メインコンテンツへスキップ
赤い背景を突き破る「pow」という言葉のイメージ。
Q&A

CISO成功事例：サイバー犯罪と戦うAIにおける現実のマーベル「スーパーヒーロー」

サイバー犯罪者たちが驚くべき速さでAIを悪用する中、こうした脅威に対抗するためにAIをどのように活用できるかについて、元マーベルのCISOであるマイク・ウィルクス氏に伺いました。

の生成型人工知能（AI）ツール を利用して企業ネットワークに侵入しようとするハッカーによる脅威が高まっているにもかかわらず、現在では、この技術がそうした脅威を阻止することにも役立つと考えるセキュリティ専門家がますます増えています。

スーツを着た白人男性の写真です。白髪で、眼鏡をかけ、整えられた細い口ひげとあごひげを生やしています。

実際、昨年末にガートナーが実施した「 」調査（ ）によると、組織の3分の1以上（34％）が、生成AIに伴う リスクを軽減するために、AIセキュリティツールをすでに導入しているか、あるいは導入を進めているとのことです。 そして今月、AIツール開発競争の主要プレイヤーであるマイクロソフトは、「 Microsoft Copilot for Security」（）をリリースしました。同社によれば、このAIアシスタントは、サイバー犯罪との闘いをより迅速かつ正確に進めるのに役立つとのことです。

ホワイトハットとブラックハットの両方のハッカーが、ほとんど想像を絶するほどのスピードでAIを活用し始めている状況を受け、 のフォーカルポイントである は、サイバーセキュリティ分野で最も鋭い頭脳の持ち主の一人に、今後の動向について尋ねてみるのが有益だと考えました。

AIを活用したサイバー攻撃が増加している中、自組織が実際にどれほど脅威にさらされているかを把握することは不可欠です。 その方法は次のとおりです。わずか 5 日で包括的なリスクスコアを取得できます。

マイク・ウィルクスさん（上の写真）をご紹介します。 2016 年から2018 年にかけて、マーベル・エンターテインメントのCISOとして、ウィルクス氏は、、『アベンジャーズ』、『スパイダーマン』、『シー・ハルク』、 、、『X-メン』など、この映画制作大手が保有するスーパーヒーロー関連資産のネットワーク保護を統括しました。

現在、ウィルクス氏は――SecurityScorecard、Lark Health、ASCAPでもCISOを務めた経験があります――NYUでサイバーセキュリティと技術革新に関する講座を担当しているほか、「The Security Agency」という会社を経営し、職を失ったCISOや非常勤のCISOの就職支援を行っています。また、世界経済フォーラムの「 」量子コンピューティング・セキュリティに関するワーキンググループのメンバーでもあります。 また、スタンフォード大学で哲学の修士号を取得しており、 の重要インフラ構築において 30 年にわたる技術的経験を持つにもかかわらず、そのことが「本質的には理論家である」と本人は語っています。

先ごろ行われた幅広いテーマにわたるインタビューの中で、私たちはウィルクス氏に、AIやサイバーセキュリティに関するさまざまなトピックについて詳しくお話を伺いました。 彼が次のように述べました：

（以下のインタビューは、読みやすさと分量を考慮して編集されています。）

ハッカーがAIを利用して、ますます大規模な攻撃を仕掛けてくることについて、最も懸念される点はどのようなことですか？

昨今、誰でもサイバー犯罪者になり得るという事実です。 こうした能力を持つのは、もはや国家や組織犯罪だけではありません。 今では誰もが、国家レベルの強力なツールを利用できるようになりました。 これは犯罪の民主化であり、AIがその民主化を可能にしているのです。

「私の祖母でも、適切なツールと、AARPや地元のシニアコミュニティのネットワークへのアクセスさえあれば、エリートハッカーになれる可能性があります。」

私の祖母は、適切なツールさえあれば、AARPや地元のシニアコミュニティのネットワークにアクセスするだけで、エリートハッカーになれる可能性さえあるのです。 そして、私たちディフェンダーとしては、現在、 に集まる退屈なティーンエイジャーたち が攻撃を仕掛けてくるのを目の当たりにしています。中には自発的に攻撃を行う者もいれば、いじめられてやむを得ず攻撃に加わっている者もいます。 インシデント対応チーム「 」は、現在も高校の進路指導担当教員を「」ランサムウェアの交渉（ ）に巻き込み、解決策の模索に協力してもらっています。

ChatGPTのようなAIアシスタントに、企業が機密データをアップロードしていることに懸念をお持ちですか？

それほどでもありません。

本当に。

少しの啓発と適切な規制を設けることで、そのリスクを大幅に軽減することができます。

しかし、実際にそのようなことが起きるのを目にしてきました。

GrammarlyやGoogleに文書をリアルタイムでチェックさせることによる、セキュリティや情報開示への影響について、人々は大騒ぎすることはありませんでした。 メールを書いているとき、システムはあなたがどのような単語を入力したかを正確に把握しており、トークン計算を用いて、次にどの単語が続くかを予測することさえあります。

[関連記事：火には火で対抗――AIがサイバーセキュリティの戦力を強化する 3 の主要な方法]

長年にわたり、企業からデータが流出しています。 私はよく、データは下り坂を流れる水のようなものだと述べています。データは、必要な場所へたどり着く道を必ず見つけ出すものです。 しかし、ChatGPT を巡るその遍在性と といった過剰な盛り上がりにより、こうした過剰な懸念が生じてしまったようです。とはいえ、こうした現象は他のツールでも以前から長く続いてきたことなのです。

マイクロソフトの「Copilot」のようなAIツールは、サイバー脅威への対策において、あくまで氷山の一角に過ぎないのでしょうか？

そう思います。 Microsoft Copilot を利用することで、アナリストは Windows イベントログの難解な詳細に費やす時間を削減でき、 のセキュリティオペレーションセンター（SOC） において、より多くの時間を付加価値の創出に充てることができるようになります。

