Googleは、同社のProject ZeroとDeepMindが共同開発した大規模言語モデル「Big Sleep」が、世界で初めて人工知能（AI）による未知のセキュリティ脆弱性の発見に成功したことを報告した。発見されたのは、広く使用されているデータベースエンジンSQLiteにおける重大な脆弱性であり、この成果はAIによるサイバーセキュリティ防衛の新たな地平を切り開くものとして注目を集めている。
従来の防衛手法を超えた画期的な発見
従来のセキュリティ脆弱性の発見手法として主流だったのは「ファジング」と呼ばれる手法だ。これは、ソフトウェアに対してランダムまたは半ランダムな大量の入力を自動生成し、予期せぬクラッシュや異常な動作を観察することで、バグや脆弱性を発見する方法だ。しかし今回、Big Sleepは、このファジングでは150CPU時間をかけても発見できなかった脆弱性を検出することに成功した。
発見された脆弱性は「スタックバッファアンダーフロー」と呼ばれるもので、SQLiteの「seriesBestIndex」関数において、特定の条件下でメモリ境界外への書き込みが発生する可能性があるという深刻な問題であった。この種の脆弱性は、攻撃者によって悪用された場合、プログラムのクラッシュや任意のコード実行といった重大な被害をもたらす可能性がある。Big Sleepは、コードベースの変更履歴や差分を分析し、過去の脆弱性パターンと照合する「バリアント分析」という手法を用いて、この問題を特定することに成功した。さらに重要なのは、この発見が正式リリース前になされ、即日で修正されたことで、実際のユーザーへの影響を完全に防ぐことができた点である。
AIがもたらす包括的なセキュリティソリューション
Big Sleepの革新性は、単なる脆弱性の発見にとどまらない。このAIシステムは、問題の特定から根本原因の分析、そして解決策の提案まで、包括的なセキュリティ分析を提供することができる。これは、従来の自動化ツールでは実現できなかった画期的な機能だ。
特に注目すべきは、Big Sleepが示した分析の正確性と、その深さである。システムは、SQLiteのコードベースを詳細に分析し、特定の変更が他のコード領域に及ぼす影響を予測することができた。さらに、発見された脆弱性に関して、どのような条件下で問題が発生するか、どのように修正すべきかについても、具体的な提案を行うことができた。これは、人間の専門家による分析に匹敵する洞察力を示すものとして評価されている。
サイバーセキュリティの未来を変える可能性
Google Project Zeroのチームは、この成果について控えめながらも明確な展望を示している。現時点ではまだ実験的な段階であり、特定のターゲットに特化したファジングツールと同程度の効果しか得られていない可能性を認めつつも、この技術が防御側に大きなアドバンテージをもたらす可能性を強調している。
特に重要なのは、この技術がソフトウェアのリリース前に脆弱性を発見できる点である。これにより、攻撃者が脆弱性を悪用する機会そのものを排除することができる。また、この研究成果を広く共有することで、パブリックな最先端技術と企業内の最先端技術とのギャップを最小限に抑えることを目指している。これは、「ゼロデイ攻撃を困難にする」というProject Zeroのミッションに完全に合致する取り組みであり、サイバーセキュリティの未来に新たな希望をもたらすものといえるだろう。
「Big Sleep」の成功は、人工知能がサイバーセキュリティの分野で真に実用的な貢献をできることを実証した重要な一歩である。今後、この技術がさらに発展することで、より安全なデジタル社会の実現に向けた新たな展望が開けることが期待される。
Sources
コメント