この記事の内容
セキュリティの専門家たちは、AIがもたらす新たな現実の時代を生きています。かつてはセキュリティ評価の主な焦点であった脅威の発見は、今や迅速かつ大量に行われています。かつては数週間かけて進行していたセキュリティ侵害が、今では数秒で発生します。優秀なセキュリティチームや開発者でさえ長らく見過ごしていた脆弱性チェーンが、強力な新しいフロンティアモデルによって瞬時に可視化されます。大規模なコードベース全体において、このモデルは大量の潜在的なセキュリティ上の問題を発見する可能性を秘めています。
6月、RubrikはProject Glasswingに参加し、当社のエンジニアがAnthropicのMythos Previewにアクセスできるようになりました。業界が新たな課題に注目するきっかけとなったモデルに1ヶ月間取り組んだ結果、AI時代の新たな課題に対処し、サイバーレジリエンスを向上させる効果的な方法を見出せると確信しています。
特に、エンジニアリング部門と情報セキュリティ部門から多機能な「タイガーチーム」を編成し、自社システム内における高忠実度の脅威の発見と排除を優先し、可能な限りプロセスを自動化しました。注力したのは、ツール呼び出しやチェックポイントを管理し、ビジネスコンテキスト、セキュリティコンテキスト、信頼境界を追加する効果的なハーネス（AIモデルを包み込むソフトウェアレイヤー）を構築することでした。
攻撃がAIのスピードで行われるようになった今、解決策も同じスピードで生み出されなければなりません。
実際には、これは発見だけで作業が終わるわけではないことを意味します。この規模になると、下流のあらゆる段階が制約となり、最も困難なエンジニアリング上の課題は、当初取り組んでいたものとは異なることが判明しました。
高忠実度なアプローチ
Project Glasswingの一環としてMythosを使用したRubrikの取り組みから、私たちの最初の直感は、新しい発見を処理能力の問題として捉えることでした。つまり、キューを拡大し、レビュアーを増やすという対応です。しかし、処理能力を追加しても解決にはならないことに気づきました。パイプラインの動作を見直す必要があったのです。
実際に効果があったのは、これをアーキテクチャの問題として扱うことでした。「検出結果をどのようにレビューするか？」と問うのではなく、「適切な検出結果だけがエンジニアに届くシステムを構築するにはどうすればよいか？」を検討しました。
この転換が、ハーネスに対する私たちの考え方を変えました。ビジネスコンテキスト、セキュリティコンテキスト、そして多くの顧客がレジリエントなリカバリの最後の砦として当社を頼りにしている企業の固有の脅威モデルなど、これらはいずれもプロンプトに収まるものではありません。プロンプトは変動しますが、ハーネスのアーキテクチャは変動しません。コンテキストが構造的な場合、毎回誰かが正確な言い回しを行うかどうかに依存することなく、すべてのスキャンおよびパスにおいて一貫して適用されます。
最初に行ったのはリポジトリ全体のスキャンであり、前提条件を設けず、すべてのファイルを対象としました。そして、初期段階で明らかになった実際のパターンに基づいて、段階的にターゲットを絞っていきました。その結果、検出結果から検証済みの優先課題へと大幅に削減されました。高忠実度であることが、後続の修正作業を実行可能にするのです。
自動化とヒューマン・イン・ザ・ループ
修正パイプラインを構築するにあたり、私のチームが最も驚いたのは、自動化そのものではありませんでした。「何を自動化しないか」を決定することにどれだけのエンジニアリング作業が費やされているか、についてでした。
根本的な問題は構造的なものです。人手による修正では、AIの速さで発見される問題に追いつくことはできません。これは、人を雇って解決できるようなリソースの問題ではないのです。唯一の解決策は、潜在的な脆弱性が発見されるペースに合わせた自動化を構築することですが、重要なのはそれを実際に信頼できる形で行うことです。
自動化されたパスは、潜在的な脆弱性クラスのうち、意図的に選択されたサブセット、つまり、機械による修復が確実かつ範囲が明確なものだけを対象としています。それ以外のものについては、構造化された計画と詳細なコンテキストが提供されますが、修正の判断は人間が行います。セキュリティの分野において、「信頼できる自動化」と「最大限の自動化」は、相反する関係にあります。私たちは前者を選択しました。
Mythos Previewのハーネスを構築する過程で、AIはそれを囲むシステムにおいて、エンジニアリングの厳密さに対する要求を低下させるものではなく、むしろ高めるものであることが明らかになりました。分類体系、検証アーキテクチャ、そして人間がどの段階で介在するかという判断は、作業に付随するものではありませんでした。作業そのものだったのです。
多数による警戒
この作業は、多くの人々の尽力があって初めて実現したものです。Project Glasswingに参加している他の企業は、初期段階で得た知見を快く共有してくれました。Anthropic自体も、学びと適応に意欲的な素晴らしいパートナーです。Rubrikの私のチームは、比較的小規模で焦点を絞った体制をあらかじめ構築しており、適切な優先順位付けのもと、見事に実行しています。
今年初め、Mythosのリリースは、業界に対する警鐘となりました。私たちはそれに応え始めています。長期的には、この取り組みの結果として、より良いソフトウェアと、より良いセキュリティ手順を構築できると私は確信しています。それこそが、絶え間ない警戒の成果なのです。