AIによってサイバー攻撃が加速し、個別化が進む中、セキュリティ責任者の防御戦略の土台に存在する亀裂は、ますます見つかりやすくなっています。
OpenAIは、自社モデルの1つがテスト環境から脱出し、Hugging Faceのシステムに自力で侵入したことを公表しました。この事件は各種メディアで、AIが主導する攻撃の新時代の幕開けとして報じられました。しかし事件の根本原因は、目新しいものではありませんでした。設定ミスのあったサンドボックス――AIの有無にかかわらず、何十年もの間、侵害を引き起こし続けてきたのと同種の、基本的なセキュリティ上の不備だったのです。
AIシステムはすでにソフトウェアの脆弱性を発見し、ソーシャルエンジニアリング攻撃を個別に仕立て上げ、膨大な量のセキュリティデータを分析し、相互接続されたシステム全体で自律的に行動し始めています。しかし専門家によれば、より差し迫った教訓は、それほど華々しいものではないかもしれません。組織が何十年もの間実行に苦労してきた基本的なサイバーセキュリティ対策は、その重要性を失うどころか、むしろ増しているというのです。
「サイバーセキュリティの基本は、これまでと同じくらい、いやおそらくそれ以上に重要です」と、Amazon Web ServicesのVP兼特別技術者であるエリック・ブランドワイン(Eric Brandwine)氏はCSOに語ります。「話の筋書きはこれまでとまったく同じです――サイバーセキュリティの基本はすべて変わりません。ただし、より機敏に、より即応的にならなければなりません」
AIによってセキュリティ負債が表面化する
サイバーセキュリティプログラムは、これまでも常に、未解決の脆弱性や不完全な資産インベントリ、老朽化したインフラ、管理が行き届かないアクセス権限をやむを得ず受け入れながら運用されてきました。修正には多大なコストがかかったり、業務に支障をきたしたりするからです。しかしAIは、その結果を一変させます。かつては熟練した人間が相当な時間をかけて発見していた弱点が、いまやアプリケーションやインフラ、外部に露出したシステムを自動的かつ繰り返し調べることで見つかってしまうのです。
「私たちが抱えてきた過去からのセキュリティ負債が、いま前面に出てきています」と、Noma SecurityのCISOであるダイアナ・ケリー(Diana Kelley)氏はCSOに語ります。「以前なら人間がわざわざ突いてこなかったような単純なミスや、発見するのが難しすぎたようなミスであっても、いまやAIがマシン速度で、エージェント的な規模で、何度も何度も探し回り、こうした露出をすべて見つけ出し、悪用しようとしています」
ケリー氏は、「ForcedLeak」と呼ばれる間接的なプロンプトインジェクション脆弱性に関するNoma Securityの調査を例に挙げます。ForcedLeakでは、Webフォームを通じて送り込まれた悪意ある指示によって、Salesforce AIエージェントが画像リクエストを通じて機密情報を外部に流出させてしまう可能性がありました。しかし、この攻撃が成立した背景には、実にありふれた見落としがありました。コンテンツセキュリティポリシーが、組織がすでに管理していないドメインを信頼し続けていたのです。研究者たちはこの放棄されたドメインを、わずか5ドルで取得できました。もしこのドメインがコンテンツセキュリティポリシーから削除されていれば、情報流出の経路は塞がれていたはずです。
「これは間接的なプロンプトインジェクションを利用した高度なエージェント型攻撃でしたが、DNSの衛生管理のようなごく単純な対策だけで防げたはずです」とケリー氏は言います。
パデュー大学のコンピュータサイエンス特別栄誉教授であるジーン・スパフォード(Gene Spafford)氏は、AIが発見しつつある脆弱性を、単なる技術的負債ではなく、多くの場合、意識的なビジネス判断の産物だと見ています。組織やベンダーは、慎重なエンジニアリングやテスト、リスク管理よりも、スピードや機能、市場シェアを繰り返し優先させてきました。
「これは技術的負債と表現されることが多いですが、実際には意図的な負債です」とスパフォード氏はCSOに語ります。「長年にわたり、投資や支出をどこに振り向けるべきかという優先順位付けを見誤ってきた結果なのです」
膨大な量のソフトウェアおよびセキュリティ情報で学習されたAIシステムは、繰り返し現れる質の悪いコーディングパターンや脆弱な設定、おなじみのミスを見つけ出すことに特に長けています。これは、この技術の目新しさよりもむしろ、業界がこれまでどれほど回避可能な弱点を放置し続けてきたかを浮き彫りにしていると言えます。
