Microsoft ResearchとDefenderチームによって開発されたProject Ireは、事前のシグネチャを必要とせずにソフトウェアの脅威を分類するための高度な推論およびリバースエンジニアリングツールを活用しています。
Microsoftは、ソフトウェアの出所や目的に関する事前知識がなくても、そのソフトウェアが悪意のあるものか無害なものかを分析・分類できる自律型AIエージェント「Project Ire」を発表しました。
このシステムは、Microsoft Research、Microsoft Defender Research、Microsoft Discovery & Quantumの共同開発によるもので、高度な言語モデルと呼び出し可能なリバースエンジニアリングおよびバイナリアナリシスツール群を用いて調査と判断を行います。
Project Ireは、公開されているWindowsドライバーのデータセットでテストされ、精度0.98、再現率0.83という成果を上げたとMicrosoftは述べています。また、Project IreはMicrosoftにおいて、ヒト・AIを問わず、特定の高度持続的脅威（APT）マルウェアサンプルを自動的にブロックするのに十分な証拠を構築した初のリバースエンジニアであることも認められています。この脅威は後にMicrosoft Defenderによって確認・ブロックされました。
Project Ireの仕組み
Microsoft Defenderは毎月10億台以上のアクティブデバイスをスキャンしており、専門家による手動レビューが頻繁に必要となり、エラーやアラート疲れを引き起こしています。そのため、Project Ireのアーキテクチャは、低レベルのバイナリアナリシスから制御フローの再構築、コード動作の高レベル解釈まで、複数のレベルでの推論を可能にしています。
Project Ireはまずファイルの種類と構造を特定し、angrやGhidraなどのツールを使ってソフトウェアの制御フローグラフを再構築します。APIを通じて主要な関数を分析し、どのようにして結論に至ったかを示す詳細な「証拠の連鎖」を構築します。内蔵のバリデーターが専門家の知見と照合して正確性を確保した上で、システムはソフトウェアを悪意あり・無害のいずれかに分類します。
「Project Ireは自律型AIプロトタイプとして、リバースエンジニアリングによる脅威検出に依存する既存ツールを超える進化を遂げています。現在市販されているTDIRツールは、既知の脅威やパターンを特定するために既知の機械学習やAIモデル、シグネチャに依存していますが、Project Ireはファイルの挙動を深く独立して分析できるようです」と、Gartnerのシニアディレクターアナリスト、Charanpal Bhogal氏は述べています。さらに、「これにより、AIエージェントが攻撃面を調査し、行動のための明確な『証拠の連鎖』を提供することで、新たな、またはこれまで検出されなかった悪意あるコードを特定できます。エージェンティックAI要素は、人間の支援から完全自律型アプローチへと移行しつつも、人間がループに関与し続ける点が特徴です」と付け加えました。
「CrowdStrike Falcon、SentinelOne、Palo Alto Cortex XDRなどの既存ツールがパターン認識、教師あり学習、人間による検証に依存しているのに対し、Ireは人間の認知プロセスを模倣した推論エンジンを用いて、独自にマルウェア分析を生成し、解釈可能な脅威分類を提供するよう設計されています。これにより、アラート疲れやトリアージ時間の短縮が期待できます」とTechInsightsのアナリスト、Manish Rawat氏は述べています。
実環境でのテスト
自動化ツールでも解析できなかった4,000件の「ハードターゲット」ファイルでの実環境テストでは、Project Ireは10件中9件の悪意あるファイルを正しく検出し、誤検知率も4%と低水準でした。
このことから、Project Ireは、従来の人手による脅威トリアージが不十分な、高リスク・高ボリューム・時間的制約の厳しい環境で活動する組織に適しています。
Rawat氏は、理想的な導入先として、クラウドネイティブ企業、多国籍企業、広範かつ複雑な攻撃面を管理する重要インフラ分野を挙げています。リソース不足のSOCを抱える中堅企業でも、Ireがサイバーセキュリティ人材不足の中で検出能力を拡張するのに役立ちます。
Bhogal氏によれば、防衛、医療、金融サービス、政府、製造業など、成熟したソフトウェア開発体制を持つ大企業もIreから大きな価値を得られるとしています。
導入上の課題
現在はプロトタイプ段階ですが、MicrosoftはProject IreをMicrosoft Defender組織内でバイナリアナライザーとして脅威検出やソフトウェア分類に活用する計画です。
しかし、MicrosoftのProject Ireを実際のセキュリティオペレーションセンター（SOC）で導入するには、技術面・運用面で大きな変革が必要です。「企業のSOCでProject Ireを導入するには、既存のSIEMやSOARシステムとの統合、LLM向けの堅牢なコンピューティング基盤、AI出力を解釈するためのアナリスト教育、エスカレーションプロセスの再設計、透明性・コンプライアンス・リスク管理を確保するためのガバナンス更新が求められます」と、EIIRTrend & Pareekh ConsultingのCEO、Pareekh Jain氏は述べています。
Project Ireは、自律型システムが独立して行動・適応・意思決定できるエージェンティックAIへの業界の動きを示しています。しかし同時に、自律型システムへの過度な依存は、AI判断への過信、モデルドリフトや敵対的利用、説明性の欠如、人間のスキル低下といったリスクも伴うとJain氏は付け加えました。
ニュースレターを購読する
編集部からあなたの受信箱へ
まずは下記にメールアドレスを入力してください。