AIセキュリティ「黒い10月」…「誰もが攻撃するハッキング時代が来た」

AIが脆弱性の検出・攻撃を自動化…「対応する時間がない」

全世界で2200万件が露出…金融・政府サービスの一部が中断

サイバーセキュリティの逆説…AIが攻撃も防ぐ

[ブロックメディア イ・ジョンファ記者] 「誰もが人工知能（AI）を利用してシステムを突破する時代が来たのです。」

AIがハッカーの攻撃速度を高めると同時に、既存のソフトウェアのセキュリティ脆弱性を見つけ出すいわゆる「ハッキング時代」が到来した。全世界のインターネットセキュリティシステムが新たな危機に直面しているとの分析がある。

AIは両刃の剣である。サイバー攻撃にも使われ、防御にも使われる。脆弱性の発見から攻撃までの時間が急激に短縮されており、「対応する時間がない」という点が問題である。セキュリティ業界では、これを既存の対応体制が対応しきれない構造的変化と評価している。

ウォールストリートジャーナル（WSJ）とブルームバーグは23日（現地時間）、AIベースのハッキングツールの普及と大規模なソフトウェア脆弱性の発見が絡み合い、グローバルなサイバーセキュリティ危機が新たな局面に入ったと報じた。

一部の専門家は相次ぐ攻撃とサービス中断の事態を受けて、10月を「ブラックオクトーバー（Black October）」と呼び始めた。

AIが脆弱性発見から攻撃まで自動化

今回の危機の中心には、インターネットで広く使用されているオープンソースプログラミング言語PHPの致命的なセキュリティ脆弱性が2つ存在する。この脆弱性は10年以上発見されていなかったが、WizとOpenAI、セキュリティ企業Califの研究チームがAIを活用して見つけ出した。その後、脆弱性情報が公式に公開される前に攻撃者に漏洩したと推測され、状況が急変した。

アマゾンは脆弱性公開以前からハッカーがこれを悪用しようとする試みを確認したと発表した。カナダ、ベルギー、フランス、オランダなどでは、政府のウェブサイトが予防措置として一時中断された。銀行や航空会社もセキュリティリスクを減らすために一部サービスを中断した。

マシュー・プリンスCloudflare CEOは、自社ネットワークでこの脆弱性を利用した攻撃の試みが毎分数百万件観測されていると述べた。

問題は脆弱性発見速度とセキュリティ対策速度のギャップである。ブルームバーグによると、インターネットに露出した脆弱なシステムは2200万件に達する。ジャック・ヒューズPalo Alto Networks Unit 42デジタルフォレンジック・インシデントレスポンス責任者は、このうち3分の1以上が即時のパッチが困難なソフトウェアを使用していると説明した。

これらのシステムを交換またはアップグレードするには数ヶ月以上かかる可能性がある。クリス・ヒューズノーマセキュリティ戦略副社長は「AIは脆弱性発見を産業化したが、修正作業は依然として人間がボトルネックである」と指摘した。

AIが新たな脆弱性を見つけ出す速度が企業のセキュリティ対策速度を上回ることで、危険にさらされたシステムが積み重なる可能性があることを意味する。

ハッカーの攻撃方法も変わってきている。WSJによると、中国のオープンソースハッキングツールArtexはAIを利用してネットワーク侵入プロセスを自動化している。マイクロソフトは、複数の地域の攻撃者がこのツールを活用して数百社を対象に攻撃速度を高めていると述べた。

今月初めには、Artexを利用したサイバー攻撃により韓国の金融機関で約6万8000件のデータが漏洩した事例も報告された。

ロシア語圏のランサムウェア組織AuroraもAI活用の範囲を拡大している。初めは攻撃ツールとインフラ構築にAIを使用していたが、その後侵入した企業ネットワークを探索し、追加アカウントにアクセスする作業にも活用している。この組織はAnthropicの商用モデルから文書AIのオープンソースKimiモデルなどに活用モデルを変更したと伝えられている。

コリン・カウィSophos脅威情報責任者は、彼らの攻撃速度が一般の人よりも速いと説明した。

このような変化はサイバー攻撃の参入障壁を低くしている。高度な技術を持つハッカーだけでなく、相対的に熟練度の低い攻撃者もAIを利用して複雑な作業を実行できるからである。

サイバーセキュリティの逆説…AIが攻撃も防ぐ

AIがセキュリティ脅威を増大させているが、同時に防御技術の進展も促進している。ブルームバーグはAIを活用した脆弱性発見が必ずしも実際のハッキング被害の増加につながるわけではないと指摘した。

グーグルが7月にChromeブラウザで確認された脆弱性433件のうち401件を自社で発見した事例が代表的である。アメリカ政府の実際に悪用された脆弱性リストでも、攻撃に使用された脆弱性が明確に増加したという証拠はまだ確認されていない。今回のPHP脆弱性も攻撃の試みが大量に観測されたが、これを利用した大規模な侵害が成功したという公開証拠はない状態である。

セキュリティ専門家は、AIが脆弱性を見つけ出す能力と実際の攻撃成功可能性を区別する必要があると強調する。AIがセキュリティ脆弱性をより早く見つけ出しても、これを実際の侵入に結びつけるには追加の技術や条件が必要である。

しかし防御の観点では、脆弱性が公開された後に対応できる時間が大幅に短縮されたという点が問題である。ジェイソン・クリントンAnthropic最高情報セキュリティ責任者代行は、現在のサイバーセキュリティの混乱が当分の間さらに悪化する可能性があると警告した。

彼はセキュリティ責任者に対し、AI導入自体よりも基本的なセキュリティ体制の強化に必要な支援を経営陣に求めるようアドバイスした。長期的にはAIがソフトウェア開発過程でセキュリティ欠陥を事前に除去する段階に達する可能性があるとの展望も示した。クリントンはこのような未来をセキュリティ脆弱性が事実上消える「バルンゼロ（vulnzero）」と表現した。

ただしその前にはAIが見つけ出す脆弱性が爆発的に増加する「脆弱性津波」を通過しなければならないと警告した。

今回の事態はサイバーセキュリティの競争構図が変わっていることを示している。過去にはセキュリティ脆弱性を誰が早く発見するかが重要だった。今ではAIが見つけた脆弱性を誰がより早く修正するか、または攻撃に活用するかが核心的な競争要素として浮上している。

企業にとってはAIベースのセキュリティツールの導入だけでなく、古いシステムの交換、アクセス権管理、セキュリティパッチの自動化、インシデント対応体制の強化が重要な課題となる見込みである。

本コンテンツは、一般的な情報提供のみを目的としたものであり、金融、投資、法律、または税務に関する助言を構成するものではありません。ここに記載されているイベント、報酬、オンラインキャンペーン、またはそれらに関連する情報は、暗号資産の購入、売却、取引、その他いかなる取引の推奨、勧誘、または招待とみなされるべきではありません。暗号資産は価格変動が非常に大きく、損失が発生する可能性があります。WEEXのサービス、プロダクト、および関連イベントの提供状況は、地域によって異なる場合があります。お客様は、ご自身の参加が適用される現地の法令を遵守していることを自ら確認する責任を負うものとします。