IT之家 10月25日の報道によると、ルポーレ社がインタビューした7人のネットワークセキュリティ専門家は、AI技術がソフトウェアに隠されたセキュリティ漏洞を明らかにするにつれて、今週のような世界各地の政府ウェブサイトが連続してサービスを停止する事態が、ほぼ確実に再発すると述べています。
アメリカ・マサチューセッツ州のネットワーク脅威情報会社VulnCheckが近々発表する研究によると、AIがソフトウェアの脆弱性の発見数を増加させており、過去1年間で発見された脆弱性の数は前年比で2倍になった。
デジタルインフラ企業CloudflareのCEO、マシュー・プリンズは次のように指摘した。「他のいくつかの重要なソフトウェアには、まだ深刻な脆弱性が存在していることを知っている。……私は、今後2年間、毎週が終わるのが怖いと感じるだろうと思う。」
彼は予想しています。AIがインターネットインフラの長期にわたる隠された安全上の問題を次々と発見するにつれて、今後数ヶ月間、ネットワークセキュリティ業界は非常に忙しいでしょう。
IT之家の情報によると、今週、ヨーロッパおよびその他地域の政府ウェブサイトが相次いでサービスを停止しました。その原因は、インターネットで広く使われている老舗プログラミング言語PHPに安全上の問題があることが発見されたためです。各ウェブサイトの運営者は、ハッカーがこの問題を利用して大規模な攻撃を行うのを防ぐために、急いでソフトウェアの修正を行いました。一部の運営者は、修正する時間がないと考え、ウェブサイトを一時的に閉鎖し、安全が確保された後に再開する措置を取りました。
VulnCheckの研究員パトリック・ガリティは、PHPの脆弱性による緊急修復作業が、すでに混乱しているネットワークセキュリティ業界をさらに忙しくしていると指摘した。今週、PHPの代替技術であるNode.jsやストリーミングメディアソフトウェアPlexにも脆弱性が明らかになり、AIゲートウェイLiteLLMや開発プラットフォームRailwayもセキュリティ侵入事件に関与している。
また、インドのデジタル証明書発行機関であるeMudhraが、非常に安全性の低い暗号化キーを使用していることが判明し、インターネット上のユーザーに危険が及ぶ可能性があります。「1週間で4、5件のような事件が起こったら、今後もさらに多くなるだろう。システムが直接インターネットに接続されている限り、より頻繁に安全問題の緊急対応が必要になるかもしれません。」
現代のソフトウェアのコードライブラリは規模が非常に大きく、プログラムのエラーは予期しない場所に隠れていることが多い。その中には、ハッカーがシステムに侵入するための突破口となるほどの欠陥もある。
以前は、プログラムの脆弱性を発見するには専門的な技術が必要で、その脆弱性をシステムを攻撃できるツールに変換するには、経験豊富な技術者が数週間から数ヶ月かけて行われることが多かった。長い開発プロセスにより、防御側には時間の余裕があり、脆弱性を修正しながら徐々にソフトウェアの更新を実施することができた。
AIは元の時間差を打破した。AIモデルは24時間いつでもソフトウェアコードをチェックし、連続して脆弱性を見つけ出すことができ、わずか数時間でその脆弱性を利用する攻撃プログラムを開発する。
アメリカ・ヴァージニア州のネットワークセキュリティ企業であるRunSafe SecurityのCTO、ショーン・フレイは指摘する。過去数ヶ月で、AIモデルが実際のパフォーマンスを通じて、ネットワークセキュリティ業界が必ず変化するだろうことを証明したと。 「根本的な変化であり、議論の余地のないのは時間である。脆弱性を発見するのにかかる時間が変わっただけでなく、攻撃者が脆弱性を攻撃手段に変える速度も変わった。」
ルポーテル通信のインタビューに応じた専門家たちは、防御側が脆弱性を修正する時間がますます少なくなると一致して述べました。しかし、AIがハッカー攻撃の増加を招くかどうかについては、意見の相違があります。
ファイル転送ツールcurlの主要開発者であるダニエル・ステンバーグは、AIモデルが発見する脆弱性はしばしば特殊であり、悪意ある攻撃者がそれを利用するのは難しいと考えている。
ネットワークセキュリティ企業ArmorCodeの経験豊富なチーフソリューションエンジニア、ラミ・ラフマンも次のように指摘している。「漏洩された脆弱性が増えるということは、成功したネットワーク攻撃の数が必然的に増えるという意味ではない。」
今週、世界中で注目を集めたPHPの脆弱性について、いくつかの初期の証拠が示されている。脅威情報会社Hunt.ioによると、AmazonやCloudflareと同様に、同社でも多くの人がこの脆弱性を利用して攻撃を試みていることがわかったという。しかし、Hunt.ioの研究責任者エストバン・ボルケスは、米東部時間の木曜日14時までの追跡結果によると、ネットワーク犯罪者が実際にこの脆弱性を利用できる有効なツールを開発していないと指摘している。
Cloudflareのプリンスは、一部のシステムが侵入された痕跡を「見た」と述べており、これらの侵入事件はPHPの脆弱性と関連していると示唆しています。彼の見解では、AIが大量の脆弱性を発見することはネットワークセキュリティ業界に影響を与えるかもしれないが、長期的には利益が損失を上回ると考えています。
彼はこの全過程を、幽霊屋敷の怪物を排除するという比喩で表した。怪物と直接対峙するのは恐ろしいが、閉ざされた扉の後ろに隠れ続けさせる方が、より深刻な結果になる。「現実は、私たちは多くの安全上のリスクを取り除くことができるということだ。」