Black Hat India（ベンガルール）— AIをサイバーセキュリティ業務の強化に活用する動きは、セキュリティ専門家にとって諸刃の剣になりつつあります。AIは専門家の能力を高める一方で、AIを効果的に使いこなすために欠かせないスキルそのものを衰えさせる恐れがあるのです。
こうした懸念を示しているのは、Kudelski Securityのリサーチ担当シニアディレクター、Nathan Hamiel氏です。同氏は、生成AIブームのはるか前から、進化するテクノロジーが技術スキルを蝕みかねないと訴えてきました。その懸念は今、一段と強まっています。
Hamiel氏はDark Readingの取材に対し、この問題に気づいたのは2005年から2006年ごろだったと語りました。当時、自分の仕事の基本を十分に理解していないサイバーセキュリティ専門家に出会ったといいます。そのころから同氏は、各種の技術ツールに過度に依存する危険性を指摘していました。サイバーセキュリティ専門家に向けて「ツールがあなたたちを殺している」と訴え、実務担当者が、問題を自ら直接調べる「ハンズオン」の担当者から、ツールやインターフェース、ダッシュボードが示す結果を見守るだけの「ハンズオフ」の監視役へと移りつつあると警告しました。
同氏によると、こうした変化は現在、AI主導の自動化によって加速しています。組織は、サイバーセキュリティのスキル育成を犠牲にすることなくAIの活用を最適化できるよう、迅速に動く必要があるといいます。
AIツールは物事を単純化しすぎる恐れも
自動化は複雑な作業を簡素化し、専門家がより多くの成果を上げられるようにします。しかしその一方で、専門家が解決しようとしている根本的な問題から距離を置くことにもなりかねません。Hamiel氏は、基本をしっかり理解していなければ、ツールが誤った結果を出したときや、結果をさらに調査すべきときに、実務担当者がそれを見抜くのに苦労しかねないと指摘します。
「ツールを最大限に機能させるには、こうしたスキルが重要です。だからこそ、スキルを維持し、衰えさせてはなりません」。同氏は今週開催中のBlack Hat India会議の会場からDark Readingにこう語りました。この会議で同氏は「The Death of Skills and the Persistence of Problems」と題した基調講演を行っています。
「知識と経験を持つ人にとって、AIは追加の能力を与えてくれるものです」とHamiel氏は詳しく説明します。「その分野の専門家がAIを使いこなせば、その分野の経験がない初心者には得られない恩恵を、ツールから引き出せます」
AIがサイバーセキュリティのワークフローにより深く組み込まれるにつれ、この違いはますます重要になっています。自動化によって、若手の専門家が従来学んできた実践的な作業の一部がなくなれば、業界は次世代の専門家をどう育てるのかという疑問も浮かびます。
AIへの過剰な期待とサイバーセキュリティの現実
Hamiel氏によれば、AIをめぐる現在の議論は極端に偏りがちです。AIはサイバーセキュリティだけでなく人類が直面する大きな問題の解決にも大いに役立つと予測する声がある一方で、サイバーセキュリティ業界に終焉をもたらす、さらには世界の終わりを招くとまで警告する声もあります。
「悲観論者もいれば、大騒ぎするほどのことではないと言う人もいます。真実はその中間にあります」と同氏は話します。
Hamiel氏は、AIの影響を理解するには、管理された環境でテクノロジーが示せる能力と、実世界で確実に成し遂げられることを切り分ける必要があると考えています。目を見張る能力があるからといって、仕事が丸ごと置き換えられたり、産業全体が消えたりするとは限らないと同氏は述べます。
同じ区別はサイバーセキュリティにも当てはまるといいます。AIは脆弱性の特定やコード生成、セキュリティ調査の支援に役立ちますが、だからといってセキュリティチームが直面する複雑な問題が突然簡単に解決できるようになったわけではないと、Hamiel氏は述べます。
実際、「暴走」したAIの活動として語られた最近のいくつかのインシデントは、OpenAIのモデルがHugging Faceのフレームワークを自律的にハッキングした事例などを含め、より見慣れた根深いサイバーセキュリティ上の問題を浮き彫りにしているのかもしれません。それは、組織が基本的なセキュリティ上の弱点に対処していないという問題です。
