残された時間は少ない
AIは、フィッシングメールやディープフェイクなどのサイバー攻撃を可能にするために何年も使われてきた。だが、脆弱性発見能力を持つモデルの登場は、リスクをさらに高めるおそれがある。現時点では、より強力なモデルが容易に利用可能になる前に、組織には準備するための時間がまだある。
advertisement
「AIモデルへのアクセスを制限して利用できる相手を絞り込んでも、稼げるのは時間だけで、安全は手に入らない。『中国版Mythos』をうたうTulongfengを中国の360が発表したことが、それを証明している。このような能力が存在した瞬間、同等のバージョンが後に続く。どのモデルに誰がアクセスできるかを軸に防御を考えるのは、誤った枠組みだ。本当の問いは、自社のセキュリティプログラムが、これらのツールが生み出す速度で動けるかどうかである」と、自律型IT企業Tanium（タニウム）のCTOであるハーマン・カウルはメールで語った。
「Zero-Day Clock（ゼロデイ・クロック）は、脆弱性の開示から悪用までの時間の中央値は数時間と見積もっている。マンディアント（Mandiant）の最新集計では、悪用までの平均時間はマイナスに転じた。攻撃者はパッチ（修正プログラム）が存在する前に欠陥を兵器化している。大半の企業のパッチ適用サイクルはいまだに14〜30日だ。時間的猶予が縮んだどころではない。攻撃が先で、防御が後という逆転が起きているのだ」とカウルは述べた。
AIが脆弱性の発見を加速させる世界では、企業は追いつくためにより迅速にパッチを適用する必要がある。重要なシステムやソフトウェアにパッチを適用するといったサイバーセキュリティの基本は、こうした脆弱性発見能力を備えたモデルが市場に出回っていくにつれ、今後より不可欠になる。
advertisement
