AIエージェントは組織へのハッキングに非常に長けています。実際、過去数週間だけでもその実力を示し、実際の攻撃で何度も証明されています。同時にAIエージェントは、人間による侵入とAIによる侵入の両方から自らを守ろうとする組織にとって、まったく新しい攻撃対象領域を生み出してもいます。
守る側にとって夜も眠れないほどの心配事がこれ以上必要でしょうか。エージェントは攻撃者に悪用され得る新たなデータ統合チャネルを生み出します。さらに、管理が難しく従来型の静的なセキュリティポリシーをすり抜けてしまう、新種で数を増やし続ける非人間アイデンティティも生み出しています。
「エージェント型AIとマシンアイデンティティには、途方もないリスクが伴います」。米サイバーセキュリティ・インフラセキュリティ庁(CISA)でサイバー部門長官代理を務めた経験を持つマット・ハートマン氏は、The Registerにこう語りました。
「AIは、これまでの主な用途であったコンテンツ生成から、実際に行動を起こす段階へと移行しつつあります。エージェントが機密性の高いシステムやデータへのアクセス権を得るのは避けられません」とハートマン氏は述べています。「今、多くの組織が直面している課題の一つは、すべてのエージェントを特権を持つアイデンティティとして扱わなければならないという点です」
企業は組織外部からのエージェント型脅威にも直面している、と同氏は付け加えます。
「AIを活用した、あるいはAIによって増幅されたアイデンティティ攻撃やソーシャルエンジニアリング攻撃は、まさに刻一刻と増加しています」とハートマン氏は言います。「非常に個人に特化したフィッシング、極めて精巧ななりすまし、自動化された偵察活動が見られるようになっています。これにより、従来型の信頼指標はますます当てにならなくなっています」
守る側にとってこれが意味するのは、「強固なアイデンティティ管理、フィッシング耐性のある認証、行動シグナル、そしてゼロトラストの原則への継続的な注力」だと同氏は付け加えます。「本質的に目新しいものはありませんが、攻撃対象領域そのものはまったく新しいものです」
一方、攻撃側ではエージェントは休むことがなく、脆弱性やエクスプロイトチェーンの発見、ネットワークのマッピング、機密ファイルの特定といったタスクにひたすら集中し続けます。こうした特性により、ほぼ自律的に動くこれらの攻撃ボットは、金銭目的の犯罪者や国家の支援を受けるサイバー工作員にとってまさに天からの贈り物となっています。
これは同時に、防御側にとってのセキュリティ活用法、つまり「エージェント型レッドチーミング」という手法も生み出しています。
元NSAサイバー部門長官のロブ・ジョイス氏はRSACでの講演でこう述べました。もしあなたが自組織を攻撃するためにAIエージェントを使っていないなら、他の誰かがそれをやっていると考えて間違いない、と。「お金を払おうと払うまいと、あなたはレッドチームの標的になります」とジョイス氏は述べています。「唯一の違いは、その結果を誰が受け取るかということだけです」
ハートマン氏もジョイス氏の言葉に同調します。「防御側を支援する先進的な能力として今見えているのは、継続的でAIネイティブ、AI対応の自動化されたレッドチーミングやペネトレーションテストの分野で新興市場が急速に拡大していることです」と同氏は語りました。
連邦政府のCISAで約20年間キャリアを積んだ後、ハートマン氏は10月にMerlin Groupにチーフ・ストラテジー・オフィサーとして加わりました。民間セクターでの新たな役職では、同グループがどのアーリーステージからグロースステージのサイバーセキュリティ・新興技術企業に投資すべきかを判断し、これらの企業が政府機関、重要インフラ、その他規制の厳しい市場を開拓する手助けをしています。
目標は、「有望な技術」を重要な環境に統合し、スケールさせることだとハートマン氏は言います。現在、これらの技術の多くはAIエージェントを使ってAIエージェントと戦っています。
「組織は脆弱性の洪水に呑み込まれており、敵対者はAIを活用して脆弱性を発見し、わずか数秒でそれを悪用できるようになっています。かつては数日を要していた作業です」と同氏は述べます。エージェント型レッドチーミングは「連邦機関を含むあらゆる組織が、目下のペースに追いつくために絶対必要とする製品カテゴリーです」
