたらしています。

これまでの技術的転換の多くは、数年かけて展開してきました。組織には評価し、試験導入し、展開し、徐々に運用モデルを適応させる時間がありました。

しかし今回のAIのサイクルは、まったく異なるペースで進んでいます。

能力は絶えず向上し続けています。新しいモデルは数カ月ごとに登場し、新しい研究成果は数週間ごとに発表されます。セキュリティチームは、攻撃者と同じタイミングでこうした進展を吸収せざるを得ない状況にあります。

脆弱性の発見は、その好例といえます。セキュリティチームは長年、発見・検証・修復・防御という馴染み深いサイクルの中で活動してきました。AIシステムはこのプロセスのあらゆる段階を加速させています。同様のパターンは、フィッシングや偵察活動、ソーシャルエンジニアリング、攻撃計画にも見られます。

かつてはこのサイクルを一巡するのに数週間を要していた脆弱性が、今では数日、場合によっては数時間のうちにこれらの段階を通過するようになりつつあります。

攻撃者はすでにAIのスピードで活動しています。防御側は今、同じ運用スピードに到達することに焦点を合わせています。

この変化は、CISOたちが投げかける問いそのものを変えつつあります。

当初の議論は能力に焦点が当たっていました。AIはアラートを正確に調査できるのか。本番環境で確実に機能するのか。重要なセキュリティ業務を任せられるのか、といった点です。

各組織がAIを扱う経験を積むにつれ、議論の焦点は実装へと移っていきました。セキュリティチームは、AIがどこで運用上のレバレッジを生み出せるのか、そして既存のワークフローにどれだけ早く組み込めるのかを評価し始めました。

そして現在、多くのCISOが注目しているのはタイミングです。

進歩のペースは、計画期間や予算編成、運用モデルをめぐる議論に影響を及ぼしています。セキュリティ責任者たちは、調査や脅威ハンティング、検知エンジニアリング、対応ワークフローにどれだけ迅速にAIを導入できるかを評価しています。取締役会は質問を投げかけ、経営陣もこの動きに注目しています。

かつては将来的な取り組みと見なされていたセキュリティプログラムにおけるAIは、今や現在進行形の運用上の優先課題として捉えられるようになりつつあります。

業界は、AIを一つの技術として評価する段階から、AIをセキュリティ能力として組み込む段階へと移行しつつあります。

タイムラインの圧縮は、従来型のセキュリティ運用モデルに圧力をかけています。調査のスピード、対応のスピード、そして防御のカバレッジが、AIを活用する攻撃者に組織が対抗できるかどうかを左右する要素になりつつあります。

新たな局面を迎えるセキュリティ運用

AIの影響は、特にSOC(セキュリティオペレーションセンター)の内部で顕著になりつつあります。

多くのセキュリティオペレーションセンターは、単純な前提のもとに構築されてきました。アラートが人間のアナリストのもとに流れ、アナリストが調査を行うという仕組みです。そして運用能力の拡大は、主に人員採用によって図られてきました。

セキュリティデータの量やアラート件数、現代の環境が抱える複雑さは着実に増大しています。セキュリティチームはこれに対応するため、プロセスを構築し、ツールを追加し、専門的なアナリスト職を新設してきました。

AIは、運用能力の新たな供給源をもたらしています。

従来であれば、エンドポイントやID、クラウド、ネットワーク、メールの各システムにまたがる何十、何百ものアーティファクトをアナリストが調査する必要があった案件も、今では数分で処理できるようになっています。アナリストは、人手だけでは大規模に実現しにくかった調査の深さと一貫性を手にすることができるのです。

多くのセキュリティ責任者は今、この能力を運用モデルの設計という観点から捉えています。調査がどのように行われているか、業務がどう分担されているか、そして人間の専門性が最大の価値を生み出す場所はどこかを見極めようとしているのです。

