AIセキュリティ製品を導入する前にやるべきこと：優先度を整理

AIベースのセキュリティ製品の導入を考える前に、まず基本的なセキュリティ対策を行うべし。ベンダーの売り文句に惑わされてはいけない。だが、セキュリティの専門家はその先に悲観的な予測を持っている。

[Warwick Ashford，Computer Weekly]

　人工知能（AI）ベースの高度なセキュリティシステムに投資する前に企業がすべきことがある。それは基本的なセキュリティ要件を全て満たすことだ。英国のサイバー脅威の専門家はこのように口をそろえる。

　PricewaterhouseCoopers（PwC）で脅威検知と対応のリードパートナーを務めるクリス・マッコンキー氏は英グラスゴーで開催された「CYBERUK 2019」（2019年4月）（訳注）で次のように語った。「現在市場に出回っている一部のAIソリューションには期待していない。ネットワークのみに対応しているものは特にそうだ」

訳注：英国政府が設立したNational Cyber Security Centreが主催するサイバーセキュリティイベント。

　「数学的観点から言えることが1つある。機械学習を適用してネットワークトラフィックだけを監視すると、非常に複雑な問題を抱えることになる。複雑さの問題は伴うとしても、エンドポイントに機械学習を適用する方がはるかに対処しやすいだろう」（マッコンキー氏）

　マッコンキー氏は次のように続ける。「ソリューションの仕組みといった専門的なことはさておき、AIソリューションの効果と販売元が用意するマーケティング予算の間には明らかな落差がある。『Office 365』の二要素認証などの基本的なことに対応していないのであれば、こうした基本的なセキュリティ要件に対応することが最優先だ。ネットワークに設置するAIベースの異常検知ツールの優先度は、基本的なセキュリティ要件よりもはるかに低い」

　「人手を介さず完全に自動化されたAIが攻撃や防御を行うのは、ずっと先のことだ。そのようなものに時間を浪費するのは得策でない。時間を費やすべきことは他にある」とマッコンキー氏は言う。

　ただし2021〜2022年ごろには、ディープラーニング技術が悪用される状況をセキュリティ研究者は目の当たりにすることになるとマッコンキー氏は指摘する。

関連記事

• 米国にまん延する「AIでセキュリティの課題は解決」論の危険性
• ディセプション技術の未来はセキュリティ攻撃用人工知能（AI）をだます防御AI
• 恐怖をあおるセキュリティ業界に喝！
• AIはなぜそう答えたのか？　説明責任は人間に
• 5人のITリーダーが考えているAIの次のユースケース

　「攻撃者は、個人データや金融データを手当たり次第に標的にしている。そうしたデータを手作業で大規模に使用するのは不可能だ。攻撃者はデータの分析にAIベースの自然言語処理技術などを使う可能性が高くなるだろう」（マッコンキー氏）

　National Cyber Security Centre（NCSC）で産業分野の責任者を務めるマット氏（訳注）は次のように語る。「ネットワーク分野で予測を立てるのは非常に危険だ。ネットワークの変化は非常に速い。5年後を予測するのも困難だ。だが、5〜10年後の状況を形作るのは、ハッキング能力の産業化だろう」

訳注：原文に「Matt, head of industry operations at NCSC」とのみ書かれており、フルネームは不明。

　「防御と潜在的な攻撃にAIを応用することが増えるにつれ、スパイ行為や破壊的な目的にAIを使用する能力は高まる。その結果、インターネットの脆弱（ぜいじゃく）な要素をスキャンして、データマイニングのためにアクセスする能力は拡大するだろう」（マット氏）

　NCSCによると、未来のサイバー攻撃は特定のものを標的にする可能性は低いという。脅威因子はできるだけ多くのものを標的にし、それを利用して基盤を築き、収集したデータを使って何ができるかを調査するようになる可能性が高い。

　ロンドン大学（UCL）でエンジニアリングシステムについて教えるジェレミー・ワトソン氏は、機械学習の積極的な利用に目を向けて次のように語る。「将来、こうした技術が防御目的でインターネットエッジに導入されることが増えるだろう」

　「それらは役割を理解する機器になると考えられる。不適切なことを行うように指示されたり、不適切な場所にデータを送信するように指示されたりすると、それを理解する」とワトソン氏は自律的機能の発展を予測して語る。

　「その結果、社会技術という問題が見られるようになるだろう。人々は自律システムに権限を付与する機関について考えなければならなくなる。具体的には、自律システムに付与する判断の程度やこの分野における信頼の指標は何かといったことだ」（ワトソン氏）

　「AIによる判断については、さまざまな点において監査可能性が問われるようになるだろう。AIがクラウドとローカルのどちらにあるかは関係ない。具体的には、これらのシステムが判断を下すのに使用する根拠の出どころや、法的責任の存在などを慎重に見るべきだ」とワトソン氏は言う。