クラウドストライク・ホールディングス Fal.Con 1日目

この夏、皆さんも私と同じく、あるエージェントがサンドボックスから脱出したという話を読んだと思います。そのエージェントは、世界で最も重要なAI企業の一つに侵入しました。権限を昇格させ、認証情報を窃取し、大量の情報の中に本当の攻撃を埋め込みました。その後、私たちの業界はいつものように行動しました。ソーシャルメディアに繰り出し、誰の責任かを議論したのです。しかし、ほぼ全員がOpenAIとHugging Faceのインシデントから間違った教訓を引き出しました。これからの30分で、正しい教訓をお伝えします。私の考えでは、それによって私たちの業界に関するすべてが変わるからです。何年もの間、私たちは敵対者をピラミッド状に分類してきました。私はそれを「ペインのピラミッド」と呼んでいます。ハクティビストが最下層、サイバー犯罪が中間、国家主体が最上層です。もちろん、国家主体よりもハクティビストの方が多く存在します。

最上層はまさに頂点捕食者、すなわち最も優れた能力と最も高度な洗練度を表していました。最下層は数がはるかに多く、最も洗練度が低い層です。このピラミッドが存在した理由は、ただ一つでした。攻撃能力が希少だったからです。人材、ツール、インフラ、忍耐力に資金を提供するには、国家規模の力が必要でした。しかし、その希少性は終わりました。二つ例を挙げましょう。昨年11月、Anthropicは、同社のモデルを使って実際の諜報活動を行っていた国家支援の攻撃主体について公表しました。銀行、テクノロジー企業、政府など、およそ30の組織が標的になりました。その80～90％がAIによって指揮されていました。80～90％です。マルウェアの一片ではなく、実際には英語でした。そのプロンプトが、作業の大部分を実行したのです。標的の承認などのために、人間が関与したのは4～6回でした。それ以外のすべてをエージェントが行いました。これはデモではありませんでした。ラボでの演習でもありません。実際に進行中のキャンペーンでした。

7月まで話を進めると、Hugging Faceについてお話しできます。自律型エージェントが、侵入を最初から最後まで遂行しました。もう一度言いましょう。自律型エージェントが、侵入を最初から最後まで遂行しました。私にとって、これはセキュリティにおける画期的な瞬間でした。私たちは皆、エージェントがサンドボックスから脱出したと思っていました。私は個人的には、エージェント自身が自由になったと思い込んでいたのだと考えています。これは大きな違いです。今回の報告書を読んでいくと、そのことに驚かされます。この情報を公表したOpenAIとHugging Faceには敬意を表します。エージェントは誰かを攻撃していたわけではありません。テストで不正をするために、実際に情報を探そうとしていたのです。キャンペーンも、指示も、悪意もありませんでした。文字どおり、答えを探そうとしていたのです。これが、AIが活動する出発点となる水準です。今回の場合は、単にテストに合格しようとしていました。

さて、皆さんの中には7月のインシデントをご存じの方もいるでしょう。それは、ガードレールが緩められたサンドボックス内で起きました。安全システムの設定が引き下げられていました。「エアバッグが作動していなかったのだから、 それは意味がない」と言う人もいるでしょう。そう聞くと、私は逆のことを考えます。安全システムをオフにすることで、エージェントが実際に何をできるのか、その能力を知ることができます。自分自身に一つ問いかけなければなりません。敵対者が安全システムをオフにすると考えるでしょうか。私は個人的にはそうは思いません。そこには明確な理由があります。これは皆さんにとって新しい用語かもしれませんが、私が話していることと非常に関係が深いので、知っておくべきものです。「アブリテレーテッド・モデル（Abliterated models）」は、無効化するという意味の「ablate」に由来します。要するに、ガードレールが緩められたモデルです。誰でもダウンロードできるオープンウェイトモデルです。

つまり、基本的にはガードレールのない、最先端級の能力を持つモデルが手に入るということです。質問をすれば、非常に簡単に答えを得られます。質問の中には、返ってくる答えに驚愕するようなものもあります。皆さん、これは今日すでに存在しています。だから私がエアバッグはオフであり、これからもオフのままだと言うとき、私は本気でそう言っているのです。頂点捕食者、つまりペインのピラミッドの話に戻りましょう。かつては、能力が各層を分けていました。頂点捕食者は最上層にいました。時間、リソース、そして洗練度。新たな頂点捕食者はエージェントです。そろそろ図を更新しなければなりません。今や、段階は4つあります。私が言いたいのは、これはまさにエージェント国家の台頭だということです。私たちは国家主体について耳にします。

しかし、今やそれはエージェント国家です。頂点の能力がプロンプトになったとき、何が起こると思いますか。もはや層はまったく存在しません。あらゆる敵対者、あらゆるサイバー犯罪集団、あらゆる内部脅威が、今や国家主体並みの能力で活動しています。ピラミッドは完全に破壊され、平坦化されました。これが、今日の環境で私たちが対処しているものです。7月に戻って、実際に何が起きたのかをお話ししましょう。多くの皆さんがご存じだと思うので手短に進めますが、説明はします。画面にも表示されます。サンドボックスからの脱出、悪意のあるデータセット、コード実行、権限昇格、横展開、認証情報の窃取、秘 covert C2、陽動活動がありました。すべてがそこにあります。ちなみに、これはまさに国家主体による活動のように見えます。

