オープンモデルそのものを危険視しているわけでもない。宮川氏は別のデモで、中国発のオープンモデルを「日本の企業が一番多く採用している」と紹介した。日本企業はむしろオープン化の恩恵を受ける側にいる。問題はモデルが公開されること自体ではなく、攻撃という危険な用途が管理の外に出ることにある。そして孫氏の言う通り流れが止められないのなら、いずれ出てくる前提で備えるしかない。
「ワクチン接種」としての脆弱性診断
では、企業は何をすべきか。宮川氏の答えは、システムを作り替える「モダナイゼーション」だった。人間中心で設計されてきたシステムを、AI前提の設計・運用・コードへ刷新する取り組みだ。
宮川氏は講演の冒頭で、150年余り前のシカゴ大火を引いていた。焼け野原になった街は、燃えた建物を建て直すのではなく燃えない構造の都市へ作り替え、後の摩天楼都市へと発展した。企業のシステムも、攻撃されてから復旧するのではなく、止まらない基盤へ作り替えるべきだという主張だ。「対岸の火事ではない」とも語った。グループ会社のアスクルがランサムウェア攻撃で受注・出荷業務を止めた実害に、自ら触れてのことだ。
効果は先のECサイトで実証済みだ。同じシステムをモダナイズして再び攻撃させると、今度は侵入できなかった。ただ、システムの全面刷新には時間がかかる。その間の応急策が、6月に発表した「Patching as a Service（PaaS）」だ。AIで脆弱性を洗い出し、優先順位をつけて修正パッチを当てる。宮川氏はこれを「ワクチン接種に近い」と表現した。攻撃されてから治療するのではなく、先に弱点を見つけて耐性を作る発想だ。
反響は数字に表れている。PaaSを発表した6月16日のイベントには約150社が招かれ、うち137社が診断を要望した。すでに約50社の診断が完了し、商用システムの標準的な規模にあたるソースコード1000万行あたり、平均280件の脆弱性が見つかった。25％は早急な対応が必要な高リスクだった。重要インフラを担う企業ばかりの結果に、宮川氏は「少し驚いた」という。ソフトバンクは7月14日、提供対象を3000社へ広げて本格提供を始めた。技術者1000人規模の体制で支える。
孫氏の描いた「止められない」進化は、経済成長の物語であると同時に攻撃力の拡散でもある。壮大なビジョンとサイバー防御という一見かけ離れた2人の講演は、この一点でつながっていた。宮川氏は「素早い実行こそ最大の防御になる」と講演を締めた。防御側に残された時間は、宮川氏の見立てが正しければ、数カ月という単位で刻まれている。
