AIソリューションの活用で、企業はいかに敵の先を行くことができるか
2032年の市場規模は1020億ドルと推定され、人工知能（AI）があらゆる産業に旋風を巻き起こしていることは周知の事実だ。私たちは皆、AIの基本的な考え方を知っている。それは、たくさんの写真を見せ、写真の中に何が写っているかを教え、それらの写真から学習させることで、自分で物事を理解できるようにすることで、本当に賢いコンピューターを作るようなものだ。
しかし、AIにはデータが必要であり、そのデータがどこから来るのか、どのように処理されるのか、そしてそれらのプロセスから何が出てくるのか、アイデンティティとセキュリティの感覚が必要となる。当然のことながら、多くの人々がそのデータのセキュリティを懸念している。2023年の調査では、回答者の81％がChatGPTや生成AIに関連するセキュリティリスクを懸念している一方で、AIツールがインターネットの安全性を高めると楽観視している人はわずか7％だった。したがって、強力なサイバーセキュリティ対策は、AI技術によってさらに重要になるだろう。
しかし、脅威の検知、予防、インシデント対応を改善するために、サイバーセキュリティにAIを適用する機会も無数にある。したがって、企業はサイバーセキュリティにおけるAIの機会と弱点を理解し、来るべき脅威の一歩先を行く必要がある。本日の記事では、企業がサイバーセキュリティにおけるAIの導入を検討する際に知っておくべき重要な事柄と、AIにおける新たな脅威から身を守る方法について掘り下げる。
サイバーセキュリティ強化にAIをどう活用するか
良い面もあるが、AIはより効果的で正確かつ迅速な対応により、サイバーセキュリティを変革するのに役立つ。AIをサイバーセキュリティに応用する方法には、以下のようなものがある。
- 誤検知を減らすパターン認識：AIはパターン認識に優れているため、異常の検出や行動分析に優れ、脅威をリアルタイムで検知することができる。実際、2022年にPonemon Instituteが実施した調査によると、AIを活用した侵入検知システムを導入した組織では誤検知が43%減少し、セキュリティチームは本物の脅威に集中できるようになった。さらに、AIを活用した電子メール・セキュリティ・ソリューションでは、誤検知が最大70%減少することが示されている。
- 人間の能力を向上させることで、規模の拡大を可能にする：AIは人間の能力を強化し、より迅速なレスポンスを提供し、スケーラビリティを提供するために使用することができる。スケールの唯一の制限は、データの利用可能性である。さらに、AIチャットボットは、セキュリティ・サポートを提供するバーチャル・アシスタントとして使用することができ、人間のエージェントの負担を軽減することができる。
- インシデントレスポンスと復旧のスピードアップ: AIは、過去のトレーニングや多地点データ収集に基づいてアクションやルーチンタスクを自動化し、より迅速なレスポンスタイムと検出ギャップの縮小を提供することができる。AIはまた、レポーティングを自動化し、自然言語クエリを通じて洞察を提供し、セキュリティ・システムを簡素化し、将来のサイバーセキュリティ戦略を強化するための推奨事項を提供することができる。
- サンドボックスでのフィッシング・トレーニング: 生成AIは、サイバーセキュリティの実践的なトレーニングのために現実的なフィッシング・シナリオを作成することができ、従業員の間に警戒の文化を育成し、従業員が現実世界の脅威に備えることができる。
データ・セキュリティに対するAIの潜在的脅威
私たちはすでに、攻撃者が攻撃にAIを利用しているのを目にしている。例えば、
- AIがマルウェアキャンペーンを自動化：サイバー犯罪者は、検知を回避するためにコードや動作を調整する高度なマルウェアを作成するために、生成AIを使用することができます。このような「インテリジェント」なマルウェアは、予測や制御が難しく、広範囲に及ぶシステムの混乱や大規模なデータ漏えいのリスクを高めています。
- 高度なフィッシング攻撃：生成AIには、ユーザーの文体や個人情報を学習して模倣する機能があり、フィッシング攻撃の説得力を格段に高めている。信頼できる連絡先や評判の良い機関から発信されたように見せかけたフィッシングメールは、個人を欺いて機密情報を漏らす可能性があり、個人と企業のサイバーセキュリティに大きな脅威をもたらす。
- リアルなディープフェイク：生成AIのおかげで、悪意のある行為者はディープフェイク（画像、音声、動画の非常に説得力のある偽造品）を作成できるようになった。ディープフェイクは、偽情報キャンペーン、詐欺行為、なりすましなどの重大なリスクをもたらします。CEOが破産を宣言する極めてリアルなビデオや、世界の指導者が宣戦布告する音声の捏造を思い浮かべてほしい。こうしたシナリオはもはやSFの領域にとどまらず、大きな混乱を引き起こす可能性を秘めている。
加えて、AIは多くのデータを必要とするため、企業はデータが漏洩する可能性のある別の第三者を生み出すことになるため、共有されるデータを厳密に制限する必要がある。ChatGPT自体も、Redisオープンソースライブラリの脆弱性によってデータ漏洩に見舞われ、ユーザーが他人のチャット履歴にアクセスできるようになった。1
