7,523 文字
AIは仕事を奪うのか、それとも新しい仕事を生み出すのか? 簡単な答えを言うと、その両方です。それでは、この答えの意味するところを掘り下げて考えてみましょう。
歴史的に見て、人類の仕事や技術が私たちの働き方にどのような影響を与えてきたのかを振り返ってみましょう。かつては、私たち全員が食料を確保するために農地で働く必要がありました。
その後、トラクターなどの農機具という形で機械化が進み、生産性が向上しました。そのおかげで、全員が農地で働く必要がなくなりました。一部の人々は農業に従事し続けましたが、他の人々は別の仕事に就くことができるようになりました。
つまり、農業の仕事の一部は減りましたが、一方で新しい仕事も生まれたのです。農業の仕事は残りました。食料は必要不可欠ですし、私も食べることが好きです。でも同時に、他のことをする余裕も生まれたのです。そして工場が登場し、産業化が進みました。その結果どうなったでしょうか? 多くの人々が農地から工場へと移動しました。
その後、自動化が進み、人々はさらに多くのことができるようになりました。再び、仕事の消滅と創出が起こったのです。何が生まれたのでしょうか? 情報が主役となる情報時代において、IT部門での仕事が生まれました。そしてこれにより、そうした仕事に移行できた多くの人々の生活の質が向上したのです。
そして最後に、現在私たちは人工知能の時代に突入しています。AIは何をもたらすのでしょうか? 歴史を振り返ってみれば、これまでの技術革新のそれぞれが、ある種の仕事を消滅させる一方で、別の種類の仕事を生み出してきたことがわかります。例えば、エジソンが電球を発明したとき、それまでほど多くのろうそく職人は必要なくなりました。
その結果どうなったでしょうか? 彼らは全員仕事を失ったのでしょうか? いいえ、他の分野に移っていきました。もはやろうそく作りに時間を費やす必要がなくなり、より興味深い仕事ができるようになったのです。さらにもう1つの効果として、全体的な生活の質が向上しました。電気や電球のおかげで、夜間やあらゆる状況下でも仕事や生活ができるようになったのです。
このように、歴史的に見ると技術革新はある物を奪う一方で、別の物をもたらしてきました。それでは、サイバーセキュリティの観点から、AIがこの分野の仕事にどのような影響を与えるのか見ていきましょう。では、人工知能がサイバーセキュリティに与える影響について考えてみましょう。
良いニュースと悪いニュース、メリットとデメリットがあります。まずはメリットから見ていきましょう。AIは私たちのサイバーセキュリティをどのように向上させるのでしょうか? 1つには、現在行っている反復的な作業の自動化を手助けしてくれます。その方法を見つけ出し、何度も繰り返し自動化することができます。
具体的な例を挙げてみましょう。コードレビューはどうでしょうか? 脆弱性やバグがないかコードを検査させることができます。また、ペネトレーションテスト（侵入テスト）の自動化も可能です。システムへの侵入を試みたり、さまざまなシナリオを考え出したりすることができます。
これらは可能な例のほんの一部です。特に便利なのはケースの要約です。例えば、数週間かけて取り組んできたケースで、多くのメモが蓄積され、多くの人々がその特定のインシデントに関わってきた場合を考えてみましょう。
上司が「現状はどうなっている?」と尋ねてきた時、エグゼクティブサマリーを作成するのに数時間かかるかもしれません。しかし生成AIは要約が得意です。大量の情報を与えれば、要約を作成してくれます。このように、ケースの要約は多くの場合で大きな時間節約になる可能性があります。
脅威ハンティングについてはどうでしょうか? 脅威ハンティングでは、基本的に仮説を立てて進めます。誰かがシステムに侵入したと仮定し、もし侵入したとすれば何を狙うのか、そしてもしそうした行動を取ったとすれば、侵害の痕跡としてどのような手がかりが見つかるはずかを考えます。
生成AIは非常に創造的です。私たち単独では思いつかないような脅威ハンティングのアイデアを提案してくれるかもしれません。そして外部で発生している攻撃に関する情報を継続的に入力することで、AIはいわば想像力を働かせて、私たちが探すべき他のシナリオを考え出すことができます。
