私たちの最新エピソード「Lexicon」では、サイバーセキュリティ企業Red SiftのCEO兼創設者であるRahul Powarに深くインタビューし、人工知能（AI）がサイバー脅威の状況をどのように変えているのか、そしてそれが自らを守ろうとする組織にとって何を意味するのかを探りました。最近のメキシコの水道会社に対するAIを利用したサイバー攻撃事件を起点に、Powarはデジタルレジリエンスの課題が増大していることについて明確な見解を提供し、今後18か月が世界中の組織にとって特に困難である可能性があることを指摘しました。
Powarは、AIが高度なサイバー能力をより多くの人々にアクセス可能にしていると説明しました。多くの人がこのメキシコの攻撃の背後にはエリートハッカー集団がいると考えている一方で、Powarは必ずしもそうではないと述べています。彼は、AIが「これらの伝統的に複雑な攻撃を実行するために必要なスキルと能力を民主化している」と説明しました。攻撃者はもはや数年の専門知識を必要とせず、大規模な言語モデルを利用して偵察、脆弱性の特定、悪意のあるコードの作成、コンピュータネットワークのマッピングを行うことができ、これらは過去にはかなりの専門知識を要する作業でしたが、今でははるかに簡単になっています。
彼は「これらの攻撃を行うために必要なハードルが下がっており、これらのツールが包み込む複雑さが高まっている」と指摘しました。彼はこの傾向が加速するだけだと警告し、「私たちはこれが今後より大規模に発生すると予測しています」と述べました。
攻撃者は一度の成功で成果を得る
Powarは、サイバーセキュリティは常に攻撃者に有利であり、AIがこの不均衡をさらに明らかにしていると説明しました。彼は「攻撃者は一度の成功で成果を得ることができるが、防御者は常に正確でなければならない」と述べています。この問題は考えると明らかです。組織は数千のデバイス、アプリケーション、ユーザーを保護する必要がありますが、攻撃者は一つの見落とされた脆弱性を見つけるだけで済みます。AIは攻撃者がこれらの脆弱性を見つけるプロセスを簡素化し、その速度はかつてないほど速くなっています。そのため、手動でネットワークを探査するのではなく、AIシステムはプロセスの大部分を自動化し、インフラを迅速に分析し、エクスプロイトを生成し、障害に直面した際には適応することができます。
しかし、事態はあなたが考えているほど暗くはありません。攻撃者を助ける同じAIツールは、防御者が犯罪者の攻撃前に脆弱性を特定するのにも役立ちます。Powarは、組織は伝統的に専門のペネトレーションテスターにシステムを攻撃者の視点からチェックさせてきたと説明しました。しかし、ますます多くのAIがこれらの作業を自動化し始めています。彼は「生成AIによる継続的なテストとペネトレーションフレームワークの導入は、今後12〜18か月で一般的になると予測しています」と述べました。偶発的なセキュリティ監査に代わって、組織はAIを使用してシステムを継続的にテストし、脆弱性が悪用される前に特定することが増えていくでしょう。
公共事業部門が主要なターゲットとなる理由
多くの人は、サイバー犯罪者が自然に銀行やテクノロジー企業に焦点を当てると仮定するかもしれません。Powarは、なぜこの状況が変わりつつあるのかを説明しました。金融機関は依然として価値のあるターゲットですが、長年の規制とサイバーセキュリティへの投資により、攻撃が難しくなっています。公共事業、地方自治体、その他の重要なインフラ提供者は、同様に価値のある情報を持ち、社会が依存するサービスを提供していますが、しばしば運営されるサイバーセキュリティリソースは少ないです。Powarは、水道会社が「そのサービスを提供するコミュニティに重要な国家公共資源を提供しているが、大銀行のようにサイバーセキュリティを考慮する時間をあまりかけない可能性がある」と述べています。
この組み合わせが、彼らをますます魅力的な攻撃ターゲットにしています。
彼はまた、攻撃者は通常特定の組織を狙うのではなく、業界全体を検索し、「前門が開いている」機会を探していると指摘しました。彼は、AIがオペレーターとしての役割を果たしつつあると説明しました。議論の中で最も興味深い部分の一つは、AIの潜在的な未来の方向性です。現在のシステムはプログラマーやセキュリティ研究者を支援していますが、Powarはその役割が急速に変化していると考えています。彼は「AIはもはや単なるアシスタントではなく、オペレーターのようになっている」と述べました。Powarは、これらのシステムがますます独立して機能し、仮説をテストし、問題を解決し、継続的な人間の入力なしにその方法を適応させることができるようになっていると説明しました。
彼は指摘した。「私たちが今話しているのは、機械が機械の速度で他の機械と対抗することです。」この変化はサイバーセキュリティに巨大な影響を与え、攻撃と防御の反応速度は人間の実際の監視能力を超えることになる。AIモデルがますます強力になるにつれて、Powarは、規制と責任の問題が避けられない形で浮上すると説明した。政府はアクセスを制限すべきか？AI開発者は悪用を防ぐべきか？Powarは現実はもっと複雑だと考えている。「悪魔はすでに瓶から出てしまった」と彼は言った。
Powarはまた、強力なAIモデルが世界中で急速に商品化されているため、どの単一の政府も効果的にアクセスを制限することが難しいと指摘した。彼は「効果的な規制とアクセス制限を行うことは非常に困難だろう」と説明した。最終的に、Powarは、組織はAIによる攻撃がデジタルの風景の永続的な特徴になることに備えるべきであり、単に規制がそれを阻止できることを期待するべきではないと考えている。
今後18ヶ月は困難に直面する
おそらく私たちの対話の中で最もプレッシャーを感じさせる部分は、近い将来の予測である。Powarは、AIがこれまで無視されてきた何年も前から存在する脆弱性を迅速に発見するだろうと予測している。ルーター、ネットワークカメラ、スマートドアベル、インターネット接続デバイス、そして無数の他のシステムは、AIが前例のない速度で識別できる弱点を含んでいる可能性がある。「私は今後18ヶ月が非常に厳しいものになると予想している」と彼は言った。彼はこの迫り来る期間を「デジタルパンデミックの同等」と例え、組織が攻撃者にそれらを利用されないように脆弱性を特定し修正するために競い合うことになるだろう。
励みになるニュースは、この初期段階を経た後、彼はインターネットが最終的にははるかに安全になる可能性があると考えている。なぜなら、組織がそのセキュリティを強化し、AIが防御能力を改善するからだ。最先端のAIに関する議論が続く中、Powarは驚くほどシンプルな結論に何度も戻る。良好なサイバーセキュリティは依然として基本的な作業をきちんと行うことに依存している。多要素認証、継続的な資産発見、攻撃面管理、そして強力なネットワーク衛生を維持することは、依然として最も効果的な防御手段の一つである。彼のアドバイスは非常に明確だ。組織は「部屋の中で最も手ごわいターゲット」になることに集中すべきである。
AIが確かに驚くべき速度でサイバーセキュリティを変えているが、良好なセキュリティの基盤は変わらない。今日これらの基盤に投資している組織は、将来のAI駆動の脅威に対してより良い準備ができるだろう。