「インシデント報告書をいくつか読むと、基本的なセキュリティ衛生を実践していなかった組織ばかりです」とHamiel氏は言います。
同氏は、こうしたケースでは弱点が最初から存在し、見つけられるのを待っていたのだと主張します。「単に手の届きやすい果実だったのではありません。地面に落ちていて、探せば誰でも見つけられる果実だったのです」
こうしたインシデントは、サイバーセキュリティの破滅が迫っている兆候というよりも、Hamiel氏の言う「サイバーセキュリティの是正」を促す契機になりうるといいます。
「壮大な破滅が起きているわけではありません。多くの人が長い間、やるべきことをやってこなかっただけです」と同氏は説明します。
言い換えれば、AIによって既存の弱点を見つけて悪用しやすくなり、不十分なセキュリティ対策の結果が露呈する可能性があります。組織に求められるのは、単に新しいツールを導入することではなく、そのツールが浮き彫りにする根本的な問題に対処することです。
操作者から監視役への移行
実際、技術スキルが衰える恐れがあるという問題は、生成AIから始まったものではありません。Hamiel氏は、これを長期的な流れの一部と捉えています。テクノロジーが、専門家と、その専門家が解決を担う問題との間に入り込む度合いが、ますます強まっているというのです。
Hamiel氏の懸念は、しばしば「自動化の皮肉」と呼ばれる現象を映し出しています。システムが担う責任が増えるほど、それを監督する人間は、システムが故障したときに必要となるスキルを磨く機会を失いかねません。
同氏によると、その影響は、現在の実務担当者のスキルにとどまらず、サイバーセキュリティ業界が将来の専門家を育てる方法にも及ぶ可能性があります。特に、AIが代替しうる下位レベルの作業が、若手専門家の学習を支えている点が問題だといいます。
反復的で単純に見える作業でも、貴重な経験になります。新人の実務担当者は、そうした作業を通じてシステムの仕組みを理解してから、より複雑な調査へ進めるのです。「それを自動化してしまえば、若手が学ぶ余地はなくなります」とHamiel氏は警告します。
これは雇用主にとって、長期的な問題になりかねません。AIによって、チームは現時点で特定の作業をより効率的にこなせるかもしれません。しかし組織には、見慣れない問題を調査し、自動化された結果を評価し、システムが予期せぬ挙動を示したときに対応できる経験豊富な専門家が、引き続き必要です。
専門性を失わずにAIを使う
では、サイバーセキュリティの専門家が生成AIを効果的に使うにはどうすればよいのでしょうか。要は、AIが有意義な効果を発揮する作業に適用する一方で、こうしたツールに頼りすぎると弱まりかねないスキルを意識し続けることです。
「ここでの目標は、利点を最大化し、欠点を最小化することです」とHamiel氏は言います。これはどんなテクノロジーの利用にも当てはまることです。「この問題を考えるうえで、その枠組みを土台にすべきです」と同氏は述べます。
したがって、組織が不可欠なサイバーセキュリティの専門性を失わずにAIを導入する唯一の方法は、「適切な種類の活動にAIを適用すること」だと同氏は話します。
サイバーセキュリティの専門家にとっては、脅威ハンティングや脅威インテリジェンスといった作業に生成AIを使うことを意味するとHamiel氏は指摘します。こうした作業では、予備的な分析によって情報をより効率的に処理できるといいます。AIを活用したペネトレーションテストツールも有望な開発分野の一つで、従来の脆弱性スキャンにとどまらず、より複雑な作業をこなせるようになりつつあると同氏は述べます。
結局のところ、問題はAIがサイバーセキュリティを変えるかどうかではないと、Hamiel氏は言います。魔人はすでに瓶から出てしまっているからです。本当の課題は、ますます高性能になるツールに業界が依存しすぎて、それを効果的に使いこなすために必要な人間の専門性を失わないようにすることだと同氏は述べます。
「スキルと専門性があれば、AIの活用はより効果的になります」とHamiel氏は締めくくります。「専門家が2人いて、2人ともAIを使うなら、その作業により詳しい方がAIをうまく使いこなせるはずです」
翻訳元: https://www.darkreading.com/cybersecurity-operations/ai-kill-off-cybersecurity-pros-skills