私は皆さんに、これに関するホワイトペーパーをいくつか読み返し、エージェントがどのように通信したのか、メッセージボードで何をしたのか、どのように連携したのかを確認することを強く勧めます。1,200のエージェントが、実際には集合体のために行動していたと考えられていた、と言う人もいるでしょう。考えてみてください。実際に、共通の利益のために集合体を代表して活動していたのです。さらに詳しく見ると、人間がキーボードを操作することなく、17,000件を超えるアクションが行われています。ここで、ドロッパー、偵察、リモートコード実行、バックドアトンネリング、C2回避を確認できます。すべてがそこにあります。ちなみに、赤色で示されたものは実際に損害をもたらしました。データを窃取したものが56件、ソースコードを取得したものが69件、クラスターを掌握したものが87件です。成功した攻撃は、実際には失敗だった何千行もの記録の中に隠されていました。

ちなみに、人間には、ふるいにかけなければならなかったデータから、そのすべてを実際に見つけ出すことはできません。私は何年もの間、このようなステージに立ち、ブレークアウトと呼ばれる数値を追跡してきました。62、48、29です。昨年、私たちが確認した最速のケースは27で、これをマシンスピードと呼んでいます。私たちは間違っていました。私が間違っていました。これは、より優れたツールを使った人間の速度でした。そして、ブレークアウトタイムは終わりました。来年のレポートをどうすればよいのか分かりませんが、別の指標を出さなければなりません。なぜなら、ブレークアウトタイムはもう存在しないからです。皆さんに理解していただきたいのは、これです。今や攻撃は推論速度で発生します。考えてみてください。攻撃は推論速度で起きているのです。攻撃者が推論速度を手にすると、ブレークアウトタイムは存在しません。このような攻撃に対処する時間は、実際にはまったくありません。

このケース、つまりHugging Faceの件に戻ると、侵入は成功し、認証情報が窃取され、偽造されたIDとトークンも盗まれました。彼らは複数の内部クラスターで管理者アクセスを保持していました。これは重要な点です。攻撃を止めたのは意図でした。彼らは何をしようとしていたのでしょうか。そのエージェントたちはテストに合格しようとしていました。これは、私がサイバーセキュリティでこれまで見たことがないような形での目標追求です。本当に強力で、興味深いものです。エージェントは不正をしていましたが、損害を与えようとしていたわけではありません。はっきりさせておきましょう。その企業が被害を免れたのは、防御によってではなく、エージェントの意図によってでした。セキュリティはそれを検知し、大量の情報を生成しました。しかし、管理者にページャーで通知するほど十分なアラームを発することはできませんでした。いくらか時間はかかりました。彼らはいくつかの活動を確認しましたが、それらを全体としてどう結び付ければよいのか分かりませんでした。ちなみに、これは誰かを批判しているわけではありません。

皆さんは、素晴らしい人材を擁する高度な企業を運営していますが、精査しなければならないデータは膨大で、しかも、繰り返しになりますが、これらのエージェントは自律的に動作しています。ここからが私にとって興味深いところです。最先端AIは、実際にフォレンジック調査を行うことを拒否しました。AIによるエクスプロイトの作成を阻止したガードレールが、実際にはそのエクスプロイトを分解することも阻止しました。消防隊は建物に入ろうとしませんでした。17,000件のアクションです。何が起きたのか整理できませんでした。実際に何をしなければならなかったのでしょうか。保有していたすべてのログ情報から何が起きたのかを理解し、その後、攻撃の再構築を試みるために、自分たちでオープンウェイトモデルを立ち上げなければなりませんでした。このケースには攻撃者は存在せず、インフラをあまりにも忠実に業務遂行した正規のエージェントが、誰も認識していなかった以上のアクセス権を持っていたために、インフラを一気に駆け抜けたのです。

自分自身に問いかける必要があります。「自社の環境では何が稼働しているのか」と。把握していますか。実際に何をしているのでしょうか。誰にも分かりません。実際にどのようなリスクをもたらすのでしょうか。これは仮想上の脅威ではありません。実際に起きたことです。繰り返しになりますが、実際に損害を与える意図がなかったため、業界としては運が良かったのだと思います。このインシデントは、自社の内側に何が存在するのかを大きく浮き彫りにしています。エージェントの実態は境界の外側にあるのではありません。実際には、皆さんの給与台帳に載っています。ただ、その名前を知らないだけです。驚くべきことはここです。皆さんの企業や皆さん自身、そして組織が、それらをすべて招き入れたのです。以前のモデルは、全員を締め出しておくことでした。今は、全員を招き入れることです。それが現在の状況です。私たちはそれらを把握できず、追いつくこともできず、しかも防御側のためのAIを誰も構築していません。AIは新たな戦場です。

このカンファレンスを通じて、当然ながらこの話を何度も耳にすることになるでしょう。15年前、私は皆さんに、エンドポイントが戦場だと話しました。その後はアイデンティティ、次にクラウドとなり、そして現在、AIが新たな戦場です。コンピューティングが新たな攻撃対象領域を生み出すたびに、Falconはお客様である皆さんとともに成長してきました。皆さんが勝つために必要としたのと同じプラットフォーム、同じセンサー、同じ武器を、私たちは提供してきました。私たちは、世界で最も重大な攻撃対象領域の変化のいくつかに対応してきました。そして次に来るのがAIエージェントです。本日はAIDR、AI Detection and Responseについてお話しします。Falcon Guardianをローンチします。これには本当に興奮しています。これは、私たちが取り組んできたものの一つです。

私自身、チームとともにこれに取り組み、お客様からフィードバックを得るために多くの時間を費やし、お客様が何を求めているのかに耳を傾け、基本的には、お客様が自社のリスクを理解し、何が稼働しているのかを把握できるだけでなく、より重要なこととして、自社組織におけるAI導入の加速にも役立つものを提供しました。