AI は未来の脆弱性診断をどう変える？ 第3回 「進化する AI と共に成長する AeyeScan、人を超えていく未来の可能性を探る」

　前々回、前回の記事を通じて、OpenAI がリリースしたGPT および ChatGPT に代表される生成AI の登場は、この数十年間で起きたイノベーションの中でも最も大きなインパクトをもたらす可能性を秘めていることを紹介してきた。特にサイバーセキュリティの分野においては、新たな攻撃やフィッシングメールへの悪用といった形で脅威となるだけでなく、攻撃者に先だって自ら脆弱性を発見し、対策に役立てるという意味でポジティブな影響をもたらす可能性も高く、多くのセキュリティリサーチャーに注目されている。

　主に認識AI技術を駆使して Web診断の自動化を実現してきた「AeyeScan」を開発、提供するエーアイセキュリティラボも、生成AI技術に着目し、ChatGPT を製品に組み入れる方針を表明した。具体的には前回の記事で説明した通り、脆弱性の検出自体はもちろん、その前段となる検査シナリオを作成するための「巡回」、見つかった脆弱性をセキュリティ担当者、さらには経営層に向けてわかりやすくまとめていく「レポート生成」、指示書や自然言語で簡単に各種設定を行えるようにする「管理画面への組み込み」など、さまざまな場面で活用する計画だ。

　AeyeScan の開発者であるエーアイセキュリティラボの取締役副社長、安西真人によると、すでにベータ版の開発が進んでいる。AeyeScan は 2023 年 10 月にリリースから 3 周年の節目を迎えることになっており、そのタイミングに合わせて、ChatGPT を組み込んだ AeyeScan が登場すると期待できる。

　ただ、ChatGPT の利用を巡っては、すでにさまざまな組織・企業で議論されているとおり、ルール面の整備が不可欠だ。「個人としてはどんどん使いたいと思うでしょうが、管理者側の目線で考えると、あまりに自由に使われても困るというのが正直なところでしょう。特にセキュリティの観点では、不用意に ChatGPT とやり取りし、情報が外部に出て行ってしまっては困るというのはよくわかります（安西氏）」

　こうした背景から企業によっては、GPT/ChatGPT の利用に関するポリシーを定める動きが広がっている。エーアイセキュリティラボでは、そうした各社のポリシーと整合性が取れるよう、AeyeScan の利用規約に関しても検討を進めている。

●速度など課題はありつつも、近い将来「人を超えていく」可能性も

　生成AI の活用によって、前回紹介したものだけでも、AeyeScan の性能・機能は大きく向上すると期待できる。ただ、こうやって開発を進めている間にも、生成AI はすさまじい勢いで進化し続けており、そのスピードにいかにキャッチアップしていくかも問われるだろう。

　たとえば ChatGPT は 2023 年 3 月に 3.5 から 4 にバージョンアップした。続けて、2023 年 5 月には Webブラウジングなどが可能な Plugin機能を、2023 年 7 月にはプログラムの実行が可能な Code Interpretor をリリースした。

　安西氏によると、特に GPT-4 は非常に優秀で、総合点で見れば明らかに人間を超えた知識レベルに到達しているという。「翻訳もそうですが、プログラム言語も使いこなせるため、これまでとはレベルが違うように思います（安西氏）」これを生かせば、プロンプト部分をよりよいものに改良できると期待している。

　攻撃検知の面でも優秀だ。実際に試してみたところ、「GPT-4 は 3.5 に比べ、性能が大きく向上しています。すでに個人で実験している方もいますが、WAFの攻撃判定を GPT-4 に行わせたところ、非常に高い精度で攻撃を判定できることがわかりました（安西氏）」という。

　一方で、実用レベルに持っていくには課題も残る。具体的には「速度」（パフォーマンス）だ。

「確かに攻撃判定の精度は非常に高いのですが、いかんせん処理速度が遅いことも事実です。一度の判定に 10 秒程度かかってしまうため、実際の Webサイトに適用するとアクセスするたびに時間がかかって待たされてしまい、まだ使い物にならないでしょう（安西氏）」他にも、トークン数の制限やレート制限、コストといった課題もあるため、うまく使いどころを考える必要があるという。

