今年は、なかなかの梅雨らしい雨続き。ちょっと、うんざりしかけていたところだったが、ようやく少し改善の兆し。昨日、今日と、青空が見えて、天候が回復。でも、湿気をたっぷり吸い込んだ森は、気温が上がると蒸し暑くなる。午後には天気が不安定になり、降らないまでも曇り空が戻ってくる。まぁ、天気がいいと歩こうというモチベーションは高まるから悪くない。木漏れ日の中、こんな草花を見ながら歩くのは悪くない。

ずっと見えなかった「お山」も、昨日はようやく姿を見せた。

空には下弦の月。薄雲の隙間にみつけた。

そう言えば、これも本業ネタだが、昨年ランサム攻撃を受けたアサヒグループホールディングスの決算が、ようやく出てきた。純利益で37％の減益。サイバー攻撃の影響は、営業利益ベースで400億円弱（日経）らしい。流石の大企業、それでも純利益で1200億円超稼いでいるから大したものだ。しかし、影響は小さくない。利益の3割以上を失ったことになるからだ。同時期に攻撃を受けたアスクルも、黒字ではあるが、前年実績の半分以下にとどまっている。いずれも大企業だから屋台骨は揺るがなかったのだが、中堅、中小だとそうはいくまい。忘れてはならないのが、これらの企業の業務停止が社会に与えた影響である。両社とも、顧客や消費者に少なからぬ影響が出た。企業としての信用も大きく損なわれただろう。会社の経営者は、そうしたリスクを頭に置いて、セキュリティへの投資を考えていく必要があると思うのだ。

さて、そうこうしている間に、西の方はもう梅雨明け宣言が出た。関東はまだしばらくかかりそうだが、週間予報を見ていると、来週あたりには明けそうな気がする。既に、あちこちで警報レベルの暑さになっている。このあたりでも、今日の最高気温は25℃越え。別宅でも（あまり効かない）簡易型のエアコンを引っ張り出した。湿気が多く、除湿機をぶんまわしていると室温がどんどん上がっていくから、エアコンに変えた次第。気温はほとんど下がらないのだが、湿気が減ってくれるから、よしとする。

夏本番も間近である。

色々と不穏な情勢、せめて猫分を補給して癒やされたいのだが、色々なニュースが追い討ちをかけてくる。そう言えば、先日、米国のCISA:Cybersecurity Infrastructure Security Agency（サイバーセキュリティ・インフラストラクチャ・セキュリティ庁とでも訳すか）が、政府機関向けの新しい脆弱性対応基準を発表した。段階的な移行を180日以内に終わらせろという話なのだが、その内容がなかなか厳しい。先にも書いたが、AIによって脆弱性が大量に発見され、修正パッチの大量発生が予想される中で、リスクを評価して優先順位をつけ、リスクの高い物から迅速に処理せよとのことなのだが、リスクの評価軸は以下の4つ。① 脆弱性を持つ資産（機器）がパブリックなネットワーク（たとえばインターネット）に接続されているかどうか。② 脆弱性を悪用した攻撃が実際に発生しているかどうか。（CISAのKnown Exploited Vulnerability: KEVリストに登録されているかどうか）③ 攻撃を自動化出来る脆弱性かどうか。④ その脆弱性を悪用することで、コンピュータの制御を完全に奪えるかどうか。この4軸で評価して、リスクが高いと判断されるものは、脆弱性の公表から3日以内に対策せよ、ということである。なお、特にリスクが高いものは、3日以内の対応に加え、既に侵害されていないことを確認（フォレンジック調査）せよという。先に、「Mythosだけが脅威か」でも書いたのだが、攻撃側がAIを使う前提に立てば、今後、脆弱性は公表時点で攻撃が始まっている、いわゆる「ゼロデイ」となる可能性が極めて高くなる。なので、実際に3日で対応したとしても、既に侵害されている可能性は低くないわけで、その前提で対処しろ、ということだ。少し前までの常識だったら、運用を無視したとんでもない要求と言われかねない話なのだが、これが現実ということなのだろう。よく出したなと思う反面、それだけの危機感が根底にあることが伺える。少なくとも、これまでの人手に頼った脆弱性管理プロセスでは、まったく間に合わないから、脆弱性情報の収集から評価、優先順位付け、そしてパッチの検証（これが一番厄介だ。パッチを当ててシステムが不具合を起こしたら元も子もないので・・）、適用までのプロセスを可能な限り自動化しなければいけなくなるだろう。今のところ、これをすべて自動化出来るソリューションはないから、開発するとかせざるを得ないだろうと思う。まぁ、ソリューションベンダにとってはビジネスチャンスだから、近いうちにあれこれ出てくるだろうが、気をつけなければいけないのは、全体を一気通貫でサポートするソリューションが必要なことだ。中途半端な自動化では、役に立たない可能性が高い。当然ながら、対象となる組織の環境も大きなパラメータになる。さて、そんなソリューションを提供できるベンダはどれだけいるだろうか、それが一番の危惧かもしれない。いずれにせよ、米国（政府）はその方向に舵を切った訳だ。日本も含めた他の国はどうするのか。はたして、そこまでの危機感を持って取り組むことが出来るだろうか。一方で、米国の政府機関はこれに対応できるのか・・・。しばらく目が離せない状況になっている。

