企業や個人にとって、AIはまさに革命的なゲームチェンジャーです。
AIは今、サイバーセキュリティの攻撃側にと防御側の双方に大きな影響を及ぼし始めています。
AIとサイバーセキュリティの共生関係は、一方が進歩すれば、もう一方がそれに対応して適応し、革新を進めることを示唆しています。
人工知能(AI)分野の変化の速さは、いくら強調してもしすぎることはありません。過去数年間で、AIの能力と、一般の企業や個人がそれを利用する容易さの両面において、画期的な革命が起きるのを私たちは目の当たりにしてきました。
ChatGPTは、大規模言語モデル(LLM)を活用して人間のような独創的なコンテンツを生成する生成AIの一種であり、すでに1億8,000万人の定期利用者を抱え、2023年に入ってからこれまでに、ウェブサイトへの訪問は14億回に達しています。企業はこの種の技術を活用して、タスクの自動化、予測分析の実行、意思決定のための洞察の導出、さらには新規従業員の採用まで行っています。しかも、これはほんの始まりにすぎません。
企業や個人にとって、AIはまさに革命的なゲームチェンジャーです。しかし、ゲームチェンジをもたらす技術が善のために使われうる一方で、悪のために使われることもあります。AIはサイバーセキュリティの運用強化やネットワーク監視、脅威検知の改善に活用されている一方で、脅威アクターによって攻撃能力や手法を強化するためにも活用されています。2024年が近づくにつれ、攻撃型AIと防御型AIの競争がこれほど接近し、重要になったことはかつてありません。
Check Pointの「2023 Mid-Year Cyber Security Report」で詳述されているように、サイバー犯罪者はAIを活用して、より巧妙なソーシャルエンジニアリングの手口を生み出しています。生成AIを活用することで、より説得力のあるフィッシングメールの作成、Officeドキュメント内の悪意あるマクロの開発、リバースシェル操作用のコードの生成、さらにはその他多くのことが可能になっています。さらに懸念されるのは、AIによってこれらの作戦をより容易に拡大でき、脅威アクターがより短時間でより多くの被害者を標的にできることです。人工知能が間違いなく守護者であると同時に脅威でもあることには、誰もが同意できると考えます。
世界経済フォーラムは、高まるサイバーセキュリティの課題にどのように取り組んでいますか？
サイバーセキュリティセンターは、リーダーが一堂に会し、進化するサイバーリスクとそのシステミックな影響を理解するための信頼できるプラットフォームを提供しています。相互接続が一層進むデジタル社会において、理解と信頼の構築に注力しています。
セクターを越えた協力と知見の共有を通じて、同センターはパートナーがサイバーレジリエンスを強化し、集団的な対応を必要とする課題に対処できるよう支援しています。
サイバーセキュリティのためのAI、そしてAIに対抗するAI
今年は、AIがサイバーセキュリティの攻撃側にと防御側の双方に大きな影響を及ぼしてきました。AIは、高度なサイバー攻撃を防御する有力なツールとして台頭し、脅威の検知と分析を大幅に向上させています。AIを活用したシステムは、異常の特定や、これまで見えなかった攻撃パターンの検出に優れており、事態が深刻化する前に潜在的リスクを軽減します。例えば、AIアルゴリズムはリアルタイムのインテリジェンスを用いてネットワークをリアルタイムで監視し、脅威が出現した時点で正確に防御できるため、誤検知の発生を減らすことができます。
しかし、我々の防御を強化する同じAIが、サイバー攻撃者によって兵器化されつつもあります。ChatGPTのようなツールは、悪意ある行為者によって新たなマルウェアを作成したり、ソーシャルエンジニアリングの手口を加速させたり、最も厳しい精査でも見抜けないほど巧妙な欺瞞的フィッシングメールを作成したりするために操作されてきました。こうした進歩は、防御の仕組みが革新的な攻撃戦略によって絶えず挑まれる、サイバー軍拡競争を浮き彫りにしています。
