Equifaxが自らのサイバーセキュリティを高めるためにAIをどう活用しているか

Equifaxは、米国史上最悪のサイバーセキュリティ侵害の一つの余波に、この10年近くにわたって対処し続けており、その復旧費用は14億ドルに達しています。

侵害を招いた原因の一つには、ずさんなパッチ管理プロセス、期限切れの公開鍵証明書、そして不十分なガバナンスがありました。Equifaxはこの対応のために、現在はGoogle Cloud傘下となっているMandiantを起用しました。

今日、Equifaxはあらゆる企業と同様に、これまでとは全く異なる巨大なサイバーセキュリティ上の課題に直面しています。AIはかつてない規模で攻撃を後押しし、社内での急速な普及によって各社のセキュリティ体制を変容させています。そして今や、最新の高度なモデルは統制を逃れて他社を攻撃する可能性まで見せ始めています。

この課題への対応を率いているのが、EVP兼CISOのJeremy Koppen氏です。同氏はMandiantで13年間勤務してきました。

Koppen氏が入社したのは2025年5月で、ちょうどAIの脅威が現実味を帯び始めた時期でした。

「AIの能力が高まるにつれて、外部からの攻撃も増加しています」と同氏はCSOに語ります。「ちょうど数字を確認していたところですが、自動化によって攻撃量が約30%も急増しています」

一方で、既知の脆弱性が存在する場合、企業がそれにパッチを当てられる猶予はかつてないほど短くなっている、とKoppen氏は指摘します。「新しい技術の台頭により、脆弱性が悪用されるまでの平均時間はどんどん短縮されています」と同氏は言います。「ですから、それが今、最も重視している点です」

AIに関連するリスクや脅威の増大、さらに今も存在し続ける従来型の脅威に対処するため、Equifaxは基本的なサイバーセキュリティ衛生の徹底を一段と強化するとともに、AI自体の活用も進めています。

例えば、Equifaxは2万2,000人に上る全従業員・契約社員を対象としたパスワードレス戦略を、取引先企業にも拡大しています。「これは非常に重要な施策で、ソーシャルエンジニアリングのリスクを排除できることが分かっています」とKoppen氏は言います。「パスワードレス化は、私たちのチームにとって大きな取り組みの一つとなりました」

また今年、Equifaxはビジネスエクスポージャーのマップを導入しました。これは定量的リスクエンジンを用いてリスクデータと事業データを分析し、問題がどこにあり、それが事業にどのような影響を及ぼし得るかを把握するものです。

この取り組みには、パッチ適用までの猶予期間が縮小している問題への対応も含まれる、と同氏は言います。

「これにより、優先順位付けを行い、リスクを低減できます」と同氏は述べます。「あるアセットが外部に公開されていればリスクは高まりますが、多層防御と統制によって保護されているのであれば、取り得る対策の選択肢はさらに広がります」

AIの実践投入

Koppen氏によれば、Equifaxのセキュリティチームは1日あたり1,980万件にも上るアラートやスキャンへの対応に追われており、これに対処するためにAIを活用しているといいます。

現在、セキュリティオペレーションセンター(SOC)のインシデントチケットのうち50%が自動的に処理されており、人間のアナリストは最も重要な案件に集中できるようになっています。AIはまた、アナリストが迅速に状況を把握できるよう知識やコンテキストを提供し、処理にかかる時間の短縮にも貢献しています。

「修復作業にもAIを活用できます」とKoppen氏は言います。「ただし、それが人間をループから排除するわけではありません。これが正しいかどうかを確認する検証は依然として必要ですし、この部分を修正した場合に他にどのような影響が及ぶかも確認する必要があります」

自動化はセキュリティの他の分野を支援するためにも活用されています。例えば、2017年の侵害の一因となった証明書の問題はどうなったのでしょうか。3月に発表された同社の年次セキュリティレポートによれば、EquifaxはTLS証明書の更新とテストを自動的に行う証明書管理ツールを導入しています。