そんなことを考えていたら、今日また新しいニュースが飛び込んできた。某帝国政府（敢えてこう書くのだが）が、Anthropic社の最新AIモデルを安全保障上の理由から、国内外を問わず外国人に使用させるなと言うお達しを出したそうだ。当然Mythosも含まれるし、悪用対策を講じていると言われる最新のモデルも含まれる。そういえば、日本政府はMythosの使用権を得たことを成果としていたのだが、それもご破算になった形である。これが、T王陛下の差し金かどうかは別として、この措置が、期待どおりの効果を持つかどうかは疑問だ。問題になるのはAnthropicだけではないからだ。今後、他のAi事業者にも同じ事を要求するのか。これは全面的なAI禁輸になりかねないし、他国はおろか、帝国の民間ビジネスにも悪影響を及ぼすだろう。一方、帝国に敵対する国家は、そんな措置は織り込み済みだろうし、それこそ国家レベルで自前のAI開発に邁進しているはずだ。結果として、この措置は帝国側の同盟国のパワーを損なってしまう可能性が高い。まぁ、このところの帝国の政策すべてがそうなのだが・・・、結果として世界的なAIの軍事利用競争に火をつけてしまいかねないと危惧する。AIの技術もさることながら、今でも不足しているインフラやそれを構成する半導体などの資源を各国が囲い込み出せば、その影響は計り知れない。間違ってもそんな方向へ行かないことを祈るばかりだ。

さておき、そんな今朝は久しぶりの快晴。とりあえず、散歩して気分を変える。

今朝は久しぶりに全体が見えた「お山」。昼間に気温は一気に上がって⑳℃越えとなった。

今日は、またアニメの一気見にハマる。そろそろ今シーズンのアニメが終盤に近づいているので、先シーズンまでの、気になっているアニメは今のうちに観ておきたい。最近、毎週1話ずつ観る（で、また一週間待つ）というのがまどろっこしいというか、我慢出来ないので、アニメはためておいて、シーズンが終わってから一気に観ることにしているのである。まぁ、そんな感じで現実逃避の土曜日。午後から天気は下り坂。夕方には一時、雷雨になった。まだ梅雨のさなか、天候は不安定である。世界情勢も不穏な状態が続いているが、大きな嵐にならないことを祈りたい。

梅雨だからと出不精になってしまっては、運動不足になる一方なので、傘をさして頑張って歩くのだが、気分的にはイマイチ冴えない。

猫たちも、濡れないように建物に避難中。

時期的に、こういう奴が、あちこちでぶら下がっているので、散歩は要注意。一昨日は頭についているのに気がつかず、夜、いきなり落ちてきて、かなり寒い思いをした。（苦笑）

