Taniumの顧客は、世界最大級の銀行、病院グループ、政府機関など、重要インフラ分野にまたがっています。 お客様は、最も機密性の高いエンドポイントにおいて当社のエージェントを信頼してくださっています。つまり、当社が提供するソフトウェアは、お客様が自らに課している高い基準を満たさなければなりません。 だからこそ、私たちは誰よりも先に自社の脆弱性を発見するよう努めているのです。
先日、 にて、TaniumがAnthropic社の「Project Glasswing」に参加し、防御的なセキュリティ業務向けに「Claude Mythos 5 」のテストを行っていることを発表いたしました（ ）。また、他のパートナー企業とも、プライベートプレビューの枠組みで同様の取り組みを開始しております。 開発ライフサイクル全体を通じて、脆弱性の発見に向けた最先端のAIモデルについて実験を重ねてまいりました。そこで、その過程で得られた知見と、お客様が事前に備えておくべき具体的な影響について、ご紹介したいと思います。
従来のアプリケーションセキュリティ対策の水準を引き上げる
長年にわたり、Taniumは業界のベストプラクティスに基づき、自社製品を継続的に評価してまいりました。 Taniumでは、製品の専門家で構成される社内セキュリティチームや、信頼できる外部のコンサルティング会社により、アプリケーションの侵入テストを定期的に実施しています。 Taniumの研究開発セキュリティチームは、ファジング、SAST、およびDASTのツールチェーンを当社の開発ライフサイクルに統合しました。 当社のセキュリティプログラムはすでに成熟していますが、ソフトウェアのセキュリティを著しく向上させるAI技術も導入しています。
SASTツールは、パターンとして表現できる特定の種類の脆弱性を検出することができます。例えば、汚染された値がシンクに到達する場合や、既知の不正なAPI呼び出しなどが挙げられます。 DASTツールは、SQLインジェクションや一般的な設定ミスなど、典型的なWebアプリケーションの脆弱性を検出することができます。 しかし、これらのツールは、想定される動作についてより深い理解を必要とする脆弱性の発見には不向きであり、また、複数のコンポーネント間の相互作用を考慮することにも苦戦しています。 これらのツールの信号対雑音比は非常に低く、真陽性率を向上させるには、入念な調整と継続的なメンテナンスが必要となります。
これまで、複雑なバグは通常、当社のソフトウェアのアーキテクチャ、脅威モデル、およびコードベースを深く理解しているエンジニアによって発見されてきました。 しかし、単に人員を増やすだけでセキュリティ体制を拡充することは、持続可能でもなければ現実的な解決策でもありません。
この1年間で、最先端のAIモデルはサイバーセキュリティ機能において著しい進歩を遂げました。 これによって、脆弱性の発見を行う際に、複雑なコードベースを解析し、意図された機能について推論することが可能になりました。 まだミスを犯したり、監督が必要だったりしますが、私たちの実験により、セキュリティエンジニアが実際に影響を及ぼしていると確認した数多くのセキュリティ上の脆弱性が明らかになりました。 社内のテストでは、信号対雑音比が従来のセキュリティツールで見られる数値よりも著しく良好でした。 こうした機能の向上に伴い、最先端のAIを活用して脆弱性の特定と是正を大規模に展開することは、私たちのチームにとって喫緊の課題となっています。
同じコードでも、ツールによって検出されるバグは異なります
当社のセキュリティエンジニアは、汎用的なフロンティアモデルを基盤として、カスタム評価用ハーネスを構築しました。 このハーネスには、Taniumの脅威モデル、当社のアーキテクチャに存在する信頼境界、設計上意図された動作、および長年にわたる当社独自の調査と開示実績から得られた脆弱性データのコーパスが組み込まれています。 このハーネスにより、深いシステム知識と状況理解を必要とする種類の脆弱性が明らかになりました。これは、従来のツールでは特定できなかったであろう種類のものです。
これとは別に、同じコードベースに対して、さまざまなモデルやエージェント型スキャンシステムを適用してみました。 これらの高性能なハネスには、Tanium固有のコンテキストは与えられていませんでしたが、それぞれが他のハネスによって発見されたものとは異なる有効なバグを発見しました。
これらのツールによって報告された調査結果全体を見渡すと、予想していたよりも重複する部分はかなり少ないことがわかりました。 それがモデル、ハーネス、コードベース、あるいは開発段階の初期性といった要因によるものなのか、現時点では断定できませんが、短期的な実務上の示唆は、すでに行動に移すのに十分なほど明確です。 エージェント型セキュリティのワークフローは、単一のモデルやベンダーに依存すべきではなく、パフォーマンスを向上させるために組織的な文脈を取り入れる必要があります。
