サイバー攻撃を模擬し、企業のサイバー防御体制をテストするために雇われる人間のペネトレーションテスター、すなわち の倫理的ハッカー は、次々と登場する新しいAIペネトレーションテストツールの台頭に警戒を強めており、懸念を抱いています。 それには十分な理由があります。
インターネットのアドレスというわずかな情報だけで、これらのAIツールは、企業のコンピュータネットワークやWebアプリケーションのセキュリティ状況を迅速に（人間よりも速く）把握・評価し、脆弱性を特定し、コマンドを実行したり、さらには ソーシャルエンジニアリング攻撃を 仕掛けてそれらの弱点をテストしたりすることができます。その間、テストのあらゆる側面を記録し、数秒でレポートを作成します。
もちろん、それだけではありません。 そうしたツールは、人間が常に成功している分野において、しばしば失敗してしまいます。 誤検知率（存在しない脅威を検知してしまうこと）や検知漏れ率（実際の脅威を完全に見逃してしまうこと）は低下傾向にありますが、依然として高い水準にあり、これはどの企業にとっても大きな損失につながる可能性があります。 また、これらのツールは、実行しているタスクの文脈をまだ完全には理解できていません。つまり、AIペネトレーションテスターに、倫理的・法的な枠組みの範囲内で動作させたり、意図しないダウンタイムやシステムへの損害を引き起こさないようにさせたりすることは、難しいのです。
確かに、今後数ヶ月のうちにAIはさらに進化し、こうした限界は目立たなくなったり、あるいは完全に解消されたりするでしょう。 現代のセキュリティ運用（SecOps）において、AIは現在、アラートのトリアージや、潜在的な悪意のある活動を検知するための初期アラート分析など、人間のアナリストが行う多くの機能を強化しています。 最新のAIシステムは、ますます大規模なデータセットを分析することで、人間の監視の目をすり抜けてしまう可能性のある攻撃パターンを特定することができます。特に、 過重労働や人手不足に悩まされている部署の担当者にとっては、。 さらに、AIツールは、重要かつ時間のかかるタスク（ログ分析、データの相関分析、初期 インシデント対応）を自動化したり、脅威インテリジェンスレポートを作成したり、潜在的な攻撃を予測したりすることができます。
初期の指標によると、AIは賢明な投資であるようです。 According to an IBM report on data breaches from 2022年3月 to 2023年3月, organizations that extensively used security AI and automation saved $1.76 million in data breach costs compared to groups with no AI and automation.
このように、セキュリティ運用においてAIがますます中心的な役割を担うようになる中、次のような問いを投げかけてみる価値があります。 人間はどのような役割を担うことになるのでしょうか？ セキュリティの専門家にとって幸いなことに、AIや業界の専門家たちは、 人間が当面の間、 引き続き重要な役割を果たし続けると考えています。
「この技術はAIを多用するものになりますが、人々が中心であるという点は変わりません」と、Google CloudのCISO室に所属するセキュリティアドバイザー、アントン・チュヴァキン氏は述べています。 AIによってセキュリティ担当者の日々の業務の進め方が変わる可能性はあるものの、同氏は「大局的な視点では、これまでと変わらず『人、プロセス、テクノロジー』が重要である」と認めています。
セキュリティ運用という分野において――組織が一般的なSecOpsの専門家と協力している場合でも、あるいはセキュリティチームが情報を共有し、連携するための専門的な セキュリティオペレーションセンター（SOC） を拡充している場合でも――専門家たちは、当面の間、人間が依然として中核的な資産であり続ける分野、あるいは従業員がAIと共存する可能性が高いと思われる5つの主要な分野を次のように挙げています：
