AIが次々に脆弱性を悪用 Googleが提唱する“手遅れ”を防ぐセキュリティ戦略：手作業の防御では間に合わない

汎用AIモデルの進化によって、かつてない速度でサイバー攻撃が加速している。未知の脅威に対し、企業はいかに防御体制を構築すべきか。Googleが提唱する、AI技術を活用した防衛ロードマップの要点を解説する。

[TechTargetジャパン]

　「Claude Mythos 5」など、特定の用途に限定されない汎用（はんよう）モデルであっても、ソフトウェアの脆弱（ぜいじゃく）性発見に優れた性能を発揮する時代が到来した。従来、新たな脆弱性の発見やゼロデイ攻撃手法の開発には、高度な専門知識と膨大な分析時間が必要であった。ところが今では、AIツールが動作するエクスプロイト（脆弱性悪用コード）を自動生成することさえ可能になり始めている。

　こうした変化に伴って、ソフトウェアの脆弱性が公開されてから悪用されるまでの猶予期間は、実質的に消滅しつつある。攻撃者がAI技術を駆使して攻撃のスピードと規模を飛躍的に高める中、人の対処速度を前提とした手作業中心のパッチ適用体制では、急増する脅威に対処することは不可能に近い。

　素早く展開される攻撃からシステムを守るため、Googleは企業に対し、防御体制にAI技術を組み込んだ防衛ロードマップを提唱している。攻撃者の優位を覆し、自社の情報資産を守り抜くために、セキュリティ部門が今すぐ着手すべき具体的な施策とは何か。

“猶予ゼロ時代”に必要な3つの対策

併せて読みたいお薦め記事

加速するサイバー攻撃にどう対処するか

• AIで巧妙化するサイバー攻撃　情シスが向き合うべきAI時代の国家級リスク
• 攻撃は数分、防御は手作業　「AI対AI」のサイバー戦に情シスの防衛策は？

　Googleは、企業がAI技術を活用した防御戦略を構築する際の優先事項として、以下の3点を提唱している。

1．運用自動化による「エージェント型SOC」への移行

　従来型のダッシュボード監視や、静的な検出ルールのみに依存したセキュリティ運用体制では、AI技術によって自動生成される大量の攻撃トラフィックを処理することは困難だ。この課題に対し、GoogleはAIエージェントを中核に据えた動的なセキュリティ運用体制への移行を推奨する。

　具体的には、アラートのトリアージ（優先順位付け）を自律的に実行し、リバースエンジニアリング（既存ソフトウェアの構造を分析して動作の原理や設計を明らかにする手法）などの専門的な手作業を介さずに、悪意のあるプログラムを分析できる専用AIモデルを配備する仕組みだ。これによって、複数のセキュリティツールから得られるシグナルをAIモデルがリアルタイムで相関分析し、最適な対処手順を自動的に生成できるようになる。その結果、セキュリティ担当者は初期調査やログの突き合わせといった反復業務から解放され、より高度な脅威ハンティングや意思決定など、戦略的な業務に専念できる環境が整う。

2．開発環境全体への保護拡大と攻撃対象領域の最小化

　これまで大半の企業は、本番環境で稼働する物理機器や仮想サーバの保護に注力してきた。一方でGoogleは、今後の防御戦略として、ソースコードリポジトリやCI/CD（継続的インテグレーション／継続的デリバリー）パイプラインといった、ソフトウェア開発環境全体へ保護の範囲を広げるべきだと指摘する。

　攻撃者は、このような自動化された開発環境を格好の侵入経路と見なしている。単独では軽微な設定ミスに見える欠陥であっても、AIモデルはそれらを複雑に組み合わせて重大なシステム侵害を引き起こす「攻撃チェーン」を瞬時に特定してしまう。この脅威に対抗するには、AI技術を活用したスキャンツールを開発プロセスに組み込み、ソースコードの脆弱性を先回りして検証する体制が求められる。同時に、ゼロトラストセキュリティの原則にのっとり、インターネットに公開されているシステムの範囲を最小限に抑え込むことで、システムの一部が侵害された場合でも、被害の拡大を物理的かつ論理的に封じ込めることが可能になる。

3．動的なアセット把握と緊急修復プロセスの確立

　IT部門の管理が行き届いていないAIツールの利用「シャドーAI」や、把握から漏れている古いシステムは、攻撃者にとって最も効率的に侵入できる隙になる。Googleはこれを防ぐための対策として、手作業の台帳管理から脱却し、クラウドサービスで稼働する仮想マシンや一時的に立ち上がるコンテナ群に至るまで、管理対象を動的に検出して構成情報を更新する仕組みの導入を提唱している。

　管理対象の重要度や外部公開の有無に基づいて修復の優先順位を明確に定め、セキュリティ部門と事業部門間で事前に合意を形成しておくことが重要だ。セキュリティパッチの適用が完了するまでの間、対象システムのネットワーク隔離やアクセス制限を即座に実行できる「一時的な緩和手順」を用意しておくことで、業務中断のリスクを最小限に抑えつつ、システムの安全性を確保できる。

セキュリティシステムを新たな脆弱性にしないために

　セキュリティシステムにAI技術を組み込むことが不可欠になる一方で、導入したAIモデルやAIエージェントそのものが新たな攻撃の標的になるリスクも生じる。Googleは将来に向けた提言として、悪意のあるプロンプトインジェクションや機密データの漏えいを試みる攻撃を事前に検知する「特化型ファイアウォール」の配置など、AIシステム固有の脆弱性を保護する対策も併せて実行する必要があると結論づけている。

　脆弱性が公開されてから悪用されるまでの猶予が失われた現代、人間の限界を超えるスピードで迫る脅威に対し、場当たり的な対処ではなく計画的な準備を進めなければならない。防御戦略の根幹に、AIツールによる自動化と修復プロセスをいち早く取り入れることで、企業は将来巧妙で大規模なサイバー攻撃に脅かされても、迅速に対処できる強固な体制を構築できる。