AIモデルはICSエクスプロイトにどこまで迫れるか

この半年間で、LLMは脆弱性調査やエクスプロイト開発の能力を大きく向上させてきました。しかし、十分にドキュメント化されたオープンソースプロジェクトで脆弱性を見つけることと、高度に専門化された組み込み機器のファイルシステムを復号し、クローズドソースの低レベルファームウェアをリバースエンジニアリングすることとは、まったく別のスキルセットが求められます。

そこで、産業用IoTセキュリティ企業のForescoutに所属する研究者たちは、産業制御システム(ICS)の脆弱性研究者が持つ高度に専門化された知識を、AIモデルがどこまで代替できるようになったかを検証しました。あるモデルのプログラマブルロジックコントローラ(PLC)向けに開発された既知のエクスプロイトを、別のモデルへ移植する作業をAIの支援を受けて行ったところ、8.5時間を要し、それでも人間の研究者による大幅な関与が必要でした。

つまり、AIはまだICSのゼロデイ脆弱性発見を、スキルのない攻撃者でもプロンプト一つで済ませられるような作業には変えていません。しかし、経験豊富な組み込みシステムハッカーが新たなエクスプロイトの開発に投じる時間を大幅に短縮できる可能性はあります。特に、この種の調査は複数のエージェントに並列で分担させられる点を踏まえればなおさらです。

「AIはすでに、より高レベルなソフトウェアにおける脆弱性調査やエクスプロイト開発のハードルを下げています。今回の実験は、同様の進展が低レベルの組み込みシステムにも及び始めていることを示唆していますが、依然として大きな障壁が残っています」と、Forescoutの研究者らはレポートの中で述べています。

テストしたモデルは分析の一部の側面を把握する際に人手による誘導を必要としたものの、Ghidraのようなリバースエンジニアリングツールを組み合わせて使い、分析用のPythonスクリプトを自ら生成し、ネットワーキングツールを使って脆弱性を推論し、実際に動作するエクスプロイトコードを生成して、稼働中のターゲットに対してテストすることができました。しかも、これらすべてを、PLCのソースコードやデバッガへのアクセスなしにやってのけたのです。

他機種へのエクスプロイト移植

今回のテストで研究者たちは、いかにも攻撃者が取りそうなシナリオを選びました。あるPLCモデル向けに開発された概念実証(PoC)エクスプロイトを、同じ脆弱性の影響を受けながらもまだエクスプロイトコードが存在しない別のモデルへ移植する、というものです。

これは重要な課題です。というのも、同一ベンダーの異なるPLCモデル、あるいは異なるメーカーのモデル同士でも、脆弱なコンポーネントを共有している一方で、ファームウェアの他の部分は大きく異なっている場合があるからです。さらに、ベンダーがあるモデルで報告された脆弱性にパッチを当てる際、同じ欠陥が製品ライン内の他のモデルにも影響するかどうかを包括的に評価しないケースもあります。

例えば、6月にForescoutは、Lantronix製のシリアル-IPコンバータで自社が発見・報告した脆弱性(CVE-2025-67038)に対する悪用の試みを確認したと報告しています。メーカーは当初、EDS5000シリーズとEDS3000シリーズのコントローラ向けにのみパッチをリリースしていましたが、4カ月後に実際の悪用が明らかになったのを受けて、G520シリーズ、X300シリーズ、E210・E220シリーズという追加のモデルを特定し、パッチをリリースしました。

「メーカーがある脆弱性の影響を受けるモデルについて包括的な評価を行わない場合、今やAIが攻撃者の代わりにその評価を行い、パッチが適用されていない可能性のあるモデルへエクスプロイトを移植する手助けをすることができると考えています」と、ForescoutのリサーチVPであるDaniel dos Santos氏はCSOに語っています。

しかし実際のテストでは、Forescoutの研究者たちは、以前に開発したCVE-2021-31886向けのエクスプロイトを、あるWago製PLCモデルから、ベンダーが影響を受けると指摘し、すでにパッチを適用していた別のモデルへと移植しました。

