AWS CISO: GenAI は単なるツールであり、万能薬ではない

Chris Betz 氏は、サイバーセキュリティにおける GenAI の役割について恐れたり、過度に楽観的になったりはしていません。AWS CISO の Betz 氏は、その両方のバランスを取り、他の新興テクノロジーと同様に扱っています。

「いずれにせよ、空が落ちてくるかどうかはわかりません」とベッツ氏はインタビューで語った。

セキュリティ業界では、脅威の主体が GenAI を使用して、より迅速に、より頻繁に、より壊滅的な結果をもたらすサイバー攻撃を開始するのではないかという広範な懸念の証拠はまだ見つかっていない。

CrowdStrike の年次グローバル脅威レポートによると、研究者は AI が防御側と攻撃側に与える影響を増大させると予想しているものの、脅威アクターが AI を運用する範囲は限られているという。 「2023年を通じて、GenAIが悪意のあるコンピューターネットワーク操作の開発や実行を支援しているという観測はほとんど行われないだろう」と同社は先月の報告書で述べた。

ベッツ氏によると、GenAI によってもたらされる利点が防御側に属するのか、攻撃側に属するのかを判断するのは時期尚早だという。脅威アクターとセキュリティ専門家は、このテクノロジーを有利に利用しています。

防御面では、GenAI は問題をより迅速かつ効率的に解決できます。企業は AI を使用して、見つけにくい脆弱性をスキャンし、修復手順を特定できます。

「セキュリティアナリストが理解する必要のある情報は膨大にあり、アプリケーションセキュリティエンジニアが理解する必要のある情報も膨大にあります。それらを統合し、質問に答え、適切なデータを導き、見つけ、すべてを使いやすい形でまとめる能力は、防御側にとって非常に強力です」とベッツ氏は語った。

「それは、攻撃者が全員同じ場所にいるわけではなく、攻撃対象に関する豊富なデータを持っていないことが原因である可能性があり、そのため防御側に有利に働く状況になる可能性がある」

AWSがGenAIに参入

他のクラウド大手である Microsoft Azure や Google Cloud が GenAI ベースのサービスの拡大に躍起になっている一方で、AWS は慎重なアプローチを取っています。同社の幹部は GenAI の能力を誇張したがらないが、Amazon はすでにこの技術をベースにした製品をいくつかリリースしている。

世界最大のクラウド インフラストラクチャ オペレーターは、GenAI とそれを中心に構築された製品を、AWS が他のテクノロジーと同じ基本原則を適用することを要求するツールとして紹介しました。ベッツ氏は、一貫したデータガバナンスモデル、アイデンティティとアクセスの管理、ログ記録と追跡可能性が重要であると述べた。

GenAI についてクライアントと交わす会話は、テクノロジーを安全に使用して業務を改善し、アプリケーションを構築する上で企業が直面する予期せぬリスクと機会を中心に展開されることが多いです。

一方、ベッツ氏は、攻撃者も今では同じツールにアクセスできると述べ、「サイバーセキュリティやテクノロジーの世界ではいつもそうである。だからと言って、ここで懸念すべき本当の脅威がないということではない」と語った。

ベッツ氏によると、脅威アクターは GenAI のソーシャル機能と高速コード開発特性から大きな利益を得ることができるが、この結果は決定的でも不可逆的でもない。 「今はとても読みにくい」とベッツ氏は語った。

重要なのは、GenAI の機能が、他の AWS テクノロジーの完全性、機能、信頼性を超える形で提供できることだと同氏は言います。

「これは道具箱の中の道具の 1 つです。唯一の道具ではありません。世界を変える魔法の杖ではありませんが、クールな使い方ができます。私は相対的な利点を見つけようとするよりも、実際に使うことに重点を置いています。これは重要な道具なのです。」