OpenAIはこの問題を迅速に解決したが、チャットボットとユーザーにとっての潜在的なリスクを浮き彫りにした。機密データを保護するためにChatGPTの使用を全面的に禁止し始めた企業もあれば、AIと共有できるデータを制限するAIポリシーを導入している企業もある。2
ここでの教訓は、脅威の主体が新たな攻撃でAIを使用するように進化している一方で、企業は侵害から保護するために、侵害の潜在的な脅威を熟知する必要があるということだ。
サイバーセキュリティにおけるAIの倫理的考察
サイバーセキュリティにおけるAIの採用について、倫理的な配慮を抜きにして語るのは不謹慎だろう。セキュリティとプライバシーを確保するためには、責任あるAIの実践と人間の監視を用いることが重要だ。AIは学習したことしか再現できないし、学習したことの中には欠けているものもある。したがって、企業はAIソリューションを採用する前に、以下のような倫理的配慮を検討すべきである：
- データの偏りの増幅：AIアルゴリズムは過去のデータから学習するため、学習に使用したデータに偏りがあると、アルゴリズムが不注意にその偏りを永続させたり増幅させたりする可能性がある。その結果、アルゴリズムが偏ったデータに基づいて意思決定や予測を行うと、不公平な結果や差別的な結果を招く可能性がある。
- 意図せざる差別：AIアルゴリズムは、学習データやアルゴリズムが考慮する特徴に偏りがあるため、特定のグループや個人を差別する可能性がある。これは、雇用、融資、法執行のような分野で不公平な扱いにつながる可能性がある。
- 透明性と説明責任：多くのAIアルゴリズム、特にディープニューラルネットワークのような複雑なものは、解釈や理解が難しい。透明性が欠如しているため、どのようにバイアスが導入され、意思決定が行われたかを特定することが難しく、偏った結果や不公平な結果が発生した場合の説明責任が懸念される。
現在、AIの分野ではちょっとしたワイルドウエスト（西部開拓時代）の様相を呈しているが、今後、プライバシーや倫理的配慮の一部を相殺するために、透明性と説明責任を求める規制が台頭してくるだろう。例えば、欧州委員会はすでに、グーグル、フェイスブック、TikTokなどの大手テック企業に対し、インターネット上の偽情報の拡散に対抗する取り組みの一環として、AIが生成したコンテンツにラベルを付ける措置を取るよう求めている。EUデジタルサービス法に従い、プラットフォームは間もなく、深いフェイクを目立つ指標で明確にマークする義務を負うことになる。
サイバーセキュリティにおける人間とAIのパートナーシップ
AIの限界を考えると、最終的な意思決定者は常に人間であるべきだが、AIはそのプロセスをスピードアップするために使われる。企業はAIを使って複数の選択肢を提示し、主要な意思決定者が迅速に行動できるようにすることができる。したがって、AIは人間の意思決定を補うものであって、取って代わるものではない。AIと人間が一緒になれば、単独で行うよりも多くのことを成し遂げることができる。
| AI | 人間 |
| ・データとパターンから学ぶ ・創造性を模倣することはできるが、 本物の感情を欠いている ・迅速な処理と分析 ・事実上無制限のメモリー・ストレージ ・膨大なデータセットに対応できる拡張性 ・真の自己認識が欠けている ・真の共感がない | ・経験から学び、時間をかけて適応する ・創造性と感情的理解を示す ・AIに比べるとスピードに限界がある ・限られたメモリー容量 ・特定のタスクを簡単にスケールアップできない ・自己認識と自覚を示す ・共感と感情的なつながりを表現する |
PKIによるAIのデジタル信頼構築
公開鍵基盤（PKI）のような技術の利用は、ディープフェイクのようなAI関連の新たな脅威から保護し、デジタル通信の完全性を維持する上で基本的な役割を果たすことができる。
例えば、Adobe、Microsoft、DigiCertなど業界をリードする企業で構成されるコンソーシアムは、Coalition for Content Provenance and Authenticity（C2PA）として知られる標準に取り組んでいる。このイニシアチブは、デジタルファイルの正当性を検証し確認するという課題に取り組むために設計されたオープンスタンダードを導入しました。C2PAは、PKIを活用して議論の余地のない証跡を生成し、ユーザーが真正なメディアと偽造メディアを識別できるようにします。この規格は、デジタルファイルの出所、作成者、作成日、場所、および変更を確認する機能をユーザーに提供する。この規格の主な目的は、デジタル・メディア・ファイルの透明性と信頼性を促進することであり、特に今日の環境においてAIが生成したコンテンツを現実と区別することが難しくなっていることを考慮したものである。
まとめると、AIはサイバーセキュリティに多くの機会をもたらすだろう。AIは、サイバー攻撃を防ぐだけでなく、サイバー攻撃を引き起こす攻撃的・防御的なツールとしても使われるようになるだろう。しかし、重要なのは、AIが完全に人間に取って代わることはできないということを念頭に置きつつ、企業がリスクを認識し、今すぐソリューションの実装を開始することである。