「隠すことによるセキュリティ(security through obscurity)」とは、ネットワークやシステムのアーキテクチャ、そしてそこに存在する脆弱性や弱点さえも秘匿しておけば安全性は保たれる、という古い考え方を指す言葉です。機微な資産やシステムを守る手法として、これが妥当だったことは一度もありませんでしたが、リソース不足や慢心から、この考え方に頼ってきた組織は少なくありませんでした。
しかし今や、その考え方は完全に時代遅れです。信じられないという方のために、証拠をお見せしましょう。
ソフトウェアベンダーや独立系の研究者たちは今や、AIエージェントを使ってバグを発見するようになっています。中には非常に見つけにくかったものや、何十年も前から潜んでいたものも含まれ、製品やオープンソースコード全体で過去最多の件数のセキュリティ開示とパッチにつながり、プロジェクトのメンテナーには膨大な未処理案件が積み上がっています。
「もう10年もの間、技術コミュニティの目に触れ続けてきたオープンソースプラットフォームがあります。世の中のウェブサーバーの80%で稼働しているようなライブラリで、コミュニティは10年間も負荷試験を重ね、本当に安全だと信じ込んでいました」と、FBIサイバー部門の副部長を務めるブレット・レザーマン氏はThe Registerに語りました。「最新のAIモデルはそれを打ち破ることができ、『ええ、ここには重大な脆弱性がありますね』と言ってのけたのです」
「隠すことによるセキュリティ」が死んだかどうかは「もはや意見が分かれる話ですらない」と、Trend MicroのZero Day Initiativeでチーフバグハンターを務めるダスティン・チャイルズ氏は、Microsoftが974件のCVEに対処した過去最多を更新したパッチチューズデーの翌日、The Registerに語りました。
「昨日AdobeとMicrosoftが修正したコンポーネントを一通り見てみると、ここ何年も話題にすら上らなかったようなものばかりです」とチャイルズ氏は言います。「Telnetクライアント――今どき、これをセキュアな環境で使っているところなどあるのでしょうか。Windows RNDIS――Microsoftが何年も前から廃止しようとしてきたUSBネットワーキングプロトコルです。NFSPortmapper――1980年代のUnix技術。そしてLink Layer Topology Discovery――Vista時代に作られたネットワークマップ用プロトコルで、Vista以降誰も気にも留めていなかったものです。ほんの一例に過ぎませんが」
一方で攻撃者側もAIを使い、修正パッチをリバースエンジニアリングしてわずか数時間でエクスプロイトを見つけ出すようになっています。最近のある事例では、大半が中国との関連が疑われる少なくとも4つのスパイ活動集団が、オープンソースのChromiumに対して「パッチギャップ」の窓を一気に閉じてしまいました。メンテナーが上流でパッチを公開した直後――しかし下流の安定版がユーザーに配信される前――に開発されたエクスプロイトキットを使ったのです。
OTセキュリティにとっての意味
8月に開催されたBlack Hatでのインタビューで、前米国国家サイバー長官のクリス・イングリス氏と、Google Threat Intelligence Groupのチーフアナリストであるジョン・ハルトクイスト氏はいずれも、この状況が重要な運用技術(OT)や産業制御システム(ICS)にとって何を意味するのか、懸念を示しました。
これらは、スイッチを入れれば明かりがつき、ポンプからガスが流れ、蛇口から安全な飲料水が出てくることを保証しているシステムです。いずれも人々が日々当たり前のように利用し、確実に動き続けると信じて疑わない重要なサービスです。
OTシステム自体は、独自仕様のハードウェアやソフトウェア、見慣れないプロトコルを使っていることが多く、これまではITの専門家やハッカーにとってさえブラックボックスでした。
ところがAIはこの前提を覆してしまいました。つまり犯罪者はもはやOTの専門家である必要はなく、重要なネットワークや施設に対して破壊的なサイバー攻撃を仕掛けられるようになったのです。AIエージェントにこうしたシステムについてすべて学習させ、汚れ仕事を代行させればいいだけなのですから。
Black Hatから数週間後、米国の5つの機関が、水道、製造、エネルギーをはじめとする重要施設でインターネットに露出したSiemens S7シリーズのプログラマブルロジックコントローラー(PLC)への侵入に、攻撃者がAI生成のエクスプロイトスクリプトを使用したと発表しました。「これは理論上のリスクではなく、現実に進行中の脅威です」と当局は警告しています。
AIは「技術的なトラブルシューティングや、見慣れないシステムを理解して使いこなす手助けが非常に得意です。これが産業制御システムについて大いに懸念している理由です」と、ハルトクイスト氏は先週The Registerのインタビューで語りました。
「これまで産業制御システムがおおむね安全だったのは、専門知識がごく一握りの人間の頭の中にしかなかったからです。しかし、それがいつまでも続くわけではありません」と同氏は言います。
