OpenAIは、AIを悪用したサイバー攻撃が今後数カ月のうちに大幅に広範化・高度化する可能性があると警告しました。
同社は、産業界、各国政府、テクノロジー企業、重要インフラ事業者に対し、サイバー防衛に向けて協調的な世界的対応を取るよう呼びかけています。
100を超える組織が署名した公開書簡には、Microsoft、Google、AWS、Cisco、Cloudflare、CrowdStrike、Palo Alto Networks、IBM、Visa、Mastercard、Accenture、Anthropic、OpenAIをはじめ、大手金融機関も名を連ねています。この書簡でグループは、悪意ある攻撃者がより高性能なAIモデルを広く採用する前に、デジタルシステムを強化するための「防御側の猶予期間」が限られていると強調しています。
OpenAI、AI悪用サイバー攻撃を警告
署名した各組織は特に、病院、水処理施設、インターネットインフラ、地方自治体、金融システムといった重要サービスへの懸念を表明しています。
これらの組織はしばしば旧式の技術に依存し、セキュリティチームの人員も不足しているうえ、サプライチェーンが複雑なため、脆弱なシステムのパッチ適用や置き換えが難しいのが実情です。
書簡では、AIを活用した攻撃キャンペーンが大規模に悪用しうる攻撃対象領域として、これまで長年放置されてきたセキュリティ上の不備を挙げています。具体的には、未パッチのソフトウェア、過剰な権限付与、脆弱な認証、設定ミス、安全性の低いアプリケーション、技術的負債、脆弱なレガシーシステムなどです。
セキュリティ製品・サービス
AIによって、脆弱性の特定、説得力のあるフィッシング素材の作成、偵察活動の自動化、悪意あるコードの開発、侵入活動の連携調整などに必要な時間・コスト・専門知識が大幅に削減されると見られています。
この書簡は具体的な攻撃キャンペーンの詳細には触れていないものの、サイバー犯罪者や国家の支援を受けた攻撃者が高度なモデルを活用し、多数の標的に対して同時並行的に攻撃活動を加速させかねないという懸念の高まりを反映しています。
OpenAIとそのパートナー各社は、従来型の事後対応的なセキュリティ対策だけではもはや不十分だと主張しています。組織はサイバー防衛を、必須の事業活動を除くあらゆる業務に優先する重大インシデントとして扱い、経営陣が直ちに取り組むべき課題として位置づける必要があるとしています。
連合体は、AIを迅速かつ責任を持って導入すれば、攻守のバランスを防御側に有利に傾けられると強調しています。サイバー対応能力を持つAIは、脆弱性の特定、アラートの調査、脅威インテリジェンスの分析、修復策の検証、経験豊富な人材が不足している領域でのセキュリティ体制の強化など、セキュリティチームを支援できます。
組織は日常的な防御業務には低コストのモデルを活用し、より複雑なセキュリティ課題には高度なAI機能を温存すべきとされています。加えて、セキュリティ修正が重要業務の妨げにならないよう配慮することも推奨されています。
特に運用技術(OT)や重要インフラ環境において、迅速なパッチ適用ができないシステムについては、事業者は代替の制御策を講じるべきだとしています。
こうした対策には、ネットワークセグメンテーション、より厳格なアクセス制限、継続的な監視、多要素認証、攻撃者の侵入範囲拡大を抑える多層防御策などが含まれます。
このグループはまた、AIが生成したコードを展開前に精査する必要性も指摘しています。急速なソフトウェア開発によって、セキュリティレビューやテストが追いつかない場合には脆弱性が混入しかねないと認識しているためです。
サイバーセキュリティベンダーやテクノロジーパートナーに対して、書簡では最先端のサイバー攻撃能力に対抗できるよう、防御製品の継続的なテストを求めています。
プロバイダーは既存ツールにAIを組み込んで強化し、防御技術を重要インフラ事業者が利用しやすい形で提供するとともに、実践的な導入支援を行うべきだとしています。
提案されているモデルでは、ベンダー、各国政府、オープンソースのメンテナー、システムインテグレーター、サプライチェーンの製造事業者の間で、検証済みのプレイブック、実行可能な脅威インテリジェンス、検証済みの修正策、暫定的なガイダンスを共有することの重要性が強調されています。
進捗状況は、保護された組織の数、攻撃封じ込めの速度、被害範囲の縮小に対する修復対応の有効性によって測定されるべきだとしています。
各国政府に対しては、地域・国・国際レベルの対応窓口の連携、リソース不足に陥っている重要サービスへの資金提供、信頼済みアクセスプログラムの拡大、攻撃者への処罰の実施が求められています。
連合体は、病院、水道事業者、地方自治体が、信頼できるパートナーを通じて高性能な防御AI、認可されたテスト、専門家の支援を受けられるようにすることを望んでいます。
この書簡は、提案されている防衛イニシアチブにおいて最先端AI企業に中心的な役割を割り当てています。各社に対しては、責任あるモデルアクセスの提供、資金提供、トレーニング、セキュリティツール、そして重要サービスを保護する組織への実務的な支援を行うよう求めています。
セキュリティ製品・サービス
さらに、AI開発企業に対しては、AIシステムに可観測性を組み込むこと、エージェント型AIのIDを追跡・説明責任の対象とできるようにすること、認可されたテストおよび非公開の脆弱性報告を支援すること、そして信頼できる脅威評価を防御側と共有することを求めています。
署名各社が伝えているメッセージは明確です。AIがサイバー領域に与える影響は、あらかじめ決まっているわけではありません。深刻な脆弱性への対応と防御能力の普及に向けた迅速かつ協調的な取り組みがあれば、今日のAIの進歩を持続的な改善へと転換できるはずです。
調査の遅れによるインシデントを防ぎましょう。15,000のSOCから得られる脅威インテリジェンスで、貴社のTier 1を強化します。 TI LookupをSOCに統合する
翻訳元: https://gbhackers.com/openai-warns-ai-enabled-cyberattacks/