これは非常に有用かもしれません。複雑なログの解釈についてはどうでしょうか? 例えば、ログの中で構文がわからない複雑なSQLコマンドを見つけた場合を考えてみましょう。SQLは構造化クエリ言語ですが、大規模言語モデル、つまりこれらの生成AIシステムは言語を理解し、SQLも理解します。
そのコマンドが実行された場合に何が起こるのかを説明してくれます。私がコマンドを調べて解析し、自分で理解する必要はありません。これは一種のコマンドライン説明者として機能します。また、異常検知にも役立ちます。つまり、発生する可能性のある奇妙な状況を探し、外れ値を見つけることができます。
これはほぼベル曲線のようなものだと考えてください。通常のユーザーはシステムにログインし、何かの作業を行い、ログアウトします。それが中央部分です。しかしサイバーセキュリティで私たちが気にするのはそこではありません。私たちは外れ値のケースを知りたいのです。システムにログインし、権限を昇格させ、多くの操作を行い、ログ記録を消去し、その後権限を下げた人物について知りたいのです。
それが外れ値です。それこそが私たちが注目したいケースです。そしてAI、特に機械学習はこのような事例を見つけることが非常に得意です。行動の推奨についてはどうでしょうか? 特定のシナリオを修正するために何をすべきか、どのような対策を講じるべきか、どのような改善策を実施できるかを提案してくれます。常に正しいわけではありませんが、私たちが思いつかなかったことを提案してくれるかもしれません。
そこから、実施したい対策とそうでない対策を選別することができます。サイバーセキュリティのSME（主題専門家）を持つことについてはどうでしょうか? サイバーセキュリティの言語を理解し、技術を理解し、おそらくCISSPのようなサイバーセキュリティプロフェッショナル向けの認定資格を持つ人の知識を持ち、いつでも質問できる存在があれば非常に有用でしょう。これはチャットボットが特に得意とする分野です。
これらは一部の例に過ぎません。ここで興味深いユースケースをご紹介します。常に大量のレポートやアドバイザリーが押し寄せてくる状況を想像してください。これらは毎日発生します。毎日4-5件の新しいアドバイザリーを目にします。最高情報セキュリティ責任者として、それら全てを読みたくはありません。
単に影響を受けるかどうかを知りたいだけです。その質問に答えるためにAIを使うのはどうでしょうか? これら全てを生成AIに入力し、それらのレポートから主要な発見事項を抽出させることができます。そして関連する侵害の痕跡を教えてくれます。
その後、環境全体にわたって連携検索を実行し、全ての隅々まで探索して、「影響を受けるか?」という質問に対する答えを返してくれます。侵害の痕跡は見つかったのでしょうか? これは非常にシンプルです。膨大なデータを入力し、「影響を受けるか?」という単純な答えだけを得られるのです。これは素晴らしいことでしょう。
しかし、ここで注目すべき点の1つは、依然として人間が介在する必要があるということです。これらの自動化を実現しても、適切な質問をする誰かが必要です。脅威ハンティングを実行する誰かが必要です。創造力を使ってこれらの多くを考え出し、その中から特に有用でないものを選別する誰かが必要です。
つまり、一部の作業は自動化されますが、同時に人間が問題の異なる部分に集中する機会も生まれているのです。なぜそれが必要なのでしょうか? それは、デメリットの側面にあります。AIにより、悪意のある人々もこれらに注目しており、じっとしているわけではありません。
彼らも、私たちが復旧や他の種類のスキャンを自動化していることを知っています。彼らは何を自動化するでしょうか? 偵察を自動化するかもしれません。つまり、システムを調査して脆弱性がどこにあるかを特定することです。他の種類の脆弱性スキャンを自動化することもできます。
彼ら独自のバージョンを作るのです。私たちがペネトレーションテストについて話しているように、彼らは脆弱性スキャンについて話しています。大きな違いはありません。また攻撃も自動化できます。つまり、システムを悪用するために必要な操作を知っていれば、それをAIに組み込んで全てのプロセスを自動化し、その結果を賢く分析して次に必要なステップを判断することができます。
これは単なるスクリプトの作成よりもはるかに賢いやり方です。なぜなら、ここでは調整を行うことができるからです。ソーシャルエンジニアリングの分野についてはどうでしょうか? これは基本的に人々を騙すことです。人間の信頼したいという欲求を利用し、それを悪用します。私たちは常にこれを行っており、社会で機能するためにはこれが必要ですが、ソーシャルエンジニアリングを悪用する人々はフィッシングのような攻撃を行っています。
