OpenAIは8月17日、社長のグレッグ・ブロックマン氏による文書「The Defender’s Window」を公開した。AIが実際の攻撃を自動化しはじめた状況を前提に、同社が自社を守るために何をしているかと、他の企業が今すぐ取れる手順を具体的に並べた内容になっている。
出発点に置かれているのは、OpenAIとHugging Faceが関わったセキュリティ事案だ。同氏の説明では、エージェントの集合体が自律的にOpenAIの研究インフラだけでなく他社の本番インフラにも侵入し、未知の脆弱性からインターネット上に流出していたユーザーアカウントの認証情報まで、複数の弱点を連鎖させた。同社はこの件について、自社AIモデルの実世界でのサイバー能力を過小評価していたと認め、安全性の要件を引き上げたとしている。
時間的な切迫も明示された。OpenAIは今年前半から、サイバー分野の能力を信頼できる防御側にのみ提供する方針をとってきたが、その間に他社がフロンティアから数か月遅れの能力を持つオープンウェイトモデルを公開している。文書では、その最新版が8月末に公開される見込みで、脅威の状況を大きく加速させるとの見方が示されている。
15分で13件、個人サイトでの実演
抽象論に留めないための例として、ブロックマン氏は自身の個人サイトgregbrockman.comを題材にしている。AWS上に置きCloudflareを前面に立てただけの静的サイトで、攻撃面は多くないと考えていたという。ところが公開版のGPT-5.6 Solを使ったChatGPT Workに診断させたところ、約15分で13件の問題が出てきた。
内訳として挙がっているのは、メールのなりすましを防ぐDNSレコードが未設定だったこと、サイトが古い安全でないバージョンのjQueryを使っていたこと、CloudflareからAWSへのリクエストが暗号化されていないHTTPで転送されていたことなど。続けて修正を指示すると、1時間ほどでCloudflareの管理画面を操作してDNS・TLS・詳細なセキュリティ設定を直し、jQueryをサイトから削除し、AWSからCloudflare Pagesへ移行し、DMARCの段階的な適用まで実行したという。
個々の設定項目は珍しいものではない。要点は、担当者が「なんとなく知ってはいるが正しい設定方法までは即答できない」たぐいの項目が、放置されたまま数十件単位でたまるという構造にある。同氏はこれを、人間の手が回らない長い尾の部分をモデルが拾い上げた例として位置づけている。
アラートのトリアージはすでにAI側に寄っている
自社の防御については、4つの柱が示された。1つ目はコードで、Codexとセキュリティプラグインが変更を検証し、デプロイ前に脆弱性を見つける。ここでは「人間の確認待ちの指摘を増やすこと自体は目的ではない」と明記され、出荷前に実際の脆弱性を捕まえ、発見から修正の配備までを短縮することを目標に置いている。
2つ目はインフラの継続的な防御で、現在は初期のセキュリティアラートのほぼすべてを、人間が関与する前にモデルがトリアージしている。検知と限定された自動対応を接続しつつ、影響の大きい判断は人間の責任として残す構成だという。3つ目は攻撃経路の継続的な列挙で、設定ミスや過剰な権限、意図しない信頼境界を洗い出す。4つ目は基礎の徹底で、多層防御と最小権限、ネットワーク分離、ワークロードの堅牢化、安全なパッチ適用といった従来型の統制を、AI時代にこそ重視するとしている。
企業向けには10項目の手順が示された。経営層の合意形成と机上演習、セキュリティチームへのエージェント付与、静的解析やサプライチェーン分析などのスキル整備、インターネット公開サービスや認証フローを優先した診断、既存の脆弱性バックログの棚卸し、マージ前のコードレビューとCIへの組み込み、検出した問題の修正パッチと回帰テストの作成、検知トリアージの段階的な自動化、フォレンジック体制の事前準備、そして実験とハックウィークによる反復である。
自動化の進め方については、いきなり自律的なSOCを作ろうとしないことが繰り返し注意されている。まず1つのリポジトリに読み取り専用のスキャンをかける、あるいは解決済みのアラートをログの読み取り権限だけで再確認させるところから始め、判断はすべて人間が下す。そこから助言としてのプルリクエスト走査、実アラートのトリアージ、範囲を絞った誤検知の自動クローズへと段階を上げる、という順序だ。
なお、企業が生成AIを使ううえでの一般的なリスクと対策の整理は、別記事「生成AIのセキュリティリスクと企業の対策」にまとめている。
防御側が主張する経済性の反転
文書全体を貫く主張は、AIが攻撃と防御の両方を加速させるとしても、コスト構造の面では防御側に有利に働きうるというものだ。根拠として、OpenAIがモデルに「超人的に安全なコードを書く」訓練を始めていること、数学的証明に強いモデルを使えば、人間には手が届かなかったソフトウェアの形式検証を適用できることが挙げられている。
直近の8月10日にOpenAIは、防御用モデルGPT-Daybreak-Blueの提供先を広げる「Trusted Access for Cyber」の拡大を公表しており、今回の10項目にもこの申請が組み込まれている。攻撃能力を持つモデルの配布を絞りつつ、防御側には道具と手順書を配るという同社の姿勢が、実務レベルのチェックリストの形で出てきたのが今回の文書にあたる。
また同氏は、AIラボ、セキュリティベンダー、事業会社、OSSのメンテナが検証済みの発見や修正、実践的な手順書を共有するよう求めている。一社の発見がエコシステム全体の強化につながる形を作らなければ間に合わない、という認識である。