「これまでで最大規模の統制されたライブAIサイバー攻撃」
Mandiantの創業者で元CEOのケビン・マンディア氏は、新会社Armadinを立ち上げました。3月に発足したこの会社は、シード・シリーズAラウンドで1億9,000万ドルという驚くべき資金を調達しています。同社は自律型攻撃者スウォーム、すなわち組織のインフラ内で24時間365日稼働し実際の攻撃者をシミュレートする数千体規模のAIエージェント群を構築・訓練しています。
今月初めのBlack Hatに先立ち、同スタートアップはTenex.ai(エージェント型セキュリティオペレーションを提供する企業)と共に、名前を伏せられたある「大手」グローバル機関に対して、いわゆる「これまでで最大規模の統制されたライブAIサイバー攻撃」を実施したと発表しました。
3日間にわたるこの攻撃で、Armadinのスウォームは1,700万件の攻撃的アクションを生成し、38件の検証済み攻撃経路を発見、238件のセキュリティ上の指摘事項を導き出しました。一方Tenex.aiのエージェント型プラットフォームは、10万1,169件のアラートの100%をトリアージし、2,310億件の生イベントにわたる攻撃の全容を再構築しました。
この演習は、5人のアナリストチームが人手で行えば約2,400時間、つまり4カ月を要していたはずだと言います。
共同創業者兼チーフ・オフェンシブ・セキュリティ・オフィサーのエバン・ペーニャ氏は、Armadinを共同設立する前、Mandiantでグローバル・レッドチームのリーダーを務めていました。Mandiant在籍時には、世界各地に散らばる210人規模のチームを率いていました。
「問題は、それが100%人間主導のセキュリティ評価だったことです。それによって割ける時間はどうしても限られてしまいます」とペーニャ氏はThe Registerに語りました。
同氏のレッドチームは「2週間から1カ月程度のエンゲージメントを行い、その結果を報告書にまとめ、PDFファイルを渡して去っていく。そして顧客は1年後にまた私たちを雇う、という形でした。今日のAI時代にそれを考えるのは、あまりにも旧態依然としています。AIによってこれほど大きくスケールできるのですから」
他者にやられる前に自らを攻撃せよ
Armadinでペーニャ氏は、AIエージェントを訓練する人間チームを率いています。OpenAIのモデルがHugging Faceを自律的に攻撃した一件から得られた教訓の一つは、組織が自組織のシステムに対して安全な攻撃的AIテストを実施する必要がある、ということだとペーニャ氏は言います。ここで重要なのは「安全な」という部分です。OpenAIの暴走したモデルには意図的に一切のガードレールが設けられていなかったことを思い出してください。
もちろん、この発言はArmadinのビジネスの核心に関わるものであり、我田引水な面はあります。しかし、彼の指摘が間違っているわけではありません。
「組織がこれほど広範囲の攻撃対象領域をカバーできるようになったのは、こうしたエージェントを大規模に活用できるようになったからです。私たちには、これまでになかった3つの要素が備わっています」と同氏は言います。「1つ目は時間です。エージェントは眠りませんし、休暇も取りません。人員確保の必要もありません」
2つ目は専門知識だと同氏は言います。攻撃エージェントは、組織のインフラに解き放たれる前に事前訓練を受ける必要があります。コーディングの方法やソースコードレビューの方法を知っていなければなりません。アプリケーションセキュリティの手法、ネットワークの設定ミスの見つけ方、さまざまなシステムやネットワークへの侵入方法も知っている必要があります。「そこに人間の専門知識による後段の訓練を加えるのです」とペーニャ氏は述べています。
「3つ目はカバー範囲です」と同氏は言います。「これまでは、有限の攻撃対象領域しかカバーできませんでした。仮に外部システムが1万台あり、限られた時間と人員しかなければ、その期間内にカバーできるのはせいぜい2,000台か1,000台程度だったでしょう。今では、その1万台すべてをおそらく数時間でカバーできます」
ペーニャ氏によれば、Armadinのエージェントはこれまで、すべての顧客の環境に例外なく侵入することに成功しているといいます。