銀行からのメールや懸賞に当選したように見せかけるメールを送信します。ログインすると、アイデンティティを盗まれたり、マルウェアをシステムに仕掛けられたりします。このような攻撃はAIによってより良く自動化できます。フィッシング攻撃に関して私たちが人々に教えてきた手がかりの1つで、今では教え直す必要があるのは、フィッシング攻撃にはしばしば文法の誤りやスペルミスがあるということです。
攻撃者が英語を一言も知らなくても、AIを使う方法を知っていれば、生成AIを使って完璧な英語でフィッシングメールを生成することができます。もし人々がそれらを手がかりとして探しているなら、これはフィッシングメールだとは考えないでしょう。警戒を緩め、懐疑的になりません。
これを覆す必要があります。ディープフェイクについてはどうでしょうか? これは生成AIを使って人物の声、外見、イメージ、動き、ビデオ通話を模倣するものです。すでにディープフェイクを使用した攻撃で、企業が数百万ドルの損失を被った事例が多数報告されています。
これはAIが私たちに対して使用される例の1つです。偽情報攻撃についてはどうでしょうか? 人々を混乱させるものです。フェイクニュースと本物のニュースを見分けることは私たちにとって得意ではありません。AIを活用した偽情報、ディープフェイクを活用した偽情報は、多くの状況で克服するのが非常に困難な組み合わせとなるでしょう。
パスワードクラッキングについてはどうでしょう? この場合、多くの場合、辞書攻撃を行うシステムを使用して、特定の単語をパスワードデータベースと照合し、一致するものがないかを確認します。その仕組みの詳細には立ち入りませんが、もしスマートなパスワード生成器があれば、インターネット上に流出したパスワードデータベースから人々が使用するパスワードを学習することができます。
人々が通常どのようなパスワードを使用し、どのようなパターンを使用するのかを確認できます。そして、パスワード辞書に含まれる単語だけでなく、正解である可能性が高いスマートで知的な推測を生成することができます。
エクスプロイトの生成についてはどうでしょうか? この場合、侵害の痕跡を生成AIに入力してコードを書かせることができます。これらのシステムができることの1つは、コードを生成することです。良いコードも悪いコードも生成できます。エクスプロイトコードを生成させることも可能です。つまり、攻撃者はもはやコードの書き方を知る必要すらありません。
脆弱性の説明をチャットボットに入力し、エクスプロイトコードを生成させることができます。マルウェアも同様です。ウイルスなどの書き方を知る必要はありません。チャットボットにそれを任せることができます。そして最終的に、企業が良いことのために使用するAIは、効果的に新しい攻撃面となります。
つまり、人々がシステムに侵入しようとする別の方法です。AIを通じて侵入を試みるでしょう。これら全てを要約すると、どうなるでしょうか? ご覧の通り、これらの作業が容易になるため、より多くの攻撃が発生するでしょう。そのため、より優れた防御が必要になります。
これらの攻撃から守るために。つまり、より多くのSME（主題専門家）、サイバーセキュリティを本当に理解している人々が必要になり、それらの防御を強化する必要があります。実際、この録画時点で、米国だけでも40万以上のサイバーセキュリティの求人があります。
これは世界全体の数字ではありません。つまり、AIは一部の仕事を奪うのかという質問に対する答えは、はい、です。そもそもあまり楽しくなかったこれらの作業の一部は消えるか、支援してくれるようになります。しかし、そのAIの結果として発生する増加する攻撃空間に対して、どのように防御するかを考え出すために、依然として人間の介在が必要です。
では、誰が何を行うのかをまとめてみましょう。AIは特定のことを行い、人間は別のことを行います。それぞれの長所を活かしましょう。例えば、AIは脅威検知が得意かもしれません。あらゆる種類のものを探し、ログなどを分析することができます。