昨日、今日はちょっと梅雨の中休み。朝から青空が見える天気。でも、午後はちょっと天気が不安定になる。昨夜は気温も下がって8℃くらいまで下がったのだが、室内は13℃くらいで、寝冷えもせずにすんだ。今朝はこんな感じで、うろこ雲。上空は風があるのか、雲の流れは速い。

天気がいいと朝の散歩も気持ちがいい。ただ、油断していると毛虫を食らってしまうので、気が抜けない。

山にはまだ少し雲がかかっている。でも、この時期「お山」は見えないことの方が多い。

今日は、書き物仕事などをしながら過ごしたのだが、午後には天気が悪化してしばらく雷雨になった。夕方買い物に出る頃には雨は上がっていたのだが、明日にかけてはまた梅雨空が戻ってきそうだ。

さて、しばらくは湿っぽい季節が続くのだが、気分が湿っぽくならないようにしなければいけない。何か明るい話題でもあるといいのだが・・・。

つまり、基本的なセキュリティ対策、施策と、そのスキームを再確認せよ、ということなのだが、これでは、これまでの方向で問題無いと受け止められかねない。

なぜ、こういう内容になったのかを考えて見ると、問題は大きくわけて二つある。ひとつは、AI時代においても、攻撃を受ける側がセキュリティのためにすべきことの大枠は変わらないということ。この文書は、すなわち、そういうことを再確認しているにすぎないわけだ。一方で、AIがサイバー攻撃に使用されることで、それぞれの対策の中身は大きく変わるだろう。まず、すべてにおいて、大幅なスピードアップが必要になる。さらには、より技術的に高度かつ動的な対策が必要になる点だ。この理由は先の記事で書いている。しかし、それは、現状でAIが依然として加速度的な進化の途上にあることを考えれば、具体的にどうすべき、というのは難しい。言ったところで、それは現時点でのスナップショットに過ぎず、数ヶ月後には大きく変わっている可能性があるからだ。

実際、我が国に限らず、AIに関しては、各国共に苦労している。そもそも、国としての検討プロセスがAIの進化にまったく追いついていないからだ。たとえば、有識者を集めて半年で結論を出したとして、それを公表するのにまた数ヶ月・・。公表されたころには状況が一変している可能性が高いから、また、やり直しになってしまう。それでも、米国やEUは、多少なりともAIに踏み込もうとしてるように見えるが、我が国政府のこの文書を見る限りにおいては、詳細に踏み込むことを諦めてしまったように見える。それでも、何かを出さないといけないから出した・・・、申し訳ないがそう見えてしまうのだ。具体策が書けないなら、AIに対して、先に書いたようなリスクがある点を明示し、企業みずからが、対策プロセスのスピードアップと高度化を（危機感を持って）進める必要があることを説くべきではなかったのか。そう思うのである。

昨日の白浜シンポの講演でも、AI法制はいまだ基本法レベルに留まっていて、具体的な施策に落とし込めていないという話があったが、これは、まさにそういう理由だし、各国共に苦労している部分だ。しかし、AIの進歩はそれを待ってくれない。であれば、それぞれの組織が、自分で出来ることをどんどん進めていくしかない。インフラや金融、行政といった分野では、国の指針をもとに施策を進めるという文化が根強い。裏を返せば、「国がやれと言うからやった」という受け身の文化である。これからの時代、この形はもう成り立たない。方針が落ちてくるのを待っていたら、それまでの間に侵害を受けてしまう可能性が非常に高いのだ。こうした文化を変えていくことこそ、AI時代のセキュリティに必要なことなのだろう。

