- Forescoutの研究者らは、AIがRCEエクスプロイトをPLCに移植し、DoS攻撃やシェルコード実行を実現できることを実証
- 攻撃には研究者による多大な作業と500ドル超のAPI利用料が必要で、犯罪者にとっては実用的ではない
- 2025年にサンドワームがポーランドの電力網を攻撃した事例が示すように、国家的な攻撃者は依然として懸念材料
サイバー犯罪者が人工知能(AI)を悪用し、プログラマブルロジックコントローラー(PLC)などの運用技術(OT)に存在するゼロデイ脆弱性の発見と悪用を自動化するのではないかと懸念している方は、少なくとももうしばらくは安心していただけそうです。
最近、Forescoutのセキュリティ研究者らは、犯罪者がAIを使って増え続ける露出済み産業機器を狙うことができるのかどうかを検証するという、シンプルな目的で調査に乗り出しました。結論を先に言えば「可能ではあるが、まだ手間に見合わない」というものです。
研究者らは実験として、あるPLCで見つかったリモートコード実行(RCE)脆弱性を別のPLCに移植することを試みました。これらの機器はクローズドソースのソフトウェアで構築されており、簡単には操作できないはずでしたが、実験は成功しました。
ただし、条件付きで
研究者らは対象機器をクラッシュさせるサービス拒否(DoS)状態を引き起こしただけでなく、最終的には攻撃者が用意したARMシェルコードを実行できる、実際に機能するRCEを完成させました。
これは確かに懸念すべき進展ですが、大きな「ただし」が付きます。
「この攻撃には研究者による多大な作業が必要でした。最終段階のRCE開発だけでAPI利用料が500ドルを超えました。初期のRCEからさらにエクスプロイトを拡張しようと試みたところ、最終的にPLCは完全に使用不能になりました」と研究者らは報告書の中で述べています。
「これらの制約から、OTにおけるAI支援型のエクスプロイト開発について貴重な教訓を得ることができました。実現は可能ですが、言うほど簡単ではありません。現時点では、必要とされる難易度、コスト、専門知識の高さから、この種の攻撃はより簡単な代替手段に比べて魅力に欠けると考えられます」
言い換えれば、サイバー犯罪者にとってはまだ他にも狙いやすい侵入経路があり、それが続く限りOTは比較的安全だと言えます。ただし、この報告書が触れていない点として、潤沢な資金力を持つ国家的な攻撃者の存在があります。こうした攻撃者にとって産業用機器は格好の標的であり、500ドル超のAPI利用料などごくわずかなコストに過ぎません。実際に2025年には、サンドワームがポーランドの電力供給会社を攻撃した事例がすでに確認されています。