そういった作業はAIに任せましょう。ログ分析についても同様です。ログの内容やそれらのコマンドが何をするのかを説明することは、ほとんどの場合、人間よりもAIの方が優れています。そして脆弱性評価や脆弱性分析も同様です。AIはこのような作業が特に得意です。しかし、依然として人間が必要です。
なぜでしょうか? それは、人間がこのような作業、つまり戦略を立てることが特に得意だからです。計画を立て、そもそも何をする必要があるのかを考えることです。AIは私たちが求めることを行いますが、何をする必要があるのか、そもそもの目標は何なのかを知っているでしょうか? 問題解決についてはどうでしょうか? 場合によってはAIが問題の解決策を提供してくれるように見えますが、それは推論や思考をしているように見えますが、実際には異なることを行っています。
特に、これまでに見たことがない新しい問題、セキュリティで私たちがブラックスワンイベントと呼ぶような、めったに見ないことについては、人間の方が問題解決が得意かもしれません。そして意思決定です。ここで何かをする必要があります。
決定を下す必要があります。どちらを選ぶべきでしょうか? 組織が何を達成しようとしているのか、そして多くの場合、最適な結果は何なのかをより良く理解しているのは人間であることがわかります。結論として、動画の前半で人間がまだ必要とされる多くのことを列挙しました。
これにはまだ人間の介在が必要です。別の見方をすれば、調査などを行う人々はより少なく必要になるでしょう。何が起こっているのか、誰が誰に何をしたのかを突き止めるという困難な作業、調査の手動のステップを実行することは減るかもしれません。
そしてもう1つ、人々があまり必要としなくなる可能性があるのはコーディングです。ドアの下にピザを差し入れ、反対側からコードが出てくるような仕事を望むなら、そのような仕事はあまり必要なくなります。ある程度は必要ですが、多くは必要ありません。なぜなら、AIがその多くを行うことができるからです。
しかし、これらの代わりに、アーキテクチャや戦略のような、より高次の思考能力や創造的な側面を実際に使用し、私たちが最も得意とすることを活用し、これをツールとして使用して、このような作業を行う自由を得るような仕事がより必要になるでしょう。
これまでに見たことがないほど多くの攻撃を目にすることになります。これまでに見たことがないほど複雑になります。これら全てが意味するのは、攻撃面と私たちが持ち上げなければならない重みが増え続けるということです。そしてそれを行う人材は無限にはいません。
では、現在いる人々をどのように活用できるでしょうか? ちなみに、統計によると、サイバーセキュリティで働く3人につき1つの未充足の求人があります。AIがそれら全てを奪っているのでしょうか? いいえ、まだ埋める必要のある多くの求人があります。では、これらの人々から最大限の効果を得るにはどうすればよいでしょうか? この巨大な重みを持ち上げられるようにするにはどうすればよいでしょうか? てこと支点について知っているなら、ここでの支点はAIです。
これが、私たちが対処できるようにする力の倍増器となります。なぜなら、悪意のある人々はじっとしているわけではありません。AIは、彼らがこれまでにない方法で攻撃することを意味します。つまり、私たちはより賢くなる必要があります。より良く、より賢いツールを展開し、単に追いつくためだけにAIを力の倍増器として使用する必要があります。
これは先に進むことではなく、できる限り頭を水面上に保つことに過ぎません。明らかに、これらの決定、戦略、アーキテクチャなどの多くには、依然として人間の介在が必要です。そして、前に進むにつれて、動画の冒頭で私が話した各時代の技術がどのように特定の仕事を奪い、同時に他の仕事の機会を生み出したかを覚えておいてください。
では、このAIの時代に入るにあたり、重要なスキルは何でしょうか? 私の意見では、それは批判的思考です。何が現実で何が現実でないのか、何が起こるべきで何が起こるべきでないのかを判断する能力です。AIは多くのことを提案し、その中には素晴らしいアイデアもあれば、かなり突飛なものもあるでしょう。最終的には、究極的な思考を行うために人間の介在が必要です。
そして、IBMのような企業について考えると、私たちのモットーは最初からこうでした。回り回って元に戻ってくるのは非常に適切です。次の世代に向かうために必要なスキルは、私たちがこれまでも常に必要としてきたスキルです。ただし、今まで以上にそれらが必要になるのです。
コメント