今回の取り組みは、小規模な水道・電力事業者や地方自治体、銀行の保護に重点を置く
OpenAI本社で開催されたサミットには、フォーチュン1000企業のエンタープライズセキュリティ責任者やCISOら300人が参加しました。この基調講演でOpenAI社長のグレッグ・ブロックマン氏は、最前線で防御に当たる担当者たちがフロンティアなサイバーAIを活用し、米国内および世界中の重要サービスを守れるよう支援する新たなグローバルイニシアチブ「Daybreak for Frontline Defenders」を発表しました。
このイニシアチブは、米国内外でDaybreakサイバーモデルへの補助付きアクセス、トレーニング、技術サポート、パートナーシップを拡大するため、総額10億ドル規模のグローバルなコミットメントを伴うものです。Daybreakは防御用モデルで、フロンティアモデルに加え、AIモデルとユーザーのコンピューターの間に位置する実行エンジン兼制御ループである「Codexハーネス」、そして接続されたコードリポジトリや信頼済みワークフロー、エコシステムパートナーの脆弱性を特定・検証し、修正内容をレビューするOpenAIのツール「Codex Security」で構成されています。
ブロックマン氏はこのイニシアチブの発表にあたり、既製版のCodexに自身の個人サイトをテストさせ、発見された脆弱性を修正させたエピソードを紹介しました。
「私はこうした分野の専門家ではありませんが、幸いCodexは専門家です」とブロックマン氏は述べました。「Codexは発見した問題をすべて修正してくれました。まさに守られているという実感を得られる体験でした」
Daybreakには、Daybreak Defense Networkを通じて35以上のエンタープライズ製品およびパートナー運営サービスも組み込まれる予定で、企業の防御担当者がすでに使用しているツールやサービス、ワークフローにDaybreakサイバーモデルを組み込んでいきます。
重要インフラへのAI防御導入
このイニシアチブの主要な柱の一つが「Daybreak for America」です。この取り組みの下でOpenAIは、小規模な水道・電力事業者や地方自治体、銀行の保護に取り組みます。その一環として、OpenAIはMulti-State Information Sharing and Analysis Center(MS-ISAC)との新たなパイロットプログラムを開始し、州・地方・部族・準州レベルのサイバー防御担当者向けのトレーニングと支援を、まずは公共部門と水道システムの防御担当者から始めます。
OpenAIによると、このパイロットプログラムではDaybreakへのアクセスに加え、公共部門と水道システムの防御担当者の初期グループを対象とした指導付きトレーニングと実践的な支援を組み合わせ、調査結果の検証や優先順位付け、修正対応の調整、そして今後拡大可能な再現性のある手法の構築を支援します。
「重要インフラの障害が当たり前になってしまう世界に向かっているのかもしれません」とブロックマン氏は述べました。「それを避けるための猶予はまだありますが、今すぐ行動を起こす必要があります」
こうした広範な取り組みの一環として、OpenAIは公益事業各社を集めた2回目の会合を開催し、各社が自社システムの強化にOpenAIのツールを活用できるよう支援しました。参加者は40州とコロンビア特別区の企業で構成されており、合わせて米国人口の半数以上にサービスを提供しています。
OpenAIのCEOであるサム・アルトマン氏は昨日ノースカロライナ州を訪れ、同州の住民が頼りにするシステムやサービスを守るためにOpenAIがサイバー防御担当者と連携している取り組みを紹介しました。先週OpenAIは、サイバーセキュリティ、テクノロジー、重要インフラ、金融、AIの各分野にまたがる150を超える組織による連合を率い、サイバー防御のギャップを埋めるための一致団結した行動を呼びかけました。攻撃者がAIを悪用してその隙を突く前に、AIを使ってセキュリティ上の隙間を埋める機会は限られていると警鐘を鳴らしています。
「たとえ小さな穴や脆弱性であっても、それらを組み合わせて悪用するハードルは劇的に下がっています」とブロックマン氏は述べました。「以前ならベストプラクティスを多少緩めても許された部分がありましたが、もはやそれでは通用しません」
今月初め、米国の水道システムへの攻撃を受け、OpenAIは被害を受けた州や公益事業者に対し、最大100万ドル相当の無償APIクレジット、Daybreakへのアクセス、技術支援を提供しました。OpenAIによると、各チームはこの支援を活用してコードやシステム構成をレビューし、調査結果を検証してパッチを開発、必要不可欠なサービスを中断させることなく修正を確認できたとのことです。
対象となる州・地方政府、重要インフラ事業者、非営利団体、オープンソースのメンテナー、および関連組織は、Daybreakの公式サイトでアクセス方法や技術支援、トレーニング、その他のサイバー防御支援について詳しく確認できます。
専門家は取り組みを評価する一方、ボトルネックに疑問を呈する
公益事業の専門家たちは、このイニシアチブを高く評価しつつも、さらなる取り組みが必要だと指摘しています。
「この取り組みや姿勢は評価していますが、人間が『何がそこにあるか』を教えない限り、AIがOTアーキテクチャを正確に評価することはできません」と、産業制御システムセキュリティの専門家でI&C Secureの社長を務めるガス・セリーノ氏はCSOに語りました。「これらの公益事業者は、ハードウェアとソフトウェアを特定し、調達・導入・設定・維持管理していく必要があります。AIはその一部を助けることはできますが、実際の実装は依然として人間に頼らざるを得ません」
「公益事業者にはさらなるツールが役立つと思いますが、彼らがすぐには対応しきれないものを過剰に押し付けてしまわないか懸念しています」と、Ampyx CyberのCEO兼社長を務めるパトリック・ミラー氏はCSOに語りました。「脆弱性を発見すること自体は比較的容易な部分であり、すでに彼らが対処しきれないペースまで加速しています。それに対応する防御の取り組みは素晴らしい選択肢ですが、OT環境で安全に展開する前に、こうした手法はきちんと検証される必要があります」
