AIは脆弱なOTセキュリティの最後の言い訳を奪い去った

何十年もの間、発電所、浄水施設、病院、通信ネットワークを運用する操業技術（OT）は、暗黙の防御に頼ってきた。それは、少数のエンジニア以外の誰もこれらのシステムがどのように機能するかを理解していなかったというものである。難解なプロトコル、独自仕様のハードウェア、ベンダー固有のソフトウェアが知識の壁を生み出し、ほとんどの攻撃者を締め出していた。それはシステムが安全だったからではなく、理解しにくかったからだ。

その壁は消えた。OTセキュリティの現状に関する最近の報道によると、AIツールによって、犯罪者は何年もの専門訓練を受けることなく、かつては難攻不落だったこれらのブラックボックスを理解し悪用することが可能になった。「隠蔽によるセキュリティ」、つまりシステムの内部動作を解明するのが難しいというだけで安全であり続けるという考え方は、AIモデルがその解明を代行できる時代にはもはや通用しない。

なぜ隠蔽はそもそも本当のセキュリティ戦略ではなかったのか

隠蔽によるセキュリティは、意図的な設計上の選択としてではなく、複雑さの副産物として機能していた。OT環境は、現代のITネットワークと同じ厳格さでセキュリティが構築されたことは一度もなかった。何年も、時には何十年も安定して稼働するために作られ、悪意ある意図を持つ誰かがアクセスした場合にどうなるかについては、ほとんど考慮されていなかった。

これらのシステムを安全に保っていたのは、強固な認証や暗号化ではなかった。多くのIT専門家を含め、ごく少数の人しか関与する独自プロトコルやレガシーハードウェアを解釈する方法を知らなかったという単純な事実だった。OTシステムを標的にしたいハッカーは、習得に何年もかかる深い専門知識を必要とした。その要件が自然のフィルターとして機能し、攻撃可能な人材の層を小さく保っていた。

AIはそのフィルターを事実上消し去った。攻撃者はもはや自分自身がOTの専門家である必要はない。人間の専門家が理解するのに何ヶ月もかかるようなシステムを、AIツールを使って分析し、解釈し、リバースエンジニアリングできる。これは、重要インフラに対する破壊的攻撃を実行できる人々の母集団が劇的に拡大したことを意味する。これらのシステムの根本的な脆弱性は何一つ変わっていないにもかかわらず。

なぜこれがサーバールームの外でも重要なのか

OTセキュリティを公益企業や製造業者の問題であり、日常生活には関係ないと考えるのは簡単だ。しかし重要インフラへの攻撃は、消費者に直接影響を及ぼす。送電網、水道システム、病院、通信事業者はすべてOT基盤の上に構築されており、そのいずれかへの混乱は日常生活に波紋を広げる。医療処置のキャンセル、長時間の停電、緊急サービスの遅延、通信の途絶などである。

AIをOTシステムにとって危険にしている同じパターンは、多くの組織が依存する日常的なソフトウェアにも当てはまる。広く使われているツールにセキュリティ上の欠陥があると、攻撃者は素早く動き、ますます深い専門知識を必要としなくなっている。脆弱性が公表された後に見られる迅速な悪用、例えばPaperCutゼロデイ脆弱性が悪用された際に必要とされた緊急対応は、人間の調査であれAI支援による発見であれ、弱点が特定されると攻撃者がどれほど迅速にそれを利用するかを示している。

AIが難解なシステムを攻撃するための技術的ハードルを下げるにつれ、重要インフラを運用する組織は、エンタープライズITが何年も前に学んだのと同じ教訓へと押し出されている。セキュリティはアーキテクチャ自体に組み込まれなければならず、システムが理解しにくいからといって当然視されてはならない。

これがあなたにとって意味すること

ほとんどの読者は送電網や病院のOTネットワークのセキュリティを守る責任はないが、隠蔽によるセキュリティからの脱却は依然としてあなたに影響する。重要インフラの提供者が攻撃を受けると、その影響はサービス停止、請求の混乱、医療の遅延、あるいはそれらの組織が収集した個人データの漏洩として現れる。あなたがOT層に直接触れることがなくても、これらすべてのシステムの下流の利害関係者なのである。

個人的なレベルでも、この広範な傾向は重要だ。AIは産業環境に限らず、あらゆる場面で攻撃者のスキル障壁を下げている。フィッシングはより巧妙になり、マルウェアはより簡単にカスタマイズでき、個々の標的への偵察はかつてないほど迅速になっている。かつて一般ユーザーを守っていた隠蔽、つまりデジタルの足跡が小さいこと、あまり一般的でないソフトウェアを使っていること、あるいは単に明らかな標的でないことは、OTシステムと同じように侵食されている。

AI主導の脅威環境における実践的ステップ

発電所にパッチを当てることはできないが、自分自身の露出を減らし、依存するサービスに説明責任を求めることはできる。

  • 機密アカウントにアクセスする際、特に共有または公共ネットワーク上では、VPNと暗号化接続を使用して、攻撃者が観察または傍受できるものを制限する。
  • 脆弱性が公知になるとAI支援攻撃者は迅速に動くため、ソフトウェアとファームウェアを速やかに更新する。
  • 提供されているすべての場所で多要素認証を有効にする。これはAI主導の推測が容易に回避できない数少ない防御の一つであり続けている。
  • 利用している公益企業、医療提供者、通信会社からの侵害通知や停止通知に注意を払い、影響を受けた場合は推奨される手順に従う。
  • スマートホームや接続デバイスを評価する際には、ネットワークセグメンテーションとアクセス制御について質問し支持する。隔離されたシステムは、攻撃者が侵入しても移動できる範囲を制限するからである。

隠蔽によるセキュリティは、公益企業の運用者から個人ユーザーまで、誰にとっても実行可能な代替手段ではなくなった。AIは、かつて誤解されることに依存していたシステムをマッピングし、解釈し、悪用することをあまりにも容易にした。システムが隠され続けることを願うのではなく、真正のセキュリティ制御を構築することで適応する組織は、次に来るものに耐えるためにはるかに有利な立場に立つだろう。