｢サイバー被害企業｣の盲点とは？AI攻撃が高度化する今､経営者が技術者のバイブル｢OWASP Top 10｣を知らないとマズイ訳

最近、AI 攻撃の高度化やAIによる防御の自動化をめぐる議論が過熱している。だが、そこで騒ぐ前にすべきことは、自社の弱点の強化である。世界のソフトウェアセキュリティ専門家が脆弱性データから導いた「OWASP Top 10」を、自社の弱点を映す見取り図として開いてみよう。技術部門だけでなく、経営に携わる方にこそ見えてくるものがあるはずだ。

｢AI攻撃の高度化｣騒ぐ場所はそこなのか？

先進的なAIがシステムの脆弱性を自律的に発見し、攻撃コードまで生成する。その脅威が今、盛んに語られている。

サイバーセキュリティに関する新着記事の情報などをメールマガジンでお届けします。登録はこちらから

最近のミュトスのように新たなモデルが登場すると、「危険すぎるので機能制限されたモデルとして発表」――そんな見出しが業界紙とSNSを駆け巡り、経営者の朝会では「うちが狙われたら」という声が真顔で交わされ、ベンダーは間髪を入れず「AIにはAIを」と並走する。

だが、振り返ってみると、ここ1年に国内で表面化したサイバー被害の決定打は、人智を超えたAIが見つけるような未知の脆弱性だっただろうか。

弱いパスワードの放置、廃止すべきだったシステムの残置、認証を例外的に外していたメンテナンス委託先アカウント、公開範囲設定ミス、などだ。これらは「とっくに承知済みであるべき弱点」であり、以前から繰り返し警告されてきたものばかりだ。