「AIは、過去数十年にわたる開発現場での適切な注意義務の欠如、つまり[数十年に及ぶ不十分なソフトウェアエンジニアリング]に、ようやく追いついてきたにすぎません」とスパフォード氏は言います。
攻撃者は必ずしも手口を変えたわけではなく、スピードを増しているだけ
生成AIおよびエージェント型AIは、プロンプトインジェクションやデータポイズニング、自律型エージェントの操作といった独自のリスクをもたらす可能性があります。しかしAIが目下もたらしている影響の多くは、おなじみの攻撃手法をより速く、より安く、より的確な標的に絞ったものへと変えているという点にあります。
Google CloudのCISOであるクリス・ベッツ(Chris Betz)氏は、AIが可能にする活動の特徴を、スピード、規模、そしてカスタマイズ性だと表現します。従来の自動化は同じ動作を繰り返し実行することを可能にしましたが、AIは攻撃者・防御者双方に対し、高度に個別化された動作を繰り返し実行することを可能にしています。
「かつて自動化といえば、同じことを大規模に行うことを意味していました。しかしAIによって、非常に特定的なことを大規模に行えるようになったのです」とベッツ氏はCSOに語ります。「発想の転換は必要ですが、多くの点で、これは私たちがこれまでやってきたことを、もっと大量に、しかも桁違いの規模でやらなければならないということを意味しています」
多要素認証やゼロトラストアーキテクチャ、システムのパッチ適用、効果的な検知と対応といったおなじみの対策は、依然として不可欠です。しかし防御側は、環境を継続的に探り、標的ごとに手口を適応させてくる攻撃者に対抗できるだけの一貫性をもって、これらを実践しなければなりません。
「AIとの戦いに、その基盤だけを持ち込むわけにはいきません」とベッツ氏は言います。「しかし、その基盤は不可欠です。その基盤こそが、防御側に明確な優位性をもたらすものだからです」
インシデント対応の現場から得られる証拠は、依然としておなじみの弱点を指し示し続けています。Sophosのフィールド CISOであるジョン・シアー(John Shier)氏によれば、同社のインシデント調査で毎年繰り返し上位に挙がる2大根本原因は、侵害された認証情報と脆弱性の悪用だといいます。これらのインシデントの多くでは、外部に露出したサービスの少なくとも一部で多要素認証が導入されておらず、また攻撃者は、パッチが何カ月も前から公開されていた脆弱性を悪用していました。
「新しい脆弱性のクラスも、新しい攻撃の種類も存在しません。AIはまだそれを変えていないのです」とシアー氏はCSOに語ります。「私たちが緩和策や対処法をすでに知っているものこそが、依然として攻撃者に広く悪用されているのです」
シアー氏は、基本的な予防策を欠いたまま高度な検知に頼る組織を、運転支援センサーとエアバッグは備えているのにブレーキがない現代の自動車にたとえます。検知と対応は、あらゆる侵入を防げるという考え方を正すために必要な軌道修正でしたが、組織が予防を時代遅れとみなしたり、悪意ある行動が始まった後はAIがすべて食い止めてくれると思い込んだりすれば、危険なものになりかねません。
これこそが、シアー氏が組織の陥りやすい罠だと見ているものです――AIを、予防への懸念を薄めてよい理由として扱ってしまうことです。「AIはいくつかの問題を解決できます」と同氏は言います。「しかし、予防技術によって対処される問題や、リスクを根本的に低減・排除する取り組みによって対処される問題のすべてを解決できるわけではありません」
アイデンティティ、クラウド、SaaSは依然として弱点であり続ける
AIを活用する攻撃者は、認証情報やセッショントークン、認証済みアクセス権を手に入れられるのであれば、わざわざ「ハッキングして侵入する」必要はありません。そしてクラウドサービスやリモートワーク、SaaSの拡大により、攻撃者が狙えるアイデンティティや権限、接続の数はさらに増えています。
CrowdStrikeでカウンター・アドバーサリー・オペレーションズ担当SVPを務めるアダム・マイヤーズ(Adam Meyers)氏は、高度な技術に基盤的な弱点の穴埋めを期待する前に、組織はまず「サイバーセキュリティをきちんとこなす」ことを学ばなければならないと言います。
