セキュリティ
Gartnerは技術的負債の大幅な解消と、ソフトウェアをより早く安全にし得る優れたスキャン技術の登場を見込んでいます
Microsoftが先週970件を超えるパッチをリリースしたことは、疲弊するセキュリティ担当者にとって悪夢と映った人も多いでしょう。しかしGartnerのリサーチ担当バイスプレジデント、Craig Lawson氏は、インフォセック担当者の作業負担がまもなく軽くなり、明るい未来が見えてくるかもしれないと考えています。
Lawson氏は本日、オーストラリアで開催されたGartner ITシンポジウムでこのシナリオを説明しました。同氏は、AnthropicのMythosをはじめとするバグハンティング向けAIによって脆弱性発見の件数が増加していることを踏まえ、既存のコードベースに潜む欠陥の大半を発見しつつある段階に近づいているのではないかと理論づけています。
「これほどの規模のコードベースがこの水準まで監査された状況は、これまでなかったことです」と同氏は本誌The Registerに語りました。そして、歴史的に見て異例なほど安全で安定したOSとされてきたOpenBSDで最近相次いで発見されたCVE群を、AIによるバグハンティングが成果を上げている証拠として挙げました。
「過去半年だけを見ても、製品においてどれだけの技術的負債が解消されたか考えてみてください」と同氏は述べました。Lawson氏が指摘したのは、理屈の上では安全な製品の作り方を熟知しているはずのセキュリティベンダー自身も、自社製品の欠陥を見つけるためにAIを活用しているという事実です。こうした発見もまた、AIがゼロデイ攻撃につながりかねない経路を潰しつつあることを示していると同氏は考えています。
2026年に報告されたCVEの件数が多いこと自体は、前向きなシグナルだとLawson氏は言います。Mythosのようなツールは、ベンダーが今後のリリースでより多くのバグを検出するために活用することで、目には見えないもう一つのシグナルも生み出す可能性があると同氏はみています。
そのため同氏は、ベンダーが旧来のコードベースの整理を終え、さらに次期リリースの検証にAIを活用することで、2027年にはCVEの件数が減少に転じる可能性があると考えています。
「2027年は、初めて純減が見られる年になるかもしれません。脆弱性の総数という意味では必ずしもそうならないとしても、欠陥の深刻度という点では間違いなく減少するでしょう」と同氏はThe Registerに語りました。
同氏はまた、AIがより優れたツールを提供することで、防御側の担当者にとっても喜ばしい変化をもたらすだろうと考えています。現状では、レッドチーム演習は頻度が低く費用もかさむイベントであり、通常は外部プロバイダーを雇う形で実施されていると同氏は指摘します。AIによるバグハンティングが実現すれば、組織は事実上、毎日レッドチーム演習を行えるようになる可能性があります。
そして、レッドチーム演習によって対応すべきチケットが生まれた場合も、AIがアナリストによる解決策の特定をより迅速にしてくれると同氏はみています。
「Geminiに『F5 IRule向けの構文を書いて』と3分ほど依頼するだけで、それが仮想パッチになるとしたらどうでしょうか。脅威インテリジェンスやエンリッチメントといった、これまで難しかった作業の一部も、誰でもできるようになります」
インフォセック担当者がそうした修正を行った際には、その成果をきちんと評価してほしいとLawson氏は組織に呼びかけています。
現状、セキュリティオペレーションセンター(SOC)では、担当者の評価は処理・クローズしたチケット数で測られているとLawson氏は述べました。同氏はそれよりも、サイバー防御担当者が病院の稼働を守った、あるいはランサムウェア攻撃を食い止めたという成果そのものを称えるアプローチの方が望ましいと考えています。®