落葉樹の葉がだんだん濃くなって、散歩道の日陰もだいぶ増えた。別荘地もそろそろ夏モードだが、そんな中、今は鮮やかな色のヤマツツジが見頃になっている。

猫にとっても、今が一番いい季節だろう。この薄茶白もあちこち歩き回って活発だ。

近所のグリーンプラザホテルの庭も、すっかり緑になった。

で、そんな景色を見ながら、私は温泉へ。ゴルフ場がオープンしているので、平日でもそれなりに客はいるのだが、とりあえず、空いていそうな時間を狙って浸かりに行く。

このところ、夜の冷え込みも弱まっているが、それでも天気のいい夜は放射冷却で、5℃前後まで冷え込む。なので、朝の1時間くらいはまだ暖房が欲しい。昼間は、一気に気温が上がって、今日も軽く20℃越え、昼には夏日目前まであがった。まぁ、下界はそろそろ真夏日になる所もあるくらいなので、まだずいぶんマシではあるのだが、寒暖差が大きいのでちょっと調節が難しい。

今日も、朝飯前に4000歩ほど歩く。午前7時台はまだ気温も低めで気持ちがいい。

朝飯の後、少しゆっくりして、また11時頃から歩いたのだが、もう気温が20℃を越えていて、ポロシャツ腕まくりで問題ない。帽子をかぶった頭が汗でベタベタになるくらい。そろそろ水分補給に注意しないといけない。そんなペースで、今日も昼過ぎには10000歩を歩いてしまう。ちょっと歩きすぎかもしれないが、昼前にノルマ（笑）をこなしてしまえば、あとはゆっくりできるので・・・。午後、早めに買い出しに行き、それから少し仕事などしていたら、もう夕方。少しだけ歩いていたら、また茶白と遭遇した。

こいつは、うちの別宅界隈も縄張りにしているらしく、近くでもよく見かけるのである。さて、明日は月曜。来週木曜から、いつもの白浜シンポジウムで南紀白浜へいくのだが、その前にいつ横浜に戻るか思案している。明日戻るか、直前の水曜に戻るか。このところ、ほとんど別宅に根が生えているので、そろそろ横浜も郵便物とか心配である。まぁ、どちらにするかは、明日の朝の気分で決めることにしよう。

発端は、Mythos（日経などのメディアはミュトスと呼んでいるが、「ミュ」にはちょっと違和感があるので、私はミトスと呼ぶ）が、これまで発見されていなかった大量の脆弱性を様々なソフトウエアで発見した（と言われている）こと。おそらく、コード解析によるものだと思うのだが、これを皮切りに、大量の脆弱性が短期間に発見され、対応が追いつかなくなる可能性が最も大きな懸念点である。一方、先にダークサイドがこうしたAIを使って脆弱性を見つけ出し、修正前に攻撃を仕掛けてくることも懸念されている。

Anthropic社は、こうした懸念から、Mythosを正規のソフトウエアベンダなど、信頼がおける相手のみに限定公開しているのだが、こうした問題はMythosに限らない。最近Mythosばかりがクローズアップされているのだが、他のAIでも同様のことは可能だし、性能面のギャップもすぐに埋まっていくだろう。こうした大規模な高性能AIばかりでなく、オープンソースのモデルを使った、デスクトップレベルでのAIでも、少し高性能のハードウエア（GPUなど）を使えば、そこそこの性能は出せると、先日のBlackHat Asiaで、元Open AIの研究者が述べていた。つまり、この問題はMythosだけでなく、AI時代の脆弱性管理やシステム防御のあり方そのものに大きな課題を提起していると言えるだろう。

先に述べたように問題はいくつかある。まず、短期的には、Mythosのような高性能AIを使って、ソフトウエアベンダやオープンソースコミュニティー、研究者などが、過去のコードに大量の脆弱性を発見することで、その修正や、運用現場でのパッチ（修正されたソフトウエア）の適用が追いつかなくなることだ。コードの修正は、いっそAIにやらせれば効率が上がるだろうが、パッチの適用は簡単ではない。被害が懸念されるシステムはその多くがミッションクリティカルなシステムで、可用性の要求レベルも高い。パッチがリリースされたからと言って、すぐに停めてインストール、というわけにはいかない。まして、これまでも、パッチによる不具合は頻繁に発生しているから、たとえばバックアップのシステムに適用してきちんと動くかどうか検証する必要がある。大規模なシステムでは、多くの場合このプロセスに数週間から数ヶ月をかけているのが実情だ。