「組織は急速にリモートワークへと移行し、クラウドシステムへと移行しました」とマイヤーズ氏はCSOに語ります。「しかし残念ながら、多くのケースでサイバーセキュリティの面でそのペースに追いつけておらず、特にアイデンティティに関する基本、そしてクラウドに関する基本の一部が、正しく実践されていません」
マイヤーズ氏は、アイデンティティに関する脅威の検知と対応を、ますます重要になっている基盤的な能力として挙げます。犯罪者はパスワードや認証トークン、そして多要素認証を回避する手段を狙っているからです。AIが組織に代わって基本を実践してくれるのかと問われると、同氏はこの技術を実装や説明責任の代替物として扱うことに懐疑的な姿勢を示しました。
「基本は基本です」と同氏は言います。「基本を実践するのにAIが必要かどうか、私にはわかりません。むしろ、腹をくくって基本をきちんとやるべきだと思います」
優れたプラクティスは攻撃のクラス全体を防ぐ
AI支援による調査を通じて発見される脆弱性の数は、今後さらに増えていくとみられます。Center for Internet SecurityのSVP兼チーフエバンジェリストであるトニー・セイジャー(Tony Sager)氏は、この増加を、新たに発見された脆弱性の一つひとつに対して個別の防御策が必要になるものと解釈すべきではないと主張します。というのも、脆弱性は繰り返し現れる一定のクラスに分類され、適切に選ばれたセキュリティプラクティスによって、それらをまとめて防いだり抑制したりできるからです。
「『一つひとつを見つけて修正しなければならない』という考え方は成り立ちません。脆弱性はすべてが固有のものではなく、いくつかのクラスに分類されるからです」とセイジャー氏はCSOに語ります。「アイデンティティ管理や設定など、基本となる優れたプラクティスは、こうしたさまざまな攻撃クラスの多くをまとめて防いでくれます」
フレームワークや優先順位付けされたセキュリティ管理策は、攻撃やソフトウェアの欠陥、攻撃者の行動パターンに関する複雑な知見を、組織が繰り返し実践できる一連の対策へと落とし込んだものです。その推奨内容は基本的なもののように聞こえるかもしれませんが、行動そのものが単純だからといって、その背後にある分析まで単純だというわけではありません。
「脅威レポートを読み込む必要はありません」とセイジャー氏は言います。「NISTフレームワークやCIS Critical Security Controlsに記載されているようなプラクティスを実践すればよいのです。そこから多くの価値を得られますし、それこそが優れた防御の基盤なのですから、ぜひ実践すべきです」
AIによっておなじみの欠陥の実例がさらに多く生み出され、攻撃者がそれらをより迅速に探し出せるようになるにつれ、基盤的な管理策が脆弱な組織は、より多くの弱点に対して、より多くの攻撃の試みにさらされることになります。
「こうした基本的なことをやってこなかったのであれば、あなたの組織はこれまで以上に脆弱な状態にあります」とセイジャー氏は言います。「そうした基本的な事柄の重要性は、ますます高まる一方です」
人間はAIが誤っているときを見抜かなければならない
サイバーセキュリティの基本は、技術的な管理策だけにとどまりません。セキュリティ担当者もまた、AIが生成した提案を評価し、モデルがもっともらしいが誤った回答を出しているときにそれを見抜けるだけの、コアとなるサイバーセキュリティの原則についての理解を備えておく必要があります。
「人間であるあなた自身がサイバーセキュリティの基本を理解しておらず、やり取りしているAIが教えてくれることに完全に頼りきっている場合、そのAIが――ドリフトを起こすにせよ、整合性を失うにせよ、あるいはプロンプトインジェクションによる汚染を受けるにせよ――誤った方向に進んでしまったとき、その出力を読んでいるあなたには、それが正しいかどうかを判断する術がありません」とNoma Securityのケリー氏は言います。
ISC2のCEOであるスコット・ビール(Scott Beale)氏も同様に、AIが処理能力を高めたとしても人間の判断の必要性がなくなるわけではないと警告します。コーヒーショップに関する誤った提案であれば大した問題にはなりませんが、組織のシステムやデータ、攻撃への対応に関わる誤りとなれば話は別です。
「何が正確で何がそうでないかを見分けられるようにしておく必要があります」とビール氏はCSOに語ります。「そして、誤りが生じたときに、正しい意思決定がなされたかどうかについて責任を問われるのは人間である、ということも忘れてはなりません」
