eSecurity Planet のコンテンツおよび製品に関する推奨事項は、編集上の独立性を保っています。当サイトはパートナーへのリンクをクリックいただくことで収益を得る場合があります。 詳細はこちら
大規模言語モデル(LLM)のサイバーセキュリティ能力は、単一のベンチマークスコアで語られることがよくあります。
しかし、BSides 2026 カンファレンスで発表された新たな研究によれば、そうしたスコアはAIエージェントが攻撃的セキュリティのタスクにおいて実際にどう振る舞うかについてほとんど何も語っていないことが示唆されています。
ベンチマークの解決率だけに注目するのではなく、研究者Tarun Koyalwar氏は攻撃的セキュリティのタスクにおけるAIエージェントの意思決定プロセスを分析しました。
今回の研究では、モデルが何を知っているか、攻撃をどのように推論するか、どこで失敗するか、そしてそうした挙動が今後のサイバーセキュリティ評価について何を示唆するかが検証されています。
LLMベンチマーク研究の主な要点
- 従来型のベンチマークスコアは、AIエージェントが攻撃的セキュリティのタスクを実際にどうこなしているかをほとんど示さない
- LLMの失敗の多くは、サイバーセキュリティの知識不足ではなく実行段階のギャップに起因する
- 主要なオープンウェイトモデルは、同一条件下でフロンティアのクローズドモデルとほぼ同等の成績を収めた
- AIエージェントは従来的なペネトレーションテストの手法よりもパターン認識に大きく依存していた
- 行動テレメトリは、ベンチマークスコア単体よりもAIのセキュリティリスクについて深い洞察を提供する
ベンチマークスコアが見落とす全体像
Koyalwar氏の研究では、Argus検証ベンチマークを改変したバージョンを用いて、オープンウェイトとクローズドウェイト両方のLLMを評価しました。対象は利用可能なブラックボックス型のWebアプリケーション54件です。
各モデルには、ソースコードや実装の詳細を与えず、対象アプリケーションを攻撃するよう指示する最小限のプロンプトのみが与えられました。
モデルが課題を成功裏に完了したかどうかだけを測定するのではなく、この研究では攻撃プロセス全体を通じてモデルが取ったすべてのステップを検証しています。
この結果は、従来型のサイバーセキュリティベンチマークがAIの能力を過度に単純化していることを示唆しています。
エクスプロイトの成功だけでは、モデルが体系的なテストによって脆弱性を発見したのか、パターン認識によるものなのか、あるいは意図しない攻撃経路によるものなのかは分かりません。
同様に、失敗した試行の多くは、モデルが正しい攻撃手法を理解していながら、実行には失敗したケースであることが明らかになりました。
AIは実行できる以上のことを知っている
この研究における最も注目すべき発見の一つは、LLMの失敗の多くがサイバーセキュリティの知識不足によって引き起こされているわけではないという点です。
むしろモデルは、正しい脆弱性を特定し、適切な悪用手法を参照し、さらには関連するCVE識別子を挙げていながらも、攻撃の完遂には失敗するケースが頻繁に見られました。
その一例として、正しい攻撃チェーンを繰り返し認識しながらも、不正な形式のリクエストを送信したり、セッションの早い段階で正しいホストを特定していたにもかかわらず誤ったホストを繰り返し標的にしたりといった、小さな実行ミスを犯すモデルが挙げられます。
Koyalwar氏によれば、これは何をすべきかを知っていることと、必要な行動を実際に成功裏に遂行することとの間に大きなギャップがあることを浮き彫りにしています。
この研究ではさらに、現行のベンチマークスコアでは、純粋な能力の限界と、研究者が「誘発ギャップ」と呼ぶもの――モデルは能力を有しているものの、特定の実行時にそれを発揮できない状態――とを区別できないと指摘しています。
オープンモデルが性能差を縮める
もう一つの注目すべき観察結果は、主要なオープンウェイトモデルがフロンティアのクローズドモデルにどれほど肉薄したかという点です。
同一のテスト条件下で、オープンモデル群はベンチマーク対象54件のうち52件を成功裏に完了した一方、クローズドモデル群は48件にとどまりました。
オープンモデルの中で個別に最も高い成績を収めたのはKimi K3でしたが、複数のオープンモデルが総合的には最も高いカバレッジを達成しました。
コストもまた、性能の信頼できる指標にはならないことが判明しています。
今回の研究によれば、実行コストは約2桁の幅でばらつきがあり、オープンかクローズドかというライセンス形態が運用コストを一貫して予測する材料にはなりませんでした。
AIエージェントは人間のペンテスターのようには考えない
偵察、列挙、悪用を重視する従来のペネトレーションテストの手法に従うのではなく、多くのモデルは脆弱性のパターン認識に大きく依存していました。
今回の研究では、モデルがアプリケーションの挙動を観察した直後に、起こりうる脆弱性を即座に推測し、それが的中するケースが頻繁に見られたことが分かりました。
このパターン認識に基づくアプローチによって、多くの場合、モデルは構造化された人間style的な手法よりも効率的に成功へと到達できていました。
Koyalwar氏は、この挙動は明示的な攻撃的セキュリティの訓練によるものというより、公開されているサイバーセキュリティ関連の知識に広く触れてきたことから自然に生まれているようだと指摘しています。
行動分析がAIリスク評価を向上させる
今回の研究では、モデルが意図された対象アプリケーションではなく、テスト環境を構成する要素と相互作用してしまう事例も確認されました。
研究によれば、こうした挙動は、モデルが意図的に封じ込めからの脱出を試みたわけではなく、支援用インフラを課題の一部として扱ってしまった場合に典型的に発生していました。
さらに重要な点として、モデルは露出した認証情報やベンチマークの副産物といった意図しないサイドチャネルを通じて成功を収めた際に、それを認識・報告できないことがしばしばありました。
従来の採点方式では、こうしたケースも意図された攻撃能力を証明していないにもかかわらず、成功したエクスプロイトとして記録されてしまっていました。
AI搭載の攻撃的セキュリティツールを評価するセキュリティチームにとって、今回の調査結果は、ベンチマークのパーセンテージ単体よりも行動テレメトリの方がより実用的な洞察をもたらす可能性があることを示唆しています。
組織が攻撃的セキュリティに自律型AIを採用していく中で、エージェントがどのように推論し、どこで失敗するのかを理解することがますます重要になっていくでしょう。
AIの自律性が高まるにつれ、各組織はエージェントの挙動を統制する信頼モデルの見直しを迫られています。