AI時代を念頭におくならば、こうしたプロセスは大幅に短縮する必要がある。こうした脆弱性は、同じようにダークサイドによって発見される可能性が高く、その脆弱性を攻撃するコードもAIに生成させることができるため、多くの脆弱性はパッチリリースと同時かそれ以前に攻撃が始まる「ゼロデイ」脆弱性になる可能性が高い。これが第二の問題だ。この状況は今後しばらくは悪化するだろう。パッチがリリースされてから、それが適用されるまでの期間、システム（特に、外部などから攻撃を受けやすい環境にあるシステム）は攻撃を受けるリスクに晒されることになる。たとえば、パッチの検証から適用までを自動的に行うシステム（これもAIがらみになるだろう）があったとしても、即日適用は難しいだろう。こうしたプロセスにはガバナンス面で、要所要所に必ず人間が介在するように設計されているからだ。AIが十分に信頼出来るようになれば、こうした問題は改善出来るようになるかもしれないが、それにはまだ時間がかかる。当面は、パッチが適用されるまでのあいだ、攻撃の兆候を監視して、防御するという「臨戦態勢」が必要になる。これも、人間がやっていたのでは限界があるから、AIの出番になりそうだ。複数のシステムに大量の脆弱性が存在し、それに対して動的に防御するというのは簡単ではない。まして、攻撃を受ける可能性があるシステムがどこに存在しているのかを十分に把握出来ていなければ、防御すべき対象から漏れるシステムが出る可能性もある。いわゆる攻撃対象領域管理（Attack Surface Management）や脅威暴露管理（Threat Exposure Management）が普段から出来ていないと、対応が難しくなる。

最も深刻な問題は、こうした対処に必要なリソース（特に専門的スキルを含めた人的なリソース）が膨大になることだ。リスクベースで、リソースを優先配分するにしても、おそらく絶対的にリソースが足りなくなり、防御が手薄になるシステムが少なからず生じてしまう。この問題も、おそらくAIに頼って、自動化、効率化することが必須となるだろう。つまり、AI時代には、守る側もAIをフル活用できなければ負けてしまうということなのだ。

つまり、Mythosが提起しているのは、これからのサイバー領域での攻防は、AI対AIの戦いにならざるを得ないという問題なのだと私は考える。セキュリティソリューションベンダもこうしたことを念頭においたシステムを市場に投入してくるだろう。ただ、これは部分的なソリューションで解決できる問題ではなく、防御対象とそのリスクの全体像を把握した上で、すべての対処を最適化するという総合的なソリューションを必要とする。単一のベンダでこうしたソリューションを提供できそうなところは少ない。当然複数のソリューションを組み合わせて構築する必要があるのだが、残念ながらそうした能力を持つSIerも多くないのが現状だ。そういう意味では、当事者であるITユーザ企業自身が、こうした全体像を把握し、大きな絵を描いて、ベンダやSIerに提示出来るだけの能力を獲得しなければ、生き残っていけないと思うのである。一方、こうしたことにあまり時間をかけているわけにはいかない。脅威はそこに迫っているからだ。ショートカットができないなら、正面から全力で取組むしかないだろうと思うのである。

日本政府が金融や重要インフラに対して検討を指示したのは、おそらく米国の影響だろう。一方で、政府が作る検討の場で、こうした問題がどこまで真剣に議論されるのかは注視していかなければいけない。この問題は決して、「お茶にごし」ではすまないからだ。問題の本質をきちんと理解して、対処していかなければ、国の存亡にも係わる事態なのである。

長い目でみれば、この問題は一過性のものかもしれない。いずれ、ソフトウエアやシステムの開発もAIが担うようになり、少なくとも人が作り込むレベルでの脆弱性は排除されてしまうだろうからだ。一方、より高次元のAI同士の戦いは続いていくかもしれない。もしかしたら、もう10年もすればそんな時代になるのだろうか。その時、我々人間はどのように過ごしているのだろう。