「私たちは50件を超えるゼロデイを発見しています。しかもそのゼロデイとは、単にWebページを改ざんできるといった類のものではありません。それはそれで面白いですが、私が興味を持っているのはインターネット経由でネットワークに侵入することです」と同氏は言います。「私が言うゼロデイとは、攻撃者が実際のシステムでリモートコード実行を達成できてしまうようなものです。非常にインパクトの大きいゼロデイです。私たちはノイズには関心がなく、インパクトに関心があるのです」
四半期ごとのペネトレーションテストではもはや不十分
今日、防御側にとって最大の課題は、これまで人手で行われてきた攻撃者の泥臭い作業、すなわち標的候補の絞り込み、偵察活動、脆弱なシステムやエクスプロイトの特定、ログの解析といった作業に、AIが規模とスピードをもたらしている点です。今やこれらすべてのタスクが自動化され得るのです。
ペネトレーションテストもこの流れに追いつく必要がある、とEC-Councilの創業者でグループ会長のジェイ・バビシ氏はThe Registerに語ります。最大手かつ優れた組織でも、コンプライアンス要件を満たすために年に一度ペネトレーションテストを実施するのが実情であり、「より優れた組織」でも四半期ごとにこの演習を行う程度だとバビシ氏は言います。これは主に、人間主導のペネトレーションテストにはおよそ3カ月を要することが理由です。
「つまり、スピードに関して深刻な問題を抱えているわけです」と同氏はインタビューで語りました。「そして次に来るのが、スコープの問題です。組織全体をペネトレーションテストする者など誰もいません」
さらに、バビシ氏が「高度化の問題」と呼ぶものも存在します。人間のペネトレーションテスターごとに得られる結果はばらつき、かといって組織はネットワークへの侵入を絶えず試みるために何十万人もの人員を雇うことはできません。
「悪意ある側は、すでにAIを使ってスピードの問題を解消しています。あなたはコンプライアンスのために年に一度しかペネトレーションテストをしませんが、彼らは常にそれを行っています。なぜならあなたは金脈だからです。彼らにはスコープの問題もありません。虎の子の資産だけでなく、組織全体を狙っているからです。そして彼らには高度化の問題もありません。アルゴリズムによるシステムを使っているからです」
この6月、このグローバルなサイバーセキュリティ研修団体は、ペネトレーションテストの専門家に対し、CPENT AI試験をスポンサー付きで受験できる機会の提供を開始し、AI時代に向けたスキルアップを後押ししています。
合格者一人につき、同協議会は非営利パートナー団体に1,000ドル相当のサイバーセキュリティ研修・認定クレジットを寄付します。試験の合否を問わず、研修プログラムを修了するごとに非営利団体には250ドルが提供され、この取り組み全体の上限は100万ドルに設定されています。
「年に一度、あるいは四半期に一度というペネトレーションテストの従来型モデルは姿を消しつつあり、自動化されたペネトレーションテストにAIが取って代わるでしょう」とバビシ氏は言います。「しかし、ペネトレーションテスターという職業そのものが消えるかといえば、それはありません。むしろ、はるかに大きく、はるかに重要なものへと進化していくはずです」
AIシステムやAIを組み込んだアプリケーションが増えるということは、セキュリティ専門家が突破を試みる対象がそれだけ増えるということです。そして人間には、こう見極める役割が求められます。このシステムが破られた場合、どのような結果が生じるのか。ビジネスへの影響は何か。何を優先して修正すべきか。
「現在のペネトレーションテスターは、ビジネスへの影響を理解し、そうした重要なエンジニアリング上の判断を下せるよう、スキルを再構築する必要があります」とバビシ氏は述べています。
一方で、「AIシステムは組織の心臓部となっていくため、攻撃的AIセキュリティの専門家こそが、AIシステムの堅牢性をテストする役割を担うことになるでしょう」と同氏は付け加えます。「ペネトレーションテスターは、LLMのテストを極め、エージェントの挙動を理解し、被害の分類体系について考え、どのようなガードレールを設けるべきかを見極める達人にならなければなりません」
つまり、ペネトレーションテスターの仕事は変わったのです。「そしてその範囲は、はるかに広がっています」®