今やディープフェイク動画や音声生成機能が手の届く範囲にあるため、AIを活用したソーシャルエンジニアリングの手口はさらに巧妙になると予想すべきです。ただでさえ状況が不透明な中、ChatGPTは誤情報の拡散にも使用されうるほか、「ハルシネーション」のリスクもあります。これは、AIチャットボットがユーザーの質問に満足のいく形で答えるために詳細を捏造する現象です。こうしたツールが純粋に善の力としてみなされることは、ますます難しくなっています。
AIの民主化
ランサムウェアが世界中の企業にとって深刻な脅威となっている一因は、Ransomware-as-a-Service（RaaS）の台頭にあります。これは、ほぼ合法的な企業のように運営される組織化されたグループが、ランサムウェアツールを作成し、エクスプロイトや脆弱性に関する情報を最高額の入札者に販売することを指します。つまり、経験の浅い脅威アクターや限られたリソースしか持たない者でも、大規模な標的に対して高度な攻撃を仕掛けることができます。必要なのは、適切なツールへのアクセスを購入することだけなのです。
まさにRaaSが悪意あるソフトウェアを民主化し、より入手しやすくすることで脅威アクターの能力を増幅させたように、AI・アズ・ア・サービス(AIaaS)は人工知能に関連する能力を増幅させています。ChatGPTやGoogle Bardといったツールの民主化により、これらのAIはより幅広い層にとって利用しやすくなりました。
これらのツールは、ビジネスや社会にとって計り知れない可能性を秘めている一方で、悪意のある目的のために悪用されてもいます。例えば、ロシアと関係するサイバー犯罪者は、すでにOpenAIのジオフェンシング制限を回避し、生成AIプラットフォームを利用して巧妙なフィッシングメール、マルウェアのキーロガー、さらには基本的なランサムウェアのコードを作成しています。ホワイトハットによる演習では、Check Pointも同様の結果を達成し、Googleの Bard AIに対しても、一連のプロンプトを通じて最終的にキーロギングやランサムウェアのコードの作成を支援するよう説得しました。これは、わずかな知識を持つユーザーであれば誰でも達成できることです。
規制上の課題
AIの進化する環境は、その応用を統治するための包括的な枠組みの重要性を浮き彫りにする、数多くの規制上の課題をもたらしています。これらの問題の最前線にある倫理的配慮は、公平性、説明責任、透明性という概念を中心に展開します。AIシステム（特に生成AI）は、既存の人間の偏見を助長、さらには悪化させる可能性のある固有のバイアスを受けやすくなっています。例えば、採用や融資における意思決定AIは、特定の層を他の層よりも不当に優遇する可能性があり、公正な実務を確保するための規制上の監督が必要です。
AIがさまざまな分野で不可欠になるにつれ、サイバーセキュリティ、プライバシー侵害、誤情報キャンペーンのいずれにおいても、悪影響が生じる可能性が高まっています。AI技術の開発と展開が一つの共通基準に従うことを確保するため、規制の枠組みが必要です。これは「善い」AIにとって重要ですが、規制は悪意ある行為者が通常気にかけることではありません。これにより、防御型AIと攻撃型AIの競争における格差がさらに広がる可能性があります。
現在と未来の安全を確保する
AIの将来的な可能性に注目が集まる中、基本を見落とさないことが極めて重要です。脆弱性へのパッチ適用、定期的なスキャンの実行、エンドポイントの強化といった基本的なセキュリティ対策を確実に行うことは、依然として不可欠です。将来の脅威にすべての努力を注ぎ込みたくなるものですが、現在の課題に対処することも同様に重要です。
AIは進化を続けるにつれ、その能力は間違いなく拡大し、防御者と攻撃者の双方に役立つでしょう。AIを活用したソリューションが防御の仕組みを強化している一方で、サイバー犯罪者もAIを活用して戦術を洗練させています。AIとサイバーセキュリティの共生関係は、一方が進歩すれば、もう一方がそれに対応して適応し、革新を進めることを示唆しています。