Koppen氏はまた、Equifaxが開発するソフトウェアのセキュリティにも責任を負っており、この領域もAIによって変革が進んでいます。

「標準的なプロセスでは、物事がどう機能するかを示す設計図があり、セキュリティとのすり合わせを何度も往復させることになります」と同氏は言います。しかし、AIによって攻撃者がコードの脆弱性を探る速度が加速している現在、コードのセキュリティ問題に対処する時間的猶予は少なくなっている、と同氏は付け加えます。

「そのプロセスにもAIを活用できます」とKoppen氏は言い、AIが設計プロセスのより早い段階でのコードレビューをEquifaxで実現し、十分なガードレールの組み込みを確保しつつ、そのプロセスにかかる時間を短縮するのに役立っていると説明します。

「以前は46日かかっていましたが、今では18日にまで短縮されています」とKoppen氏は言います。「時間を節約できるのは素晴らしいことですが、それでいて人間がループに関与し、セキュリティのガードレールも備えた形で検証済みの結果が得られているという点が重要です」

同社の年次セキュリティレポートによれば、全体としてセキュリティ相談にかかる時間は61%短縮されており、EquifaxのAIエージェントはコンテナの脆弱性を分析し、修正コードを自動的に記述しています。このシステムは現在、配信のスピードを落とすことなく、年間21万3,000件を超える検出事項を処理しています。

このレポートでは、AIに関連する新たな攻撃ベクトルについても触れられています。同社の攻撃シミュレーションチームは、攻撃者が目に見えないテキストプロンプトを埋め込み、AIモデルをだましてマルウェアを配信させる可能性があることを発見しました。Equifaxは、こうした隠されたコマンドが被害をもたらす前に取り除くための、リアルタイムの防止統制を構築しました。

暴走するAIへの警戒

そしてAIには裏の側面もあります。新たなセキュリティ脆弱性を発見できるAIエージェントは、期待通りに機能している限りは非常に有用です。

「私たちは自社の環境に対しても同様のレビューを実施し、脆弱性が世間に公表される前に、潜在的な脆弱性を特定できるようにしたいと考えています」とKoppen氏は言います。「なぜなら、攻撃者も同じことをしてくるはずだと分かっているからです」

残念なことに、最先端のAI研究機関が発見してきたように、あなたの環境の弱点を見つけられるほど優秀なエージェントは、自身のガードレールや統制の弱点も見つけられてしまう可能性があります。

しかし、企業が自らを守るために活用できる手法は存在する、とKoppen氏は言います。

「エージェントを利用する際には、そのエージェントがアクセスできる範囲を厳密に制限するようにしています」と同氏は説明します。これは決して目新しいものではない、アイデンティティベースの制御について言及したものです。「これは20年前から重要とされてきたことです。今はそれを実装することが、以前にも増して不可欠になっていると思います」

そして企業はこれまでも、データが外部に流出しないよう、あるいは自社のインフラが第三者への攻撃の踏み台として使われないよう、保護策を講じる必要がありました。

もちろん今日では、そこに新たなAI特有の要素が加わっています。

「私はこれをネットワークの観点から捉えています」とKoppen氏は言います。「それが重要な点であり、私たちが持つ最初の統制です。エージェントをしっかりと封じ込め、そのゾーンの外に逃れられないようにすることです」

同社のセキュリティレポートによれば、手作業によるゲートキーピングはポリシー・アズ・コードに置き換えられており、新しいエージェントはすべて本番投入前に自動テストされ、リスクの高い用途では人間による承認も組み込まれています。さらに、モデルが逸脱したり予測不能な挙動を見せ始めたりした場合にそれを止めるための継続的な監視や、即座にロールバックできる自動キルスイッチも備えています。

Koppen氏は、OpenAIやAnthropicで発生したエージェントの「脱走」に関する状況を注視してきたと言います。環境を守るための情報源はどんなものであれ有益だ、と同氏は述べます。

「コミュニティが非常にオープンで、情報をやり取りし、共有し合っている――これはとても心強いことです」と同氏は言います。「そうした協力の様子を目にすることができるのは、本当に励みになります」