AIを活用したサイバーセキュリティ共同プロジェクト「Project Glasswing（グラスウィング）」が始動から1か月で、重要なソフトウェアに存在する高リスクまたは深刻度の脆弱性を1万件以上発見したことが明らかになりました。サイバー攻撃の高度化が進む中、AIが防御側の「新たな盾」として機能し始めています。
Project Glasswingとは何か
AIと人間による共同のセキュリティ取り組み
Project Glasswingは、AI技術と複数のパートナー企業・団体が連携して進めるサイバーセキュリティの共同イニシアチブです。単独の企業や組織では防ぎきれない規模・スピードの脆弱性を、AIによる自動検知と人間の専門家による検証を組み合わせることで、効率的に洗い出すことを狙っています。
1か月で1万件超の重大脆弱性を発見
プロジェクトの発表からわずか1か月の間に、「高リスク」あるいは「深刻度が非常に高い」と評価される脆弱性が1万件以上見つかったとされています。対象となったのは、業務システムや基幹インフラ、ビジネスで広く利用されるソフトウェアなど、社会やビジネスの運営に欠かせない「エッセンシャルソフトウェア」です。これだけの規模の問題が短期間で可視化されたことは、AIがセキュリティ分野にもたらすインパクトの大きさを示しています。
なぜ「エッセンシャルソフトウェア」が狙われるのか
エッセンシャルソフトウェアは、多くの企業・組織で共通基盤として利用されているため、一つの脆弱性が見つかると、世界中で同じ弱点が同時多発的に悪用されるリスクがあります。攻撃者にとっては「一粒で何度もおいしい」標的であり、守る側にとっては「絶対に穴を空けたくない」要所です。Glasswingは、この最も重要で、かつ最も狙われやすいレイヤーに焦点を当てているとみられます。
AIが変える脆弱性対策のプロセス
人手では追いつかない「量」と「スピード」への対応
これまで脆弱性の多くは、セキュリティエンジニアによる手動のコードレビューやペネトレーションテストによって発見されてきました。しかし、ソフトウェアの規模と複雑さが増す中で、すべてを人間だけでチェックするのは現実的ではありません。AIを活用すると、膨大なコードや設定ファイルを短時間でスキャンし、「疑わしいパターン」を機械的に洗い出すことができます。
AIと専門家の役割分担
AIは脆弱性の候補を大量に提示できる一方で、「本当に危険かどうか」の最終判断や、影響範囲の評価、対策方針の決定には依然として人間の専門知識が欠かせません。Glasswingのような取り組みでは、AIが候補を絞り込み、人間が優先順位付けと修正を行うという役割分担が進むことで、全体の対策スピードを大きく引き上げることが期待されています。
企業・組織にもたらされるメリット
このようなAI活用型のセキュリティイニシアチブが進むことで、企業や公共機関は次のようなメリットを享受できる可能性があります。
- 自社で把握していなかった重大な脆弱性を早期に知り、被害が出る前に対策できる
- 限られたセキュリティ人材を「本当に重要な問題」への対応に集中させられる
- サプライチェーン全体のセキュリティ水準向上につながり、取引先リスクも低減できる
ビジネスと社会へのインパクト
中小企業にも波及するセキュリティ強化
エッセンシャルソフトウェアの脆弱性が修正されれば、そのソフトを利用している中小企業や自治体なども、更新プログラムを適用するだけで防御力を高めることができます。自社に高度なセキュリティチームを持てない組織でも、Glasswingのような取り組みの恩恵を間接的に受けられる点は大きな利点です。
利用者・市民にとっての安心感
ネットバンキングやオンライン行政手続き、クラウドサービスなど、私たちの日常生活はソフトウェアとネットワークに大きく依存しています。基盤となるソフトウェアの脆弱性が発見・修正されるスピードが上がれば、個人情報の漏えいやサービス停止のリスクも相対的に下がります。「どのサービスが安全か」を個人が細かく見極めることが難しい中で、インフラレベルのセキュリティ強化は、市民生活全体の安心感につながります。
サイバー攻撃との「いたちごっこ」の行方
一方で、攻撃側もAIを活用し始めているため、防御側だけが優位に立てるわけではありません。脆弱性をいち早く見つけて悪用するAIと、それを先回りして塞ごうとするAIとの「攻防」が今後激しくなっていく可能性があります。Glasswingが短期間で1万件以上の重大脆弱性を見つけたという事実は、攻撃側が同じことを行う前に、どこまで先手を打てるかが鍵になることを示しています。
今後の展望
AIを活用したセキュリティ対策は、今後、ソフトウェア開発のライフサイクル全体に組み込まれていくと見られます。設計段階からAIがリスクを指摘し、開発中にはコードを自動チェックし、運用段階でも継続的に監視する──そうした流れが一般的になれば、「出荷後に脆弱性が大量に見つかる」状況を減らすことができます。Project Glasswingのような取り組みは、その未来像に向けた重要な一歩と言えるでしょう。