アナリストの役割の進化

実際の本番導入の初期段階から見えてきた最も重要な動きの一つが、アナリストの職責の進化です。

セキュリティアナリストは今なお、セキュリティ運用の中核を担っています。AIシステムが調査業務のより大きな部分を担うようになるにつれ、アナリストの専門性はむしろ一層価値を増しています。

脅威ハンティング、検知エンジニアリング、対応戦略、ガバナンス、そして監督といった領域への注目が高まっています。アナリストは、調査の進め方を設計し、結果を評価し、セキュリティ運用全体を改善することに、より多くの時間を割くようになっています。

すでに多くの組織がこの転換に着手しています。

各チームは、プロアクティブなセキュリティ活動への投資を強めています。検知エンジニアリングのプログラムは拡大し、脅威ハンティングはより手の届きやすいものになりつつあります。アナリストは、同じ調査作業を繰り返す時間を減らし、システムの改善に充てる時間を増やしています。

こうした変化が生み出しているのが、私が「アナリスト増幅型SOC」と呼ぶものです。これは、AIがセキュリティ専門家の活動範囲を広げ、組織全体でより深いセキュリティ業務を可能にする環境を意味します。

信頼は不可欠だが、スピードを犠牲にする必要はない

タイムラインが圧縮される中で生じがちなのが、スピードと信頼をトレードオフとして捉える発想、つまり「速く動くために検証を減らす」という考え方です。この発想は避けられないもののように思えます。しかし実際には、そうではありません。

私たちは抽象的な意味でAIを信頼しているわけではありません。信頼するのは、自社のツールやテレメトリ、そして自社のネットワークにしか存在しない例外的なケースを理解しているシステムです。問題は本来、スピードそのものではなく、文脈を欠いたスピードにあります。文脈を理解しないシステムが速く動けば動くほど、検証できない判断が積み上がっていくのです。

すべてのネットワークを画一的に扱うのではなく、システムが素早く導入でき、導入後は自社の環境に合わせて調整されていくとき、このジレンマは和らぎます。スピードはもはや信頼と引き換えにするものではなくなります。環境について学べば学ぶほど、システムはより鋭敏で信頼できるものになり、両者は競合するのではなく相乗効果を生むようになります。信頼は依然として、測定可能な成果や判断過程の可視性、安定した性能といった運用上の実績を通じて築かれます。しかし、その実績がどこに蓄積されるかが重要な意味を持つのです。

実際に最も速い進歩を遂げている組織は、この点を理解しています。彼らはスピードのために品質や信頼を犠牲にすることはありません。自社の環境の中で信頼を勝ち取っていけるAIに投資することで、そもそもどちらかを選ぶ必要をなくしているのです。

急速な変化の時代におけるリーダーシップ

MythosとGlasswingをめぐる議論は、セキュリティ責任者たちが直面するより大きな現実を映し出しています。

AIは今や、攻撃と防御の両方に組み込まれつつあります。セキュリティチームは調査や検知エンジニアリング、対応ワークフロー、脅威ハンティングにAIを取り入れ、攻撃者側もまた、自らの活動にAIを取り入れています。

セキュリティ責任者たちには、こうした能力が進化を続ける今こそ、運用モデルを刷新し、防御能力を拡大し、組織としての経験を積む機会があります。

今日、着実に進歩を遂げている組織は、備えへの投資を行っています。経験を積み重ね、ワークフローを適応させ、セキュリティ運用の新たなモデルに向けてチームを準備しているのです。

サイバーセキュリティの次の局面を決定づけるのは、人間の判断力と機械規模の実行力を、組織がどれだけ効果的に組み合わせられるかにかかっています。

セキュリティ責任者たちが直面する問いは、次第に明確になりつつあります。「自らの組織は、絶えず変化し続ける脅威環境にどれだけ迅速に適応できるのか」という問いです。

本記事は、Foundry Expert Contributor Networkの一環として公開されています。
参加をご希望の方はこちら