複数のベンチマークにより、少なくとも1つのフロンティアモデルがエンドツーエンドの侵害を自律的に実行できることが確認されました。これを受けサイバーセキュリティの専門家たちは、企業がアタックサーフェスの防御を強化し、AIの速度に対応した防御策を採用するペースを上げる必要があると警鐘を鳴らしています。
コンサルティング企業のBooz Allenは9月2日、フロンティアモデル――Anthropic社のMythos 5――が完全に自律したハッカーとして振る舞い、実運用レベルの企業ネットワークを侵害できることを確認した最新の組織となりました。同社はまた、「Cyber Weapon Index」(CWI)と名付けた指標も発表しました。これは、脆弱性を発見・悪用する能力と、標的に対して攻撃を実行する能力を組み合わせてモデルの能力をベンチマーク化するものです。
同社の評価では、Mythosは80点を記録した一方、次点となったSpaceXAIのGrok-4.5は49点にとどまりました。しかし、Booz AllenのNational Cyber部門の責任者を務めるBrad Medairy氏は、現時点での順位そのものよりも、6カ月後にどのような状況になっているかの方が重要だと指摘します。
同氏は「私たちの見立てでは、少なくともフロンティアモデルと中国製モデルの間では、おそらく6カ月というスパンである程度の均衡が生じるでしょう。そのため、各陣営はこうした能力を進化させる急速な競争のただ中にあります」と述べ、これまで人間の攻撃者を相手にする場合は防御側に分があったものの、「今後は攻守のバランスが攻撃側に傾く。攻撃者は従来型の防御では到底追いつけない速度と規模で効果を発揮できるようになるからだ」と付け加えました。
Booz Allenの調査結果は、フロンティアモデルのサイバー攻撃能力をベンチマークする他の取り組みの結果とも一致しています。6月には、英国政府の科学・イノベーション・技術省の研究部門であるAI Security Instituteが、キャプチャー・ザ・フラッグ形式のコンテストによってMythosがエンドツーエンドの攻撃チェーンを完遂できることを確認したと報告しました。さらに、OpenAIのGPT-5.5モデルも32ステップから成る攻撃チェーンのテストを完遂しています。ただしいずれのモデルも、試行の半数以上は失敗しており、Mythosは10回中3回、GPT-5.5は10回中2回の成功にとどまりました。
人間の速度ではもはや不十分
中国語圏のサイバー脅威グループによる7月の台湾政府サーバーへの攻撃は、自律型――正確にはこのケースでは半自律型――のハッキング作戦がもたらす優位性を如実に示しています。この攻撃は4日間という短い期間で行われ、偵察と攻撃実行の多くの工程が圧縮されていました。
サイバーセキュリティ企業のTenableは、この事案および他の類似したAI主導型攻撃6件についての分析の中で、「AIエージェントは、どのシステムをマッピングするか、公開情報源からどの手法を取り入れるか、いつ新たな業種に攻撃対象を広げるかを、人間による逐一の指示を受けることなく自ら判断していた」と述べています。
Medairy氏によれば、企業が学ぶべき教訓は、人間の速度によるサイバーセキュリティ運用では今後通用しなくなるということです。現在であれば4時間という対応時間は妥当、あるいは優秀とさえ見なされるかもしれませんが、将来的にはそれでは対応として遅すぎることになります。
同氏は「これまで、端末の向こうに人間の敵がいる状況では、こちらの防御側がその相手を上回るスピードで動くことができた」と述べ、「しかし、大規模に活動するエージェントを相手にする場合、防御側の速度を攻撃側が上回ってしまう」と語ります。
現行のフロンティアモデルの評価は攻撃自動化の最先端を示すものですが、攻撃者の能力を本当の意味で加速させるのはフロンティアモデルではなく、こうした自律攻撃のコストを引き下げるオープンウェイトモデルだと、攻撃的サイバーセキュリティベンダーであるXBOWの最高情報セキュリティ責任者(CISO)Nico Waisman氏はDark Readingに語っています。
同氏は「オープンウェイトモデルはサイバー領域において実質的に大きく進歩しており、それが投資対効果の計算を変えつつある」と述べ、「もはやこれを行うのにフロンティアモデルへのアクセスは必要ない。この地点こそが、自動化が単に『目を見張るような選択肢』ではなく『より安価な選択肢』へと変わる転換点だ」と語ります。
攻撃の高度化を支えるのはステルス性とハーネスの改良
Waisman氏によれば、トークンコストと相対的な成功率、そしてCWIを組み合わせれば、企業は自律攻撃がどれほど費用対効果の高いものになり得るかをある程度把握できるといいます。ただし、こうした攻撃がどれほどステルス性を持つかという要素は、まだ考慮に入っていません。
同氏は「現在のモデルは非常にノイズが多い」と述べ、「静かに動くようには設計されておらず、攻撃的な作戦においてノイズは早期発見につながる。これこそが、実在の標的に対してエージェントを解き放つ前に攻撃者を躊躇させる要因だ」と語ります。
進歩の多くは、モデル自体の改良ではなく、より効果的なハーネスの開発に帰着することになるでしょう。Waisman氏によれば、一例としてXBOWは、既製のモデルと人間の専門知識、そして自社開発のハーネスを組み合わせ、GoogleのChromeで6件の脆弱性を発見し、それらを2つの攻撃チェーンへとつなげたといいます。
同氏は「差別化要因となったのはフロンティアモデルではなかった――特別なモデルを使ったわけではない」と述べ、「差別化要因となったのは、ハーネスと人材の方だった」と語ります。
当面のつなぎ策となり得る欺瞞戦術
企業にとっての長期的な戦略は、自社の重要資産を把握し、不正アクセスから保護することであるべきです。Waisman氏によれば、企業はパッチ適用を継続すべきではあるものの、脆弱性はもはや対処の基本単位ではなくなっています。なぜなら、脆弱性はどの企業にも存在するものであり、誰もそれを十分な速さで塞ぎきることはできないからです。
同氏は「封じ込めを前提に設計せよ」と述べ、「検知エンジニアリングからトリアージ、インシデント対応に至るまで、自動化できる防御のあらゆる工程にAIを活用すべきだ。人間の速度で動く防御は、機械の速度で動く攻撃を前にすると、たとえ人材がどれほど優秀であっても、単純な計算だけで負けてしまうからだ」と語ります。
自律型攻撃は、攻撃者側に有利な非対称な方程式の到達点にあたります。Medairy氏によれば、短期的には企業側もまた、非対称な防御策を探るべきだといいます。同社は「Guile」と名付けた防御アプローチを持っており、これは偽の手がかりや行き止まりを提示するもので、AIシステムが引っかかりやすい「餌」として機能します。人間の攻撃者がこうした欺瞞にかかることはめったにありませんが、AIモデルの場合は90%以上の確率で引っかかるといいます。
Medairy氏は「これはAIエージェントには通用しても、人間には通用しない」と述べ、「これが示しているのは、今後こうしたより非対称なアプローチを検討する必要があるということだ。私たちはこれまで、人間の攻撃者を打ち負かすためのモデルや技術、プロセスを構築してきたが、今戦っている相手は機械であり、そのゲームのあり方を根本的に変えなければならない」と語りました。
翻訳元: https://www.darkreading.com/cybersecurity-operations/companies-six-months-prepare-automated-attacks