だからこそ、その説明責任があるからこそ、AIに人間の判断力の水準を下げさせるわけにはいかないのだと、ビール氏は言います。「たとえこうしたAIツールと連携する場合であっても、人間の判断と人間による監督は絶対に欠かせません」
AI固有の新たな攻撃は、従来型の脅威に取って代わるものではない
組織はまた、AIを用いて行われる攻撃と、自組織が利用するAIシステム自体を標的とする攻撃とを区別する必要があります。
長年セキュリティ研究者およびCISOアドバイザーを務めるロジャー・グライムズ(Roger Grimes)氏は、AIによって強化された攻撃者も、インターネット時代を通じて主流であり続けてきた2つの初期侵入手法――ソーシャルエンジニアリングと、未パッチの脆弱性の悪用――に依然として大きく依存し続けていると言います。AIは、より説得力のあるフィッシングキャンペーンやディープフェイク、カスタマイズされた誘導手口を作り出せるほか、既知および未発見のソフトウェアの欠陥を特定する助けにもなります。
「AIによる脅威がやって来るとき――実際すでに来ていますが――それらは、ハッカーがこれまでずっと使ってきたのと同じ従来型・古典的な侵入手口を、使い、悪用することになるでしょう」とグライムズ氏はCSOに語ります。
同時に、組織はプロンプトインジェクションやモデル操作、データ漏洩など、AIを直接狙う攻撃に対して脆弱なシステムを展開しつつあります。グライムズ氏はプロンプトインジェクションをSQLインジェクションになぞらえます。特定の基盤技術によって可能になる、ある種の攻撃形態だという点です。違いは、AIがデスクトップやデバイス、相互接続されたサービス全体に組み込まれていくという点にあり、あるモデルに対する攻撃が、セキュリティチームが完全には把握していないAIサプライチェーンを通じて、自組織にまで及ぶ可能性があるということです。
「あなたがAIを使っているかどうかにかかわらず、AIからあなたへの攻撃は存在します」とグライムズ氏は言います。「そしてまた、あなたが使っているAIに対する攻撃も存在します。私たちは皆、何らかの形でAIを使っていますし、それは今後さらに増えていく一方だからです」
従来型のセキュリティの基本は、攻撃者がAIシステムに到達するために使う経路の多くを緩和してくれます。しかし組織は、モデルやエージェント、プロンプト、AIのデータフローに対する新たな管理策も必要とするでしょう。これは、グライムズ氏によれば、セキュリティプログラムの拡張であって、これまで築いてきたものを放棄する口実にはならないということです。
AIは困難で骨の折れる作業をこなす助けになる
専門家の誰一人として、CISOはAIから目を背けるべきだとは主張していません。慎重に活用すれば、AIはセキュリティチームがテレメトリを分析し、アラートを調査し、資産を発見し、コードを検証し、脆弱性を特定する助けとなり得ます――これらはいずれも、面倒で労力のかかる作業であるがゆえに、組織がこれまでうまくこなせずにいた業務を、大規模に処理することを可能にするものです。
AWSのブランドワイン氏は、セキュリティ部門には、あらゆるアイデアを長々とした本番環境レビューにかけることなく、AIを試せる仕組みが必要だと言います。たとえば、AIを活用した新しい検知システムを、既存のシステムと並行して稼働させれば、防御側はすぐにそれに依存することなく結果を比較できます。開発者がこれまで以上に速いペースでソフトウェアを生み出し、従業員が新しいモデルやエージェントを次々と採用していく中で、セキュリティチームがガバナンスを従業員に回避される障害にすることなくペースを保つためには、こうした機動性が不可欠になります。
AIはついに、セキュリティ衛生の一部の側面を持続しやすくしてくれるかもしれません――資産の分類を支援し、バラバラになったインベントリを相互に関連付け、修復作業の優先順位付けを行い、ログレビューにかかる手作業の負担を軽減するといった形でです。しかしその成果は、それを取り巻くシステムやデータ、そして人間の判断がどれだけ信頼できるかに左右されます。
したがって、成功の方程式は「AIのことは忘れて基本に立ち返る」でも「AIにサイバーセキュリティを解決させる」でもありません。組織が基本を実践するスピードと規模をAIによって高めながら、その技術が正しく仕事をこなせているかどうかを見極めるために必要な人間の知見、ガバナンス、説明責任を維持すること――それこそが正解なのです。
Google Cloudのベッツ氏の言葉を借りれば、この道のりとは「確固たる基盤の上に、AIによるスピードアップという要素を積み重ねていくこと」なのです。
