セキュリティ
サイバー機関は、重要インフラが標的になる可能性が高いと警告しています。長官は経営者に対し、「安上がりなIT」を改めるよう促しました。
英国の国家サイバーセキュリティセンター(NCSC)は、現在から2028年までの間に、英国の重要国家インフラ(CNI)を狙う将来のランサムウェア攻撃に、AI搭載マルウェアが「ほぼ確実に」関与するとの見方を示しました。
この警告は、年次レビューと、今後2年間でAIがサイバー脅威をどう変えうるかを検討した別の評価報告書に合わせて公表されました。
信号情報機関GCHQのサイバー部門であるNCSCは、このAIマルウェアがどのような形態をとるのか、詳細はほとんど明らかにしていません。ただし、本来はセキュリティ研究者の支援を目的としたオープンソースのAIセキュリティツールが、悪意ある活動に転用される可能性には言及しています。
攻撃者はすでにこうしたツールを転用しています。たとえば、中国製のオープンソースAIレッドチーミングプラットフォーム「ARTEX」は、7月の公開以降、英国のレジストラ123 RegやMicrosoft 365、さらにその他への攻撃で、広く悪用される例が研究者によって次々と確認されています。
NCSCは2028年に関する悲観的なシナリオとして、「世界的にサイバー攻撃の頻度と巧妙さが大幅に増す」事態を想定しています。AIツールの普及が進めば、攻撃者の特定はいっそう難しくなります。
この将来像では、中国がそうしたツールの供給に「関与している可能性が高く」、「各国の攻撃者が膨大な活動の中に紛れて身を隠せるようになる」と、報告書は指摘しています。
報告書はさらに、人間の操作者の制御を離れて動く自律型の攻撃者という脅威も検討しています。
NCSCは、「そうした存在が自己複製し、明確な動機も歯止めもないまま、思いのままにサイバー攻撃を仕掛ける可能性は現実にある」としています。
こうした攻撃は、やはり攻撃者の特定が難しいために、地政学的な関係を複雑にするとみられます。他国への攻撃を命じた国が、関与を否定しやすくなるためです。
英国のAI防御計画
パッチ火曜日のたびに過去最多のバグが報告される状況の中、NCSCは、AIがすでに脆弱性の発見やパッチ適用のあり方を変えつつあると認めています。
NCSCは、防御側がこの変化に追いつくためにAIをどう活用できるかも探っています。「Project DROMOS」は今年初めに、政府のコードリポジトリを分析する4週間の試験運用として始まり、その後、一部の運用環境へ拡大しました。
政府サイバー調整センター(GC3)が、AIセキュリティ研究所や他の省庁とともにこのプロジェクトを立ち上げました。NCSCによると、重大な脆弱性を含め、セキュリティ上の問題の可能性が数百件見つかったということです。
レビューでは、7月に初めて構想が示されたエージェント型サイバー防御システム「Cyber Shield」の計画も改めて確認されました。
Cyber Shieldは、今後5年間で段階的に整備される見通しです。参加組織が導入する防御エージェントに対し、NCSCがデータを提供し、進行中のサイバー脅威に対する国家のレジリエンス(回復力)を高める仕組みです。
NCSCはこの取り組みをデジタル・文化・メディア・スポーツ省(DCMS)と共同で進めます。ただし、この種の自動化された防御活動は、現時点では多くの組織のリスク許容度を超えていると認めています。そのため、本格的な普及の前に、制度への信頼を築く役割を担うことになります。
先週報じたとおり、政府はこの構想に6000万ポンドを充てました。さらに、新設の国家エクスポージャー・リアルタイム脆弱性(NERV)センターの支援に7000万ポンドを確保しています。
NERVセンターは、CNI組織や経済全体に存在する脆弱性を特定し、その状況を継続的に把握する役割を担います。
先週の予算によると、4000万ポンドは、制御不能なボットなどエージェントによる不具合に対応する国家エージェント型セキュリティ部隊の資金に充てられます。2400万ポンドは公共部門の防御強化に割り当てられました。
金額は非公表ですが、NCSCが運営する新たなAIサイバーセキュリティセンターもマンチェスターに設立されます。政府全体でAIセキュリティの専門知識を育てる拠点となります。
こうした中、NCSCのリチャード・ホーン最高経営責任者(CEO)は、各組織にセキュリティとレジリエンスへの「緊急の投資」を呼びかけています。
ホーン氏は年次報告書を発表した本日、「私たちは何十年もの間、安上がりなIT運用でどうにかやり過ごしてきました」と述べました。
「あらゆる組織のリーダーが、緊急性をもって投資することを自ら選ぶ国になれるはずです。そして、すべての組織がセキュリティとレジリエンスを、後回しにせず、必須の要件とする国になれるはずです」
「その結果は、私たち全員にとって、将来にわたる国家の強さの源泉となるでしょう」
ホーン氏は、NCSCの認証制度「Cyber Essentials」を出発点としつつ、組織の規模や複雑さ、リスクに応じてレジリエンス強化を拡大すべきだと述べました。
政府はあわせて、初めて認証を申請する零細・小規模・中堅企業を対象に、Cyber Essentials認証を75%割引にすると発表しました。®
