米CISA、脆弱性スキャンにAIモデル採用

米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）は、連邦政府のソフトウェアシステム内に存在するセキュリティ脆弱性をスキャン（検査）するため、米Anthropic（アンソロピック）の人工知能モデル「Mythos（ミソス）」を導入する試験運用を開始しました。ロイター通信によると、本プロジェクトはCISAの「アタックサーフェス（攻撃対象領域）評価チーム」の主導で進められており、すでに初期のテストで複数の脆弱性の特定に成功していると報じられています。

1. レガシーコードの迅速な監査

連邦政府が保有する大規模システムには、構築から何十年も経過した大量のレガシーコード（開発から時間が経過し、技術が古くなった古いプログラム）が残されています。これらの古いソースコードは現代的な手法による体系的なセキュリティ監査が追いついておらず、サイバー犯罪者や国家支援型ハッカーグループの格好の標的となっています。AIを用いることで、人間の手では数か月かかる規模のコード解析を数時間で完了できるメリットがあります。

2. 進む導入とサプライチェーンの懸念

一方、今回のAIモデルの採用は専門家からいくつかの懸念も提起されています。ひとつはサプライチェーンリスク（製品の供給網を通じてセキュリティ上の欠陥やリスクが混入する脅威）です。政府がAIを活用する一方で、開発現場ではAIアシスタントを用いて新たなコードが書かれており、その中には認証不備や資格情報のハードコード（プログラム中にIDやパスワードなどのデータを直接書き込むこと）といった脆弱性が多く含まれたままリリースされています。さらに、AIによるスキャンが実用性のないノイズを大量に出力し、専門家の精査コストを増加させるトレードオフも指摘されています。

CISAが政府システムの防衛にAnthropicの最新モデルを配備したことは、生成AIが実験室を飛び出し、国家安全保障の最前線で実運用される段階に入ったことを象徴しています。しかし、AIが古いバグを修正する速度よりも早く、新たなAIツールがバグを生み出す「いたちごっこ」を防ぐためには、安全なコード生成基準の策定や、重要インフラ事業者へのAI脆弱性スキャン技術の提供拡大といった包括的なアプローチが必要になるでしょう。

引用元：SecurityBrief Asia