Sarah GuoとElad Gilがホストを務めるNo Priors podcastに、CrowdStrikeのプレジデント兼CEOであるGeorge Kurtzが登場した。
巷では「AIのせいでインターネットは崩壊する」といった世紀末的doomerismを吹聴するテクノロジストが後を絶たないが、サイバー防衛の最前線に立つ同氏の視座は、そうした無責任な未来観測的与太話とは一線を画している。AIがエンタープライズセキュリティにもたらす変化は、破滅的な魔法ではなく、攻撃と防衛の非対称性を極限まで加速させる物理法則のアップデートに近い。本稿では、このpodcastでの議論を紐解きながら、AIを装備した攻撃者がもたらす不可逆な変化と、それに立ち向かうための「AIにはAIを」という新たな防衛パラダイムについて分析する。
攻撃者ピラミッドの平坦化と「Agent State」の台頭
これまでサイバー攻撃の世界は、明確な階層構造（Pyramid of Pain）を持っていた。ピラミッドの底辺には大量のhacktivistが存在し、中間層にはより高度なe-crime集団が位置し、そして頂点には圧倒的な資金力と技術力を誇るnation-state（国民国家）のハッカー集団が君臨していた。
しかし、AI、とりわけopen-weightモデルの台頭は、この階層を根底から破壊し、ピラミッドを完全に平坦化してしまった。かつてはnation-stateの専売特許であった高度な攻撃能力が、今や末端のhacktivistにまで民主化されている。この劇的な変化によって生み出された新たな頂点捕食者こそが、人間の組織ではなく自律的に動作する「agent state」である。
ここで重要なのは、最新のfrontier modelよりも、あえてopen-weightモデルが攻撃の主役になっているという皮肉な現実だ。最先端のfrontier modelは、安全対策としてのguardrailが厳しく設定されており、サイバーセキュリティに関するPowerPointの資料を作成しようとするだけで回答を拒否されることすらある。一方で、open-weightモデルにはそうした枷がない。攻撃者はこれらのモデルをカスタマイズし、脆弱性の発見からエクスプロイトの開発、そして自律的な意思決定に至るまで、攻撃チェーンのあらゆるフェーズに組み込んでいる。もはや高度な攻撃に必要なのは、国家規模のリソースではなく、制限のないopen-weightモデルを走らせるわずかな計算機リソースのみなのである。
マルウェアからPromptへ、そしてShadow AIの脅威
AI agentの自律性がもたらした最も顕著な変化は、攻撃のスピードと質の変容だ。
これまで、攻撃者がシステムに侵入してから内部で横展開（lateral movement）を始めるまでの時間、いわゆるbreakout timeは、数日から数時間単位で計測されていた。しかし現在、この時間は劇的に短縮され、平均で29分、最速のケースではわずか27秒にまで縮まっている。この驚異的なスピードは、agentの推論スピード（speed of inference）そのものであり、人間が介入する余地を完全に排除している。
さらに厄介なのは、攻撃の性質そのものが変化している点だ。従来の静的なマルウェアバイナリに代わり、攻撃者は巧妙に設計されたpromptを用いてシステムを操作する。これにより、情報収集やピボットのたびに完全にユニークな攻撃のシグネチャが動的に生成され、旧来のパターンマッチングによる検知を無力化している。
防衛側をさらに悩ませるのが「Shadow AI」の問題である。Shadow ITのAI版とも言えるこの現象は、組織内でIT部門の承認や監視なしに無数のAI agentが稼働している状態を指す。出所も、アイデンティティも、その動作の目的も不明なagentが、企業のネットワーク内を闊歩している。これらのagentがマルウェアをダウンロードしたり、権限を超えたアクションを起こしたりするリスクに対し、企業は可視性すら確保できていないのが現状だ。
AIにはAIを：CrowdStrikeの防衛戦略と「Safe Mind」
「唯一のAIへの対抗手段は、より優れたAIである」。Kurtz氏がpodcastで強調したこの言葉は、現代のセキュリティの絶対法則である。攻撃者がfrontierレベルの自律型agentを駆使する以上、防衛側も同等以上の能力を持つAIモデルを配備しなければ、数秒のbreakout timeに対抗することなど到底不可能だ。