　ただ、これはあくまで現時点での話に過ぎない。繰り返しになるが生成AI技術は、文字通り日進月歩の勢いで進化しており、GPT に関しても GPT-5 の噂が取り沙汰されている。そう遠くない将来、高い性能を備えつつ、処理速度も現実的なレベルにまで速いモデルが登場すれば、WAF における生成AI搭載の制約は一気に消え去り、スタンダードになる時代が到来するかもしれないと安西氏は予測している。

「それも、昨今の AI の進化は非常に早いため、数年というオーダーではないでしょう。数ヶ月単位の話であり、ある日突然、そんな時代が来るかもしれないと考えています（安西氏）」ある日ブレークスルーが起きても乗り遅れないために、エーアイセキュリティラボでも鋭意開発を進めていくとした。

　もう一つ期待したいのが、特定領域に特化した「fine-tune」だ。昨今の生成AI は大規模言語モデル（LLM）をベースにしており、特定の分野のデータを学習させることにより、より特定のタスクに適したモデルに進化させることができる。つまり、脆弱性に関する情報を集中的に学習させることで、人間のアナリストの能力を上回るような、さらに高度な診断が可能になる可能性もあるという。

「診断結果の活用にはお客様の同意を取る必要があることからまだ着手していませんが、実際のスキャンデータや診断結果を AI の学習に利用することで、もしかすると、まだ実際に診断すらしていないのに『この URL のこのパラメータには脆弱性がありそうだ』とわかるようになるかもしれません。個人的には、最終的には人間を超えていくのではないかと予測しています（安西氏）」

　実は、高度なスキルを持った人間の診断士の中には、具体的な理由は説明できないが、診断をする前にぱっとサイトを見ただけで「このページは怪しそうだな」と感じ取れる、まるでエスパーのような人も存在する。同じようなことを、近い将来、生成AI が実現するかもしれない。

　一方、開発の現場でも生成AI の活用が進んでいる。このため、デベロッパーが GPT を活用して生成したコードを、セキュリティエンジニアが同じくGPT を活用して検査する、といった世界が到来するかもしれない。

●新たな技術を積極的に活用し、日本のセキュリティ業界の活性化に期待

　試せば試すほど予想を超える結果を返してくる生成AI は、安西氏にとって、これまでのキャリアの中でも最も衝撃的なテクノロジだという。

　ただ、使いこなすには、適切な「問い」を立てる必要がある。いわゆる「プロンプトエンジニアリング」のスキルを磨き、AI が間違った回答を返しにくい、適切な質問を投げかける必要があるのも事実だ。

　そして、得られる答えについて最終的に責任を持つのも、使う側の人間だ。従って「たとえば、『このサイトのこの URL に脆弱性がある可能性が高い』というところまでは GPT に判定してもらい、最終的な確認はツールを用いて人間が行うといった具合に、別の手段を用いて実証するといったアプローチが適切ではないかと思っています」と安西氏は述べている。

　そして、引き続きそんな世界を実現していくための仲間を募りながら、新たな可能性をもっと追求していきたいとした。

　こうした取り組みはひいては、長年、海外製のセキュリティ製品に席巻されてきた日本市場で、日本発の製品のプレゼンスを高め、セキュリティ製品開発という仕事を「夢の持てる仕事」にしていくきっかけになるかもしれないと、同社取締役の角田茜氏は期待している。

「セキュリティ分野に限った話ではありませんが、日本では、海外の製品を買ってきて組み合わせていくだけで、今ひとつ夢がないという世界が長く続いてきました。それが、セキュリティ製品や業界の地位が上がらない一因になっていたかもしれません。しかし、生成AI のようにワクワクするような技術をセキュリティでも活用し、新たな未来が開けることによって、セキュリティ業界自体の地位向上の道筋につながり、業界全体が盛り上がっていければと期待しています」（角田氏）

　たとえば今の時点では、グローバル市場におけるセキュリティスキャナのナンバーワンと言えば「Burp Suite」となっている。ただ今のところ、生成AI技術の活用に関してはまだ積極的な姿勢は見せていない。

　その間に AeyeScan に新たな技術を取り入れることで「技術で世界を驚かす」というエンジニアビジョンを体現し、日本のセキュリティ業界に勢いをもたらしていきたいという。「AeyeScan を世界ナンバーワンのセキュリティプロダクトにしたいと思っています（安西氏）」