1. 脅威インテリジェンスの分析
脅威インテリジェンスチームは、かねてより セキュリティデータの過剰な量に悩まされてきました。そして、今日、サイバー脅威の量がますます増え、その性質も変化し続けているため、状況はさらに悪化の一途をたどっています。 セキュリティサービスプロバイダー「Optiv」のセキュリティオペレーションセンター（SOC）テクノロジー担当プラクティス・ディレクター、ランディ・ラリアー氏は、セキュリティチームがAIを活用して「脅威に関する調査結果を精査し、ノイズの中から情報をより迅速に抽出している」と述べています。
「この技術はAIを多用するものになりますが、人々が中心であるという点は変わりません。」Google CloudのCISO室に所属するセキュリティアドバイザー、アントン・チュヴァキン氏
AIは、データ分析における特定の煩雑で時間のかかるプロセスを自動化することができます。また、AIを搭載した の行動分析ツール（ ）は、ユーザーやシステムの活動における基準値を迅速に確立し、逸脱を検知することができます。さらに、AIツールが人間のコミュニケーションを理解することを可能にする自然言語処理は、チームがダークウェブを調査し、サイバー攻撃の計画やユーザープロファイルを発見するのに役立ちます。 Lariar氏はさらに、脅威インテリジェンスチームもAIを活用して、レポートの初稿作成やコミュニケーションの改善に役立てていると付け加えています。
[関連記事：脅威の検知を高速化？ それは話の一部に過ぎません。 【AIを活用したサイバーセキュリティの完全ガイド ― そのメリット、リスク、そして成果】
将来、AIが膨大なデータの処理を担うようになる一方で、データの最終的な解釈者となるのは依然として人間です。 ラリアー氏をはじめとする専門家たちは、人間のアナリストが脅威インテリジェンスのサイクルに引き続き関与し、複雑な情報に対して重要な文脈を提供するとともに、AIによる脅威インテリジェンスの分析結果に基づいて戦略的な意思決定を行うと見ています。 また、AIモデルを作成・改良するのも労働者たちです。
2。 脅威の検知と分析
内部システムを潜在的な脅威から保護するために、AIシステムは、悪意のあるパターンを特定するために必要な大量のアプリケーションおよびネットワーク活動データを、絶え間なく監視することができます。 そして、AIはそれを一貫して、疲れを知らずにこなすことができます。
「[AIはSecOpsチームを支援できる] 脅威に関する調査結果を精査し、ノイズの中から情報をより迅速に抽出することができます。」オプティブ社のセキュリティオペレーションセンター技術部門プラクティス・ディレクター、ランディ・ラリアー氏
とはいえ、こうした利点があるとはいえ、AIシステムは人間の監督なしに完全に信頼して稼働させることはできないと、ソフトウェア配信プラットフォームプロバイダー「Replicated」のセキュリティ担当副社長、アンドルー・ストームズ氏は述べています。 AIは、いわゆる「幻覚」（つまり誤り）を起こしやすい傾向があり、不正確なデータや 偏りのある学習データによって歪められる可能性があるため、厳重に管理する必要があります。また、どのような警告がより詳細な調査や、場合によっては 即時の対応を必要とするかについては、引き続き人間が判断を下さなければなりません。
[関連記事：AI最高責任者（CIO）は、AIのメリットとデメリットを見極めるお手伝いをします――なぜ、より多くの組織がこの専門職への投資を増やしているのか、その理由をご覧ください]
「AIをある程度信頼し、その妥当性を判断する感覚を持つ必要がありますが、AIの分析結果を確認し、最終的な判断を下すには、やはり人間の判断が不可欠です」とストームズ氏は述べています。
3。 侵入テスト
AIによるペネトレーションテスターは、人間の代わりというよりは、むしろ人間のパートナーのような存在になるでしょう。 AIツールは、ネットワーク、アプリケーション、システムをスキャンし、 攻撃者が悪用する可能性のある脆弱性 やセキュリティ上の弱点を発見することができます。 このようなAIペネトレーションテスターは、悪用され得る複雑な攻撃モデルを構築し、攻撃者が防御策の変化にどのように適応するかを高い精度で予測することも可能です。
