過去1年間で、最先端のAIモデルはセキュリティの脆弱性を発見し、悪用できることを示してきました。Chris Rohlf氏のチームは現在、これらのモデルが自動化された攻撃対象領域の分析と削減を通じて、サイバー防御をどのように強化できるかを探っています。AIを使って到達可能なコードをマッピングし、デプロイメントが公開する必要のないものを削除または制限するのです。
このアプローチが重要なのは、個々の脆弱性を発見して修正する方法では規模の拡大が難しいからです。重大なバグを1つ修正しても、残っている脆弱性については何も分かりません。対照的に、コードの到達可能性を減らすことで、まだ発見されていない脆弱性、さらには現在実際に悪用されている脆弱性の深刻度も下げられます。根本的な欠陥が取り除かれるわけではありませんが、そこに到達しにくくなるのです。特定の脆弱性を発見または修正することなく、コードベースの攻撃対象領域を最小化すれば、セキュリティは向上します。
ソフトウェアは、抽象化、依存関係、機能が積み重なるにつれて、時間とともに複雑になりがちです。その結果、開発者の意図とは異なる動作をすることも少なくありません。攻撃者は、コードが実際にどのように動作するかを調べることで、このギャップを突きます。自動化された手法は、不要な公開コードを適切なゲートの背後に移すことを目指します。例えば、認証前から認証後へ、ゼロクリックから1クリックへ、あるいはデフォルトでオンからの明示的なオプトインへと移すといった具合です。
研究者たちは3つの手法に注目しました。1つ目は、デフォルト構成で到達可能でありながら、デフォルトの機能では決して必要とされないコードを特定すること。2つ目は、一緒に設定すると問題を引き起こすオプションの組み合わせを見つけること。3つ目は、認証やプロトコルの状態遷移の前に実行される、複雑でセキュリティに敏感なコードを特定することです。500万行を超えるコードを含む25のプロジェクトにおいて、Claudeは493件の問題を発見しました。この結果は、開発者が自分のコードに同様の手法を適用することで、経済的にセキュリティを向上させられることを示唆しています。
出典: Hacker News · 要約：HeadlinesBriefing