ビジネスセキュリティ
今回のイベントではAIが主役の座を占めましたが、そこから得られた最も明確な教訓は、AIに何ができるかということよりも、何か問題が起きたときに誰が責任を負うのかという点でした
Black Hat USA 2026では、AIがあらゆる議論の中心を占めました。現在私たちが直面しているリスクについての幅広い解説から、サイバー脅威が何らかの形でAIに起因していると主張する数多くのプレゼンテーションまで、その存在感は際立っていました。
カンファレンスは基調講演で幕を開け、続いてファイヤーサイドチャットと、主に米国政府高官らが登壇するパネルディスカッションが行われました。最初に登壇したのはホワイトハウスの国家サイバー長官を務めるSean Cairncross氏で、AIの規制はイノベーションと開発の妨げになるうえ、AIが現在進んでいる速度に追いつくのは難しいだろうという見解を示しました。この議論からは、AIの主導権をめぐる争いが存在することが明らかになりました。Cairncross氏は「AIはアメリカのイノベーションを象徴するすばらしい物語だ」と主張し、この分野で米国が世界をリードしているという趣旨のコメントを他にもいくつか述べました。私と同じように、こうした見方に対して肩をすくめて聞いていた読者の方も多いのではないでしょうか。
そもそもインターネット自体、特定の個人や集団が自らの発明・イノベーションだと主張できるような性質のグローバルな資産ではありません。これはAIの台頭についても当然当てはまります。冒頭の講演では、「アメリカ製AI」のイノベーションに大きく貢献してきた企業として、いくつかの社名まで挙げられていました。しかし、その中の一社はロンドンを拠点とする企業であり、この主張をいっそう滑稽なものにしていました。Cairncross氏はまた、米国政府が世界中がその恩恵を受けられるような米国製オープンソースインフラの構築方法を検討していると述べました。目指すべき未来とは、私たち全員が力を合わせ、新たに登場しつつあるAI機能を安全かつ効率的に、責任を持ってリスクなく活用するための、しっかりとしたビジョンと戦略を築いていく姿にほかなりません。
基調講演の後半には、CISA長官代行のNick Andersen氏、サイバー政策担当国防次官補のKatherine Sutton氏、 そしてFBIサイバー部門副部長の Brett Leatherman氏が登壇しました。FBIは「Operation Riptide」作戦の成功に言及し、この作戦によりサイバー犯罪への関与が疑われる200人以上が逮捕されたことを紹介しました。
さらに議論の幅を広げ、パネリストたちはAI搭載システムによって脆弱性が膨大な量かつ速いペースで発見されている、目まぐるしい状況について検討しました。これを受けてCISA代表者は「容赦のない優先順位付け」の必要性を訴え、業界間の連携の重要性を強調しました。私自身もこの容赦のないアプローチには賛同しますが、何らかの規制が伴わない限り、AI利用の境界線は曖昧なままだと感じています。
サイバー政策担当国防次官補は、サイバーセキュリティ業界における人材確保の課題について問われた際、見事なたとえを持ち出しました。小児科医に心臓手術を任せたいとは思わないだろう、というものです。この指摘は、世界中のサイバーセキュリティチームが、特に今のAIの局面において、サイバー犯罪者が繰り出す高度な脅威から身を守るために必要な、きめ細かい専門性を欠いているという重要な問題を突いています。とはいえ、全体として基調講演は、来る中間選挙に向けた政党の演説のような印象も受けました。
今回のカンファレンスで私が特に印象に残ったのは、AIの助けを借りて現行あるいは過去のソフトウェアから脆弱性が急速に発見されつつある現状についての数多くの議論、そしてOpenAIチームによるHugging Face事案についての詳細な解説でした。
私にとって最大の収穫は、私自身がここ数か月のさまざまなプレゼンテーションで繰り返し述べてきた見解であり、Black Hatの複数の登壇者からも語られた考えでした。その一人、MicrosoftのDavid Weston氏は要約すると、AIエージェントは人間の従業員と同じように認証を行い、ツールを呼び出し、権限を引き継ぐ一方で、それを説明責任あるものにするために必要な監視、ポリシー、ガバナンスを欠いていると述べました。
このメッセージは重要です。私たちは自律的なAI攻撃について、あたかもAIが何かをしたかのように語りがちですが、その背後には常にタスクとガードレールを設定する人間が存在します。この技術は私たちの管理下にあるものであり、私たちはそれに対して全面的な責任を負う必要があります。もし制御が効かなくなっているのであれば、解決策はシンプルです。いったんスイッチを切り、適切な統制を敷いたうえで再度タスクを与え直し、その技術と、その背後にいる人間の双方に責任を持たせればよいのです。