AIはアプリケーション層だけでなく、オペレーティングシステム、さらにはファームウェアの奥深くまで研究する攻撃者にとって、有用な案内役になり得るとハルトクイスト氏は付け加えました。「これはセキュリティのさまざまな分野に影響を及ぼすことになるでしょうが、産業制御システムにとっては間違いなく大きな意味を持ちます」
とはいえ、これがシステム管理者や防御側にとって仕事の増加を意味することは間違いないものの、「隠すことによるセキュリティ」という時代遅れの発想を葬り去ること自体は、必ずしも悪いことではありません。
「勝ち目のある戦略だったことは一度もない」
「隠すことによるセキュリティが勝ち目のある戦略だったことは、これまで一度もないと私はずっと考えてきました」と、バグバウンティのコンサルタント会社Luta Securityの創業者兼CEOであり、バグバウンティの生みの親とも称されるケイティ・ムスーリス氏はThe Registerに語りました。「それは私が長年ハッカーをやってきたからこそ言えることです。ある組織に狙いを定めようと決めた者が現れれば、この主張はいつも通用しなくなります。見つけるべきものがそこにあれば、必ず見つけ出されるのです」
さらに、AIによってハッキングははるかに容易になったと同氏は付け加えました。
「対象となる特定の技術スタックに詳しくない人でも、それはもはや障害にはなりません。AIはあらゆる情報を取り込んでいるので、たとえ自分自身がその技術スタックに詳しくなくても、AIが弱点を洗い出す手助けをしてくれるからです」とムスーリス氏は語ります。
しかし、バグやその他の弱点を見つけること自体は、これまでもセキュリティにおける大きな問題ではなかったと同氏は付け加えます。「本当に問題なのは、トリアージと優先順位付け、そして実際に修正までこぎつけることです」。ムスーリス氏によれば、これは組織がバグバウンティプログラムを運用する際の最大の課題でもあるといいます。
「AIはセキュリティ全体の構図のうち、間違った側ばかりを明るく照らしています。残念ながら、防御側ではAIがまだ追いついていないのです」とムスーリス氏は言います。「AIによる自動パッチ適用や修復といった段階には、まだ到達していません」
最近の複数の調査もこれを裏付けており、いずれもAI生成のパッチが半分以上の確率で失敗すると結論づけています。
1Passwordの研究チームは、3月以降に開示された6件のCVEを対象に、OpenAIのChatGPT-5.5とAnthropicのOpus 4.8という2つの最先端モデルを使い、6,080件のパッチを生成しました。
「アプリケーションの挙動を実質的に変えることなく脆弱性を完全に解消できたパッチの平均成功率は、わずか26.0%でした」と、セキュリティ研究ディレクターのキース・フードレット氏は記しており、さらに脆弱性を修正できたパッチであっても、20%の確率でアプリケーションの挙動を乱してしまったと付け加えています。これには「許可リスト」のロジックを「拒否リスト」のロジックに変えてしまうといった問題も含まれていました。
「逆に、LLMが生成したパッチが脆弱性を解消できなかったか、新たな脆弱性を追加してしまったか、あるいはその両方だったケースは、平均で53.9%に上りました」とフードレット氏は述べています。
アプリケーションセキュリティ企業Veracodeによる別の調査でも、100種類を超えるモデルと80種類のコーディングタスクを対象にした結果、AI生成コードのセキュリティ合格率は平均でわずか56%だったことが分かりました。
「修正側、つまり防御側のスピードを上げる必要があると誰かが言っているとしたら、それは全く足りていないということです」とムスーリス氏は言います。
「バグの発見と修正にひたすらリソースをつぎ込もうとするだけで、そもそも大量のバグを生み出したプロセス上の欠陥を見直そうとしない組織は、ランニングマシンの上で走り続けるだけで終わってしまうでしょう」と同氏は付け加えました。「文字通り、心臓発作を起こして倒れてしまうようなものです。どれだけVO2maxを鍛えたところで、あの量のバグすべてに対応できるほどの速さは手に入りません。かといって諦めるのも答えではありません」
同氏によれば、答えとなるのは、脆弱性を一つひとつ場当たり的に潰していくのではなく、自組織のどこにパターンが見出せて、プロセス改善につなげられるかを評価する、より動的なアプローチを取ることだといいます。
「多くの組織は、自分たちの進捗をどう測ればよいかすら分かっていません。だからバグの件数や修正のスピードを数えているのです。重大な脆弱性がこれだけあって、それをものすごい速さで修正した、高リスクのものはこれだけ、中リスクのものはこれだけ、というふうに」とムスーリス氏は語ります。
修正した欠陥の件数は重要ではあるものの、それだけでは全体像は見えてこないと同氏は付け加えます。ここには、脆弱性の種類にも目を向ける必要があります。
「たとえば、インジェクション系の欠陥がやたら多いとしましょう。それなら、CI/CDパイプラインのもっと早い段階で、より安全なテンプレートを導入することで解決できる問題です。これは、見つけて直しやすい脆弱性をひたすら猛スピードで潰し続けるのとは違い、大規模に予防できる類いの取り組みなのです」®
