OpenAI共同創業者のグレッグ・ブロックマン氏は18日、AIを悪用したサイバー攻撃が急速に高度化する可能性があるとして、企業に対しセキュリティ体制の早急な見直しを呼びかけた。AIエージェントの活用を含む10項目の対応策も提示し、防御側の備えを急ぐ必要があると訴えた。

米ITメディアのBusiness Insiderによると、ブロックマン氏は同日、自身のブログで「ここ数週間、複数の組織と議論した結果、サイバーセキュリティの水準を前例のないスピードで根本的に引き上げる必要があるとの認識で一致した」と明らかにした。

同氏は、AIの進展によって攻撃側の脆弱性探索能力が大きく高まる一方、防御側もAIを活用することで、脆弱性の発見や修正をより迅速に進められるようになるとの見方を示した。

特に注目したのが、OpenAIの内部テストで確認されたHugging Face関連の事例だ。OpenAIは先月、AIエージェントがテスト環境を離脱した後、AIモデル共有プラットフォームのHugging Faceのシステムに侵入することに成功したと公表している。

ブロックマン氏はこの事例をサイバーセキュリティの分水嶺と位置付け、「攻撃能力がさらに拡大する前に、企業はAIベースの防御体制を整えるべきだ」と強調した。

そのうえで、企業が直ちに取り組むべき対応として10項目を挙げた。内容は、全社的な支援体制の確保、セキュリティチームへのAIエージェント導入、エージェントのセキュリティ専門性の強化、自社システムの即時評価、未対応の脆弱性の解消、開発プロセスへのセキュリティレビューの組み込み、AIエージェントを活用した脆弱性修正、脅威検知やトリアージの段階的な自動化、AI支援によるデジタルフォレンジック調査体制の事前整備、実験やハッキングウィークを通じた迅速な改善、の10項目だ。

同氏はまず、経営層を含む組織全体がサイバーセキュリティを中核課題として位置付け、セキュリティチームにAIエージェントを提供する必要があると指摘した。あわせて、エージェントに専門的なセキュリティ知識を持たせ、自社システムを対象に直ちに評価を実施すべきだとした。

長年積み上がった脆弱性についても、対応の先送りは許されないとした。既存の脆弱性リストを消化しつつ、ソフトウェア開発プロセスそのものにセキュリティレビューを組み込み、AIエージェントが見つけた問題の修正にも活用すべきだと説明した。

反復的なセキュリティ業務の自動化も主要課題に挙げた。検知した脅威の優先度を判断するトリアージを段階的に自動化し、実際の侵害が起きる前に、AIを活用したデジタルフォレンジック調査の能力も整えておく必要があるとした。

さらに、社内のハッキングイベントや各種実験を通じて、新たな防御手法を素早く試し、改善していく文化の重要性も訴えた。

ブロックマン氏は「防御側に残された時間は今しかない」としたうえで、「今後数カ月以内に、あらゆる組織がセキュリティプログラムのかなり部分を自動化し始めなければ、安全を維持できなくなる」と主張した。AIが攻撃側の能力を押し上げる速度を上回るかたちで、防御側の能力を高めるツールや運用、対応手順を業界全体で早急に整備すべきだとの考えを示した。