しかしここで、前述のguardrail問題が防衛側の足をも引っ張ることになる。frontier labsのモデルは「サイバー攻撃」という文脈に過敏に反応し、正当な防御目的の分析すら拒否してしまうことがあるのだ。Hugging Faceがエンドツーエンドの自律型攻撃に直面した際、事態の解明のためにfrontier modelではなくopen-weightモデルに頼らざるを得なかったというエピソードは、この構造的な矛盾を象徴している。
この課題に対するCrowdStrikeの解答が、独自のAI防衛構想「Safe Mind」であり、その中核を成すのが「Red Tempest」および「Blue Solano」と呼ばれる独自モデル群である。NVIDIAのNeMoなどをベースにしつつも、外部のfrontier labsに依存せず自社でモデルを構築する背景には、極めて合理的な理由がある。
一つ目はコストだ。最高峰のfrontier modelに修復作業を依頼すれば1回あたり10ドルかかるが、独自モデルであればわずか3セントで済む。何百万回と繰り返される自律的攻撃に対して、コスト効率は防御の持続可能性に直結する。
二つ目は、データという圧倒的な壕（moat）である。CrowdStrikeには、MDR（Managed Detection and Response）サービスを通じて蓄積された15年分以上の実戦的なセキュリティデータがある。この「CrowdStrike版のReddit」とも呼べる独自のデータセットは、単なる合成データ（synthetic data）では決して再現できない。
そして三つ目が、「AI sovereignty（AI主権）」とデータの信頼性だ。顧客は自社の極めてセンシティブなセキュリティデータが、第三者のlabsに送信され、モデルの学習に利用されることを極度に警戒している。独立したセキュリティベンダーとして、顧客環境のデータを安全に囲い込みながら最高性能を引き出す独自のモデル提供は、単なる技術的選択を超えたビジネス上の必須要件と言える。
さらにCrowdStrikeは、NVIDIAのJensen Huang氏の強い要望もあり、顧客環境の「digital twin」を構築している。仮想化された顧客のインフラ上で、Red Tempestが攻撃を仕掛け、Blue Solanoがそれを防ぐというシミュレーションを無限に反復する。この自己対戦的なアプローチこそが、攻撃者のiterationスピードに追従し、未知のprompt攻撃を未然に封じ込めるための唯一の解なのだ。
防衛優位の未来は訪れるか
攻撃側の飛躍的な進化を目の当たりにすれば、多くのセキュリティ担当者が悲観的になるのも無理はない。しかしKurtz氏は、将来的にディフェンダーが優位に立つ（defense-dominant）世界は十分に実現可能だと説く。
なぜなら、究極的に防衛側には「自陣を完全に把握している」という絶対的な非対称の優位性があるからだ。アーキテクチャの図面を持ち、ソースコードを保有し、環境のdigital twinを構築できるのは防衛側だけである。これらの情報を総動員し、AIの無限の忍耐力を使って自律的にパッチを当て、アーキテクチャを堅牢化し続ければ、いずれソフトウェア自体が現在よりもはるかに安全な状態に収束する未来も夢ではない。
これまで、サイバーセキュリティはビジネスのスピードを落とす「brake（ブレーキ）」として疎まれる存在だった。しかし、AIエージェントが企業活動のあらゆるプロセスに組み込まれるこれからの時代において、高度なAI防衛機構を持たない企業はAIを安全に運用することすらできない。つまり、セキュリティは初めて、AIイノベーションを全力で加速させるための「gas pedal（アクセル）」へとその役割を反転させたのである。
open-weightモデルがもたらしたピラミッドの崩壊は、もはや元には戻らない。デバイスのローカルで動くモデルとクラウド上のハイブリッド環境が一般化し、さらなる性能向上が見込まれる中、AIとセキュリティの知見を併せ持つ人材の価値は高まる一方である。サイバーセキュリティは依然として解決不可能なイタチごっこかもしれないが、絶望してインターネットの電源を切るにはまだ早すぎる。最先端のAIというガスペダルを踏み込み、システムを極限までチューニングする準備ができている限りは。