MicrosoftがAIで脆弱性探索、Windowsの10月更新はCVE修正千件超

　AIの悪用が疑われるサイバー攻撃が相次ぐ中、守る側はどう動いているのか。米Microsoftは11月5日(現地時間)、AI時代におけるWindowsの脆弱性管理の取り組みを公式ブログで説明した。10月の月例セキュリティ更新では、Windows向けに1,100件を超えるCVE(共通脆弱性識別子)を修正したことも明らかにした。

　国内では9月以降、佐川急便やヤマト運輸、NTTドコモなど、不正アクセスによる個人情報の漏洩や流出の可能性を公表する企業が相次いでいる。内閣官房国家サイバー統括室も11月5日、攻撃者が国内のWebサイトなどを大規模に調べて侵入しているとみられ、その調査や侵入にAIを使っている可能性も高いとする注意喚起を出した。

　Microsoftは、攻撃側がAIで修正前の脆弱性を探したり、公開された修正内容を解析したりするのに利用できると認める。そのうえで、防御側でもAIを使えば脆弱性を早く見つけて修正できるとする。同社は7月、AIによる脆弱性探索をWindows全体に広げ、今後はセキュリティ更新で修正する脆弱性が増えると予告しており、今回はその進捗を紹介している。

　同社は脆弱性の発見から修正、検証までの各段階でAIを活用しており、検出にはエージェント型コードスキャナ「MDASH」を使用している。ただし、最終的な判断はエンジニアが担うとしている。CVE件数が増えたのは、Windowsの安全性が下がったからではなく、AIでより多くのコードを調べ、多くの脆弱性を見つけて修正できた結果だという。

　一方で、修正が公開されると攻撃者がその内容を解析し、数時間でエクスプロイトを作成するおそれもある。それにもかかわらず、8月の診断データでは、計測対象となった企業のWindowsデバイスの半数以上が、パッチの公開から2週間たっても更新を適用していなかった。同社は、サポート対象のバージョンのWindowsを使用し、更新を速やかに適用するよう呼びかけている。