「企業はAIを活用し、自動化による軽量で継続的なテスト機能を導入することで、より効果的な侵入テストを実施でき、より興味深い作業を人間に任せることができます。」

こうしたアシスタントは今後も登場し続けるでしょう。というのも、機械は大量のデータを素早く解析し、異常があるかどうかや、何が重要な詳細であるかを特定するのに非常に優れている上、セキュリティアナリストの業務から膨大な量の退屈な作業を取り除いてくれるからです。

それによって、どのようにリスクが軽減されるのでしょうか？ そうすることで、企業がより有意義な方針や手順をクラウドソーシングで集め、策定し、実施できるようになり、リスクを軽減することができます。 ベストプラクティスを特定し、より一貫性のあるランブックやSOP（標準作業手順書）を作成することが、突然、はるかに簡単になりました。 これにより、より効果的な監査やアクセス権限の見直しを行うことができます。 彼らは、自社のポリシーと実際の運用との間に不一致を見つけ出し、それを明らかにした上で、是正することができます。 また、 の自動化機能を活用して、軽量かつ継続的なテストを実現することで、AIを用いてより効果的な侵入テストを実施することができ、より興味深い作業は人間が行うようにすることができます。

AIツール以外にも、脅威に対抗するために何ができるでしょうか？

悪党たちは、私たち一般の人々のように政府の監督や の規制要件 に縛られる必要がないため、よりスムーズに活動できるのです。 そのため、彼らは私たちよりも迅速に革新を起こし、事業の方向転換を行うことができます。

したがって、私たちの サイバーレジリエンスは、単一の新しいツールや技術、アルゴリズムにあるのではなく、実際には、 のようなISAC（情報共有・分析センター） や、のようなInfragardといった情報共有コミュニティにあるのです。 こうした脅威情報共有グループへの加盟と参加を、さらに強化すべきだと考えます。

[関連記事：AIを活用したサイバーセキュリティの完全ガイド ― メリット、リスク、そして成果]

経済として、またデジタルに依存する社会として強靭性を保つためには、民間部門を経済の原動力として捉え、そのすべてが脆弱であり、システミック・リスクにさらされやすいことを認識しなければなりません。 システミック・リスクとは、相互に密接につながり、相互依存関係にある複雑なシステムに生じる自己組織化的な性質のことです。 そのシステミック・リスクを軽減する方法は、 のミーアキャットたちのように振る舞うことです。 巣穴の外に立ち、それぞれが地平線に向かって異なる方向を向き、脅威や捕食者の兆候を警戒し、他の仲間と共有すべき何かを見つけたら、すぐに警告の鳴き声を上げるのです。

これにより、サイバー攻撃による影響が全体的に軽減され、コミュニティ全体のリスクが低減されます。

マーベル・ユニバースとサイバーセキュリティの世界の間に、何か共通点を見出せますか？

ああ、確かにそうですね。 私の中に哲学者気質があるからかもしれませんが、私たちの未来にはディストピアもユートピアも存在しているのです。 AIのような技術は、それ自体が良いものでも悪いものでもありません。それらは、人類の未来に対する人々の意図やビジョンを増幅させるものに過ぎないのです。

「マーベル・シネマティック・ユニバースには、キャプテン・アメリカのように非常に信念の強いキャラクターが 5,000 人ほどいる一方で、技術の選択が惨事を招いてしまったキャラクターもいます。」

しかし、もちろん、それらはことわざにある「両刃の剣」のようなものです。 それらを活かせば、私たちは人類の未来の生き方や幸福を自ら切り拓き、すべての人に自由と繁栄をもたらす、よりユートピア的な世界を実現することもできます。あるいは、その逆の道を選び、利己的なろくでなしとなって、あらゆる種類のディストピアを現実のものにしてしまうこともできるのです。 選択するのは私たち自身です。これは、漫画や映画に登場する多くの物語のテーマとなっています。

マーベル・シネマティック・ユニバースには、キャプテン・アメリカのように非常に信念の強いキャラクターが 5,000 人ほどいる一方で、より複雑な性格のキャラクターもおり、彼らの技術的な選択（インフィニティ・ストーン）が、『2018’sアベンジャーズ／インフィニティ ・ウォー』 や 『 2019’sアベンジャーズ／エンドゲーム』のように大惨事を招いてしまいました。 多くの登場人物は、必ずしも悪役というよりはアンチヒーローであり、彼らはただの人間なのです。 サノス（ジョシュ・ブローリンが演じる悪役で、6つのインフィニティ・ストーンの力を使って宇宙の人口の半分を抹殺し、宇宙に安定をもたらそうとしたキャラクター）でさえ、その功利主義に基づく倫理観に共感する支持者たちが大勢います。

[関連記事：EUのAI法への備え方 ― まずは自社のリスクレベルを把握しましょう]

同様に、AIを問題のある方法で利用している人すべてが、必ずしも悪意のある人とは限りません。 中には、サノスのように、社会全体にとっての不均衡や脅威だと感じるものに対して反応する人もいます。 たとえ私たち他の人が彼らの目標や手法に賛同しなくても、彼らは、テクノロジーを活用して、宇宙をより良く、より持続可能な場所にするだろうと考えている何かを行っているのかもしれません。

私たちに必要なのは、あらゆる声に耳を傾け、共感と互いへの敬意、そして運命を共にするという意識を持って、今後の道を歩んでいくことです。 私たちが大切にすべき地球はたった一つしかなく、ビデオゲームとは違って、やり直しはできません。

詳細はこちら

「サクセスストーリー」シリーズで、セキュリティリーダーとの他の独占インタビューもご覧ください。