私たちは、これらのツールに投入するコンテキストの構築と調整に引き続き投資を行い、最初にうまくいった手法で妥協することなく、ここで可能なことの限界を押し広げています。
Taniumは、セキュリティパッチの適用量と適用ペースを拡大しています
オンプレミスをご利用のお客様に対し、少なくとも月1回のペースでメンテナンスリリースを提供するという当社の取り組みは、これまでと変わりません。 変更されるのは、予定外のリリースの頻度と、各リリースごとに開示される脆弱性の数です。 当社は、悪用可能と判断した脆弱性への対応について、最も重大な問題については日単位で測定される厳しいSLAを自らに課しており、脆弱性の発見能力が向上しても、引き続きこれらのSLAを満たし続ける所存です。
つまり、今後数か月にわたり、当社がスタック全体でこれらの手法を適用・進化させていくにつれ、セキュリティアドバイザリ、CVE登録情報、およびセキュリティパッチの増加が見込まれるということです。 CVEの件数が増加していると、誤解されやすいため、その点を明確にしておきたいと思います。 これは、当社のソフトウェアの品質が低下していることを示すものではありません。 むしろ、発見が難しい潜在的なセキュリティ上の問題を突き止める能力が向上しつつあります。
これは、ソフトウェア業界の同業他社も確認している傾向です： Mozillaは、Mythosの初回評価の結果、 271 件の脆弱性に対する修正パッチを公開しました (新しいタブで開きます) および Microsoftは、9月 9th’s の「パッチチューズデー」に900 件以上のセキュリティ脆弱性に対する修正パッチを公開しました (新しいタブで開きます)。
コードベースを積極的に調査して脆弱性を発見し、速やかに修正を行うほか、既知のセキュリティ問題については、お客様に透明性を持ってご報告しております。 当社は、CVE番号付与機関としての責務を引き続き果たし、これらの脆弱性を責任を持って公開してまいります（公開済みのアドバイザリについては、 https://security.tanium.com をご覧ください）。この情報により、お客様は影響の程度を評価し、それに応じた是正措置を計画することが可能となります。 パッチ適用がお客様にとって運用上の課題となり得ることを認識しており、その点を軽視しておりません。 しかし現実には、防御側も攻撃側も、脆弱性の発見やエクスプロイトの開発のペースが加速しており、システムの安全性を維持するためには、業界全体のパッチ適用サイクルもさらに迅速化する必要があります。
Taniumは、お客様がTaniumの導入環境におけるパッチ適用作業を効率化できるよう、全力でサポートしてまいります。 すべてのお客様は、Taniumの「エンドポイント構成」をご利用いただけます。これは、Taniumクライアントおよびエンドポイントツールへの、安全かつシームレスで頻繁なアップグレードを可能にするよう設計されています。 オンプレミスをご利用のお客様も、これらのセキュリティパッチの恩恵を受けるためには、Taniumのバックエンドをアップグレードする必要があります。 当社の半年ごとのメンテナンスリリースには、重要なバグやセキュリティ上のバグに対処するための限定的なコード変更が含まれており、お客様が迅速なアップグレードサイクルを実施するために必要な予測可能性と安定性を提供します。
さらにその先へ
Taniumの研究開発セキュリティチームは、最先端のAIサイバーセキュリティ機能を開発し、当社のソフトウェア製品およびセキュリティ運用に引き続き活用してまいります。 ハーネスの設計、トリアージのワークフロー、およびマルチモデルにおけるカバレッジのギャップの実態について、さらに理解を深めていくにつれ、当社は調査結果を公表するとともに、Taniumのお客様のセキュリティを守るために、今後も適切な対応を続けてまいります。 お客様は、ITおよびセキュリティ運用においてTaniumを頼りにしてくださっており、そのおかげで重要なビジネス上の課題に集中することができます。そして、誰よりも先に自社の脆弱性を発見し、対処することこそが、私たちがその信頼を勝ち取り続けるための原動力となっています。
Taniumの計画、方向性、および意図に関する声明および内容は機密情報であり、Taniumの単独の裁量により、予告なく変更される場合があります。 将来の製品や機能に関する情報は、Taniumの一般的な製品の方向性を概説することを目的としており、購買決定の根拠とすべきものではなく、いかなる契約にも組み込まれるものではありません。 これはコミットメント、約束、または法的義務ではありません。 今後の製品や機能の開発、リリース、およびその時期については、Taniumの単独の裁量に委ねられます。