崩れつつある「最も抵抗の少ない経路」

この分野におけるAIの能力向上は、攻撃者が狙う脆弱性の種類にも変化をもたらすと見られています。PLCファームウェアのリモートコード実行(RCE)脆弱性は運用技術(OT)ネットワーク内での深い永続化や横展開を可能にし得ますが、その複雑さゆえに、ICSに対する実際の攻撃の多くは、安全性の低いエンジニアリングプロトコルや、オペレーターが機器の制御に使うWebベースのHMI(ヒューマン・マシン・インターフェース)の脆弱性といった、より手軽な標的を狙う傾向にあります。

「最大のリスクは、これまで『悪用が難しすぎる』とされてきた脆弱性が、悪用しやすくなってしまうことです」とdos Santos氏は言います。「脅威アクターはエクスプロイトの開発に時間を投じる際、いわば投資対効果(ROI)の計算をしています。エクスプロイトの作成や移植を後押しするものが登場すれば、この計算自体が変わってしまいます。[中略]RCEは攻撃者に非常にきめ細かな制御力を与え、永続的なインプラントの作成や低レベルの横展開などを可能にします。これらは決して簡単なことではありませんが、AIがそこを後押しできるのであれば、実際に起こる可能性は高まります」

モデルは今後さらに進化する

Forescoutはしばらく前からこの調査に着手しており、使用したのは今となってはやや旧世代のモデル、すなわち2月にリリースされたClaude Sonnet 4.6と、1Mコンテキスト対応のClaude Opus 4.6でした。それ以降、Anthropicは5月にOpus 4.8、6月にFable 5、7月にOpus 5をリリースし、そして本日Fable 5.1をリリースしています。

これらのモデルはいずれも、セキュリティ調査における能力を高め続けています。とりわけFableは、AnthropicのMythosと同じクラスに属するモデルで、Mythosはサイバーセキュリティの能力があまりに高いため、審査を通過した組織にのみ提供されていました。中国製の最新のオープンウェイトモデル群も、すでにOpus 4.6の能力を長らく上回っており、サイバーセキュリティ関連の作業に用いられるケースが増えています。その一因は、最先端モデルにはエクスプロイト開発を阻むような強力なガードレールが備わっていることにあります。

「より新しいモデルを使えば、さらに良い結果が得られていた可能性はあります」とdos Santos氏は指摘します。「脆弱性調査のようなケースでは、モデル単体よりも『モデルとハーネスの組み合わせ』の方が重要であることが分かってきています。ただ、今回のようなエクスプロイト開発のケースでは、より能力の高い推論モデルであればもっと良い結果を出せていたかもしれません」

OTネットワークでは、パッチ適用はITネットワーク以上に複雑です。これらのコントローラは重要なプロセスの管理に使われているため、パッチ適用のためにオフラインにするには、計画停止のスケジュールを組む必要があります。そのため、ICS資産の所有者は、ある問題がどれだけ悪用しにくいか、どれだけ悪用される可能性が高いかを基準にパッチの優先順位を決めることが多いのですが、AIはこうした評価の前提を揺るがしつつあります。

OT機器については、使われていないサービスを無効化したり、管理インターフェースへのアクセスを制限したりといった、これまで通りの露出低減策に加え、組織は今後、インシデント対応計画においてAI支援による攻撃経路も考慮に入れる必要があります。

「攻撃者が機種間でエクスプロイトを迅速に適応させたり、露出した管理サービスを悪用したり、エンジニアリング環境内を横展開したり、悪用の失敗によって機器を不安定にさせたりするシナリオを盛り込むよう、机上演習(テーブルトップエクササイズ)や技術的なプレイブックを更新してください」と、Forescoutの研究者らは警告しています。

AIによる悪用は予測不可能な面もあり、攻撃者自身が意図しなかった問題を引き起こす可能性もあります。Forescoutの実験では、AIエージェントが悪用成功後に悪意あるペイロードを展開しようとした際、フラッシュメモリにマッピングされた領域に誤って書き込みを行ってしまい、機器を恒久的に使用不能(文鎮化)にしてしまいました。産業施設で物理的なプロセスを制御しているPLCなどのICS機器にとって、そうした意図せぬ回復不能なクラッシュは、非常に危険な事態になり得ます。

「今回の実験は、低レベルの組み込みシステムに対するエクスプロイトがいかに容赦のないものであるかを示しました」と研究者らは記しています。「AIエージェントにサイバーフィジカルシステムに対してより大きな裁量が与えられるようになれば、ミスは単なる分析の誤りやコードの失敗にとどまらなくなります。機器そのものに影響を及ぼしかねないのです」