それは確かに役立つでしょうが、ストームズ氏は、AIによるペネトレーションテスターは今後も人間のテスターの延長線上にあるものであり、人間のテスターは、その調査結果を独創的な対策や補完的な統制措置によってさらに充実させるための時間をより多く確保できるようになると主張しています。 また、 を通じて経営陣に結果を伝える際には、依然として人間の役割が不可欠となるでしょう。
4。 規制遵守に関する報告
AIは、企業ネットワークやアプリケーションをスキャンして脅威アクターの兆候を評価できるのと同様に、組織の 規制遵守状況を判断 し、アプリケーション、データ、またはアクセス が、の新規および進化する規制の原則から逸脱している可能性のある状況を継続的に監視することができます。
「AIにはある程度信頼を置かなければなりません。」 しかし、AIの分析結果を確認し、最終的な判断を下すには、やはり人間の判断が必要です。”Replicated社のセキュリティ担当副社長、アンドルー・ストームズ氏
例えば、企業の慣行、 サプライチェーン活動、および環境への影響を分析することで、AIは多国籍企業が「コンプライアンスリスクを低減しつつ、持続可能性を推進するための効果的な戦略を策定する」ことを支援できると、CISSPのマトゥラ・プラサド氏は、サイバーセキュリティ研修を行う非営利団体 ISC2のブログ「 」 に寄稿した記事で述べています。 ChatGPT のようなAIを活用したチャットボットは、適切なプロンプトを与えれば、リスクに関する記述や保険約款の草案を迅速に作成したり、法令や規制を平易な英語で要約したり、あるいはそれらの資料を他の言語に翻訳したりすることも可能です。
[関連記事：世界初のAI法についてご存知ですか？ 【EUのAI法について詳しく掘り下げます】
専門家によると、人間は依然として不可欠であり、当分の間はその状況が続くと見られています。 セキュリティ運用および規制遵守チームのメンバーは、今後も、規制遵守状況の経時的な傾向を明らかにし、場合によっては補完的統制を強化できる分野を指摘する包括的なレポートを提供し続けてまいります。 こうした報告書には、AIでは再現できない（そしておそらく今後も再現できないであろう）ような、微妙なニュアンスや先見性のある評価が求められます。
5。 SOC管理
SOC内でAIの支援を受けたセキュリティ管理者は、自組織のセキュリティ部門がより大量のセキュリティデータを処理できるようになり、人間のセキュリティアナリストにおける のアラート疲労 を軽減し、一貫して強固なセキュリティ態勢を維持できることに気づくでしょう。
とはいえ、SOCの全体的な管理業務が近い将来AIに引き継がれる可能性は低いでしょう。なぜなら、機敏なサイバーセキュリティ防御プログラムに不可欠な人間の創造力や戦略的思考力は、代替できないからです。 「今後は、関係者に情報を共有し続ける方向になると思います」と、ラリアール氏は述べています。 「AIによる意思決定に基づく低レベルの自動化の一部は、今後ますます信頼されるようになるでしょうが、それでもなお、トップレベルのセキュリティチームは、AIの意思決定を非常に綿密に精査することになるでしょう。」 「完全に自動化されたSOCについては、聞いたことがありません」と彼は言います。
[関連記事：このCISOの成功事例では、現実世界のマーベルの「スーパーヒーロー」が、AIを活用してサイバー犯罪と闘う方法を語っています]
完全に自動化されたSOCやセキュリティチームが実現するのは、当分先のことになるでしょう。あるいは、そもそも実現しないかもしれません。
「SOCの運用業務を機械に委託する場合、その機械はどこから来るのでしょうか？」 とチュヴァキン氏は尋ねます。 「その機械を作ったのは誰ですか？」 「今日、人間はかなりの程度まで機械を作り出しています。」
さらに、たとえほぼ自律的なSOCがあったとしても、と彼は付け加えますが、誰がAIを開発・管理し、AIを適切に連携させ、環境を適切に評価・管理させるのでしょうか？ 「それは人間たちになるでしょうね。」
