最先端のAIモデルの台頭により、脆弱性が身を隠す場所はなくなりつつあります。これはソフトウェアを販売する企業にとって新たな問題を生み出す可能性があります。
「バルンポカリプス(vulnpocalypse)」、つまりAIの普及によって表面化した脆弱性の大量発生は、これまでバグハンティングにまつわる経済性や需要の前提を大きく変えつつあります。ソフトウェア発行元はこれまで、コードレビューやリサーチャーの関心、発見能力が有限であることを前提に事業を行ってきました。しかしこの2年間で状況は一変しました。大規模言語モデル(LLM)がバグ発見パイプラインの大部分を自動化・高速化しており、最先端モデルはこのプロセスをさらに加速させる可能性があります。
バグバウンティプラットフォームは、トリアージ対象となる報告件数が劇的に増加していると報告しています。HackerOneでは前年比で報告件数が倍増し、BugcrowdやTrendAIのZero Day Initiative(ZDI)も同様に急増を指摘しています。この状況を受け、各プラットフォームはバグバウンティ業務の一部を自動化するためAIによるトリアージを導入し始めました。専門家の中には、この新たなLLMの現実が独立系セキュリティリサーチの経済圏を再構築し、深刻度重視から量重視のゲームへと変えていくと考える者もいます。
Mindgardの最高製品責任者であり、Pwn2Ownハッキングコンテストの創設者でもあるアーロン・ポートノイ氏はDark Readingに対し、AIのせいで「脆弱性は隠れる場所を失いつつある」と語っています。
「ソフトウェアベンダーはこれまで長年、バグだらけのソフトウェアを出荷しても実質的な責任を問われずに済んできました。しかし今やAIは眠ることなく大規模に脆弱性を発見できるため、もはや隠れることはできません」と同氏は述べています。
脆弱性の発見はより安価かつ迅速になりつつありますが、発見が役立つのは組織が実際にそれに対処できる場合に限られます。LLMによってリサーチャーの生産性は向上する一方で、その課題は下流、つまりソフトウェアメーカー側へと移っていきます。
バルンポカリプスは「セキュア・バイ・デザイン」への清算
Luta Securityの創業者兼CEOであり、脆弱性リサーチの先駆者でもあるケイティ・ムソーリス氏は、「バグバウンティのエコシステムは長らく苦境にありましたが、AIはまさに『王様は裸だった』という現実を露呈させただけです」と語ります。
ムソーリス氏は、バグ発見のスピードが上がったことは、同じ過ちを繰り返し安全でないソフトウェアを何度も出荷し続けてきたソフトウェアベンダーにとっての清算だと説明します。同氏は、バグバウンティプラットフォームはベンダーがどうしても見落としてしまったバグのためにあるべきで、脆弱性を発見するための主要な手段であってはならないと主張しています。
そして各企業はその需要への対応に苦慮しているようです。HackerOneのCEOであるカラ・スプレイグ氏はDark Readingに対し、過去12カ月間で未対応のまま滞留している重大な脆弱性の数が30倍に増加したと述べています。「平均修復時間(mean time to remediation)は50%改善しているにもかかわらず、です」。
同様に、ムソーリス氏は、投資を十分に行ってきたセキュリティ組織でさえバグバウンティプログラムを縮小する動きが広がっていると指摘します。「彼らはより多くの関門を設けています。『トップティアの報奨金を受け取れる招待を得るには、これだけの数の脆弱性を提出しなければならない』といった具合です……そうしたあらゆる手段を講じて、受け取る報告のペースを人為的に落とそうとしているのです」。
セキュア・バイ・デザインと修復対応がボトルネックの一方の側面だとすれば、開示(ディスクロージャー)はもう一方の側面を代表しています。
脆弱性開示をめぐる悩み
Disclose.ioの代表兼共同創業者であり、かつてBugcrowdを立ち上げたケイシー・エリス氏は、セキュリティコミュニティは脆弱性発見を容易にすることには何年も注力してきた一方、脆弱性報告を容易にすることにはそれほど労力を割いてこなかったと指摘します。
言い換えれば、脆弱性を探すセキュリティリサーチャーの大多数は、倫理的な手段を通じてバグを完全に開示すべきだと信じる善意の個人です。しかし脆弱性の氾濫と修復対応の遅れが重なり、このプロセスはさらに難しくなっています。
「AIを活用したリサーチを行っている人たちと数多く話をしていますが、彼らは大量のバグを抱え込んだまま動けずにいます。理由は単に、それらを適切な報告先に届けるのが難しすぎるからです。悪意があるわけでも、何か害を及ぼす意図があるわけでもありません」と同氏は語ります。「彼らはこう言います。『こんなものをそのままインターネットに放り出せば、ユーザーにリスクをもたらすことは分かっている。だからそれはしたくない。しかし、それをしない、あるいはベンダーが反応してくれないとなると、一体どうすればいいのか』と。今、そうした状況が数多く起きています」。
エリス氏は、多くの組織には依然として明確な報告経路や脆弱性開示ポリシー、あるいはリサーチャーが安心して発見内容を報告できるようにする法的セーフハーバーが欠けていると主張します。同氏が懸念しているのは、脆弱性開示を取り巻く仕組みの成熟スピードよりも、AIによる脆弱性発見の加速の方が速いという点です。
AIはこうした問題を悪化させていますが、これらは決して新しい問題ではありません。多くの組織は長年、リサーチャーに安全な報告経路を提供することに苦戦してきました。また、テクノロジーに明るくない一部の組織は、倫理的なセキュリティリサーチを犯罪行為と誤解してきました。「善意でこうした活動をしたいと考えている人たちを、まるで犯罪者であるかのように扱ってしまうのは愚かなことです」とエリス氏は述べています。
新たなAI時代の到来はバグ発見速度の大幅な増加を可能にした一方で、このエコシステムを支える土台にも大きな負荷をかけています。この課題の一部はすでに解決に向かいつつあります。例えば、バグバウンティの経済圏は量を重視する方向へと再編されつつあり、脆弱性リサーチプラットフォームはAIによるトリアージに頼るようになっています。しかし、脆弱性リサーチの漏斗の最下流に位置するベンダーこそが、今後数カ月から数年にわたって最も大きな不確実性に直面することになるかもしれません。
BugcrowdのCEOであるデイブ・ジェリー氏は、セキュリティ業界にとってまだやるべきことは多く、中でも修復対応、つまりバグを実際に直す作業は「私たちが備えられているとは思えない領域だ」と語ります。
「私はこの仕事を2012年からやっています。当時から私たちには備えができていませんでした。あの頃も、見つかったものすべてを修正できていたわけではありません」と同氏は言います。「今もなお、備えはできていないのです」。
