コラム第８６０号：「サイバー脅威インテリジェンスにおける人間と生成AIの相互補完関係」
第860号コラム：名和 利男 理事（株式会社サイバーディフェンス研究所 専務理事／上級分析官）
題：「サイバー脅威インテリジェンスにおける人間と生成AIの相互補完関係」
現代のサイバー攻撃は、その巧妙さと多様性から、従来のシグネチャベースの防御だけでは太刀打ちできない局面が増えています。企業や政府機関では、攻撃者の隠れた痕跡を早期に発見する「脅威ハンティング」に注力する中で、膨大なログデータやネットワークトラフィックから有効な手掛かりを抽出する作業が急務となっています。こうした状況下で、近年急速に進化を遂げた生成AIの活用は、まさに時宜を得た技術革新といえるでしょう。生成AIは、膨大なデータの中から微細なパターンを抽出する力と、人間の直感や経験に基づく判断力を補完し、サイバー脅威インテリジェンスの現場で大きな効果を発揮しています。
生成AIによる脅威ハンティングの自動化
私たちが直面する課題は、膨大なセキュリティログや各種脅威情報の中から、本当に危険な兆候を抽出する作業の膨大さです。たとえば、米国CISAでは教師なし学習を応用し、テラバイト規模のデータから通常とは異なる通信パターンを自動で検出するシステムを導入しています。こうしたシステムにより、手作業で数日かかる作業が数十分に短縮され、専門家はより深い分析や対策の立案に注力できるようになりました。また、生成AIは脅威レポートの自動要約や、SigmaやYARAといった検知ルールの自動生成にも寄与しており、これまで人力で構築していたクエリ作成の工程が大幅に効率化されています。Microsoftが展開するSecurity Copilotは、GPT-4を基盤とした対話型アシスタントとして、SOC（セキュリティオペレーションセンター）の現場でリアルタイムの支援を行い、迅速なインシデント対応を実現しています。
以下は、サイバー脅威インテリジェンス領域における生成AIの具体的な活用例をまとめた表です。
| ユースケース | 内容・効果 | 導入例 |
| 異常検知・パターン発見 | 大量のログやネットワークデータから、通常とは異なるパターンを抽出し、未知の攻撃兆候を自動検出。 | 米国CISAが教師なし学習を活用し、テラバイト規模のデータから異常を検出。 |
| 脅威インテリジェンス分析 | 複数の脅威情報（レポート、ダークウェブ投稿、IOCなど）を統合・相関分析し、重要な脅威を抽出。 | Googleが生成AIモデル「Gemini」を活用し、膨大な脅威情報を解析して関連脅威を浮上。 |
| レポート・要約自動生成 | 脅威レポートやインシデントの詳細を自動要約し、理解しやすい形式で報告書を生成。 | Silobreaker社が生成AIを用い、迅速な脅威報告書の自動生成を実現。 |
| 検出ルール・対策案の生成 | 過去の攻撃情報から新たな検知ルールや防御策を自動生成し、迅速な対応策の立案を支援。 | 研究プロジェクト「LLMCloudHunter」によるSigmaルールの自動生成の試み。 |
| アナリスト支援（SOCコパイロット） | SOCの担当者に対して対話形式で分析支援や手順ガイドを提供し、迅速な意思決定を支援。 | MicrosoftのSecurity CopilotがGPT-4ベースでアナリストをサポート。 |
人間と生成AIの相互補完的な関係
セキュリティの現場で、生成AIが持つ高速なデータ解析能力は極めて有用ですが、その出力結果をどのように解釈し、適切な対応に落とし込むかは、依然として人間の専門知識に依存しています。AIは膨大なデータから「異常」を検出する際、数値的な変化やパターンの偏差を指摘するに留まります。しかし、実際の業務現場では、その「異常」が本当に攻撃を意味するのか、単なる業務上の変則なのかを見極める必要があります。たとえば、通常時の業務プロセスにおいて生じる一時的な負荷増加や、定期的なバッチ処理の結果としてのデータの変動は、必ずしも脅威と捉えるべきではありません。このような文脈理解と最終判断は、経験豊富なセキュリティアナリストの領域です。
現場では、生成AIが示すアラートや要約をもとに、まずは「一次検知」としてAIの結果を精査し、その後、必要に応じて詳細な調査を行います。このプロセスは、いわゆる「二重チェック体制」として機能し、誤検知や見逃しのリスクを低減しています。さらに、アナリストがAIの出力に対してフィードバックを提供する仕組みを整備することで、システム自体も継続的に改善されていくという好循環が生まれます。こうしたフィードバックループは、単なる自動化ツールから、まさに現場の「コパイロット」として生成AIが進化する鍵となるでしょう。
また、攻撃手法は日々進化し、ゼロデイ攻撃や新種のマルウェアなど、事前に学習データに含まれていないケースが増加しています。こうした未知の脅威に対しては、AI単独の判断では限界があり、人的な直感や業務上の知見が不可欠です。実際の脅威ハンティングでは、AIが提示する数値データやパターン情報を基に、アナリストが攻撃者の意図や攻撃キャンペーンの全体像を推測し、最適な対策を講じる流れが確立されています。つまり、生成AIが得意とする「大量データの瞬時解析」と、専門家が培った「文脈理解・戦略判断」が相互補完することで、セキュリティ体制全体がより堅牢なものとなっているのです。
生成AIの運用にあたっては、データの品質管理やAI自身への攻撃リスクへの対策も重要です。AIが誤った学習結果を出すリスクに対しては、アナリストがその出力を常に監視・検証し、必要に応じてモデルの再学習やパラメータの調整を行うなど、運用面での継続的な改善が求められます。こうした運用体制は、組織全体でセキュリティ意識を高めるとともに、日々変化する脅威に柔軟に対応するための必須条件です。
総じて、人間と生成AIが相互補完的に連携する体制は、単に自動化の恩恵を受けるだけでなく、現場での最終判断や戦略策定において、より深い知見と柔軟性を提供します。これにより、攻撃者の巧妙な手口にも迅速かつ的確に対応できるセキュリティ基盤が構築されるのです。
最新技術動向と今後の展望
実際、Microsoft Security Copilotの登場など、生成AIを活用したセキュリティソリューションは既に実用化され、業界内で大きな注目を集めています。さらに、LLMを活用した検知ルールの自動生成や、AIエージェントが多段階で計画・実行・評価を行う「チェーン・オブ・エージェント」的手法など、先端研究も次々と発表されています。これらの技術革新により、今後も人間とAIの連携は深化し、未知の脅威への迅速な対応や、より高度な攻撃予測が可能となることが期待されます。
まとめ
サイバー脅威ハンティングにおいては、生成AIの持つ高速なデータ解析能力と、熟練したセキュリティ専門家の豊かな経験・直感が、相互に補完し合うことで、従来の手法では捉えきれなかった脅威の兆候を効率的に検出できるようになっています。自動化によるスピードと、現場での判断力が融合することで、攻撃者の巧妙な戦略にも迅速に対抗できる体制が整備されつつあります。今後も、技術の進化と現場でのフィードバックを通じて、このハイブリッドな防御体制はさらに強固になり、サイバーセキュリティの未来を切り拓く鍵となるでしょう。
【著作権は、名和氏に属します】
