2025年に企業がAIを搭載したサイバー脅威をナビゲートするための4つの専門家セキュリティのヒント

サイバー犯罪者は現在、人工知能（AI）を活用して攻撃のあらゆる段階を強化しています。彼らは大規模言語モデル（LLMs）を使用して、ソーシャルメディアやプロフェッショナルネットワークから個人情報を収集し、高度にパーソナライズされたフィッシングメールを作成します。一方、生成対抗ネットワーク（GANs）はディープフェイクの音声やビデオを生成するために使用され、多要素認証システムを欺くことができます。スクリプトキディでさえ、WormGPTのような自動化ツールを使用して、従来の検出方法を回避し変化するポリモーフィックマルウェアを展開しています。

これらは単なる仮説の脅威ではありません。今、実際に起こっています。セキュリティ戦略を適応させない企業は、2025年だけでなくそれ以降も、洗練されたサイバー脅威の波に直面するでしょう。

AI時代をリードしたいですか？2つの選択肢があります：AIを業務に組み込むか、AIを活用してビジネスを強化するかです。

AIが企業セキュリティをどのように変革しているか深く掘り下げるため、Islandの最高顧客責任者であり、経験豊富なサイバーセキュリティ専門家であるBradon Rogersと話をしました。デジタルセキュリティの進化、早期脅威検知、AI駆動の攻撃にチームを準備する戦略について議論しました。まず、いくつかの背景を設定しましょう。

なぜAIサイバーセキュリティ脅威が異なるのか

AIは悪意のある者に高度なツールを提供し、サイバー攻撃をより的確で、説得力があり、発見が難しいものにします。例えば、今日の生成AIシステムは、個人情報、企業コミュニケーション、ソーシャルメディアの膨大なデータセットをふるいにかけ、信頼できるソースからのように見えるフィッシングキャンペーンをカスタマイズできます。セキュリティ対策に自動的に適応するマルウェアと組み合わせると、これらの攻撃の規模と効果が飛躍的に向上します。

ディープフェイク技術は、リアルなビデオやオーディオコンテンツを作成することでさらに一歩進み、経営者のなりすまし詐欺から大規模な誤情報キャンペーンまでを可能にします。実例として、香港の企業から2500万ドルの盗難がディープフェイクビデオ会議を通じて行われたケースや、AI生成の音声クリップが詐欺師への送金を誘導した数多くの事例があります。

AI駆動の自動化されたサイバー攻撃は、人間の介入なしに脆弱性を継続的に検索し、対策に適応し、弱点を悪用する「セット・アンド・フォーゲット」システムも導入しています。注目すべきケースは2024年のAWS侵害で、AI駆動のマルウェアがネットワークをマッピングし、脆弱性を特定し、数千の顧客アカウントを危険にさらす複雑な攻撃を実行しました。

これらの事件は、AIが既存のサイバー脅威を強化するだけでなく、まったく新しい種類のセキュリティリスクを生み出していることを示しています。Bradon Rogersがこれらの課題に取り組む方法を以下に提案します。

1. ゼロトラストアーキテクチャの導入

AI強化された脅威に対して、従来のセキュリティ境界モデルはもはや十分ではありません。ゼロトラストアーキテクチャは「決して信頼せず、常に検証する」アプローチを採用し、すべてのユーザー、デバイス、アプリケーションがリソースにアクセスする前に認証および承認される必要があります。この方法は、攻撃者がネットワークに侵入できたとしても、不正アクセスのリスクを最小限に抑えます。

「企業は、AIを含むすべてのユーザー、デバイス、アプリケーションを、重要なデータや機能に触れる前に検証する必要があります」とRogersは強調し、これが最良の防御戦略だと述べています。アイデンティティを継続的に検証し、厳格なアクセス制御を強制することで、企業は攻撃対象領域を縮小し、侵害されたアカウントによる被害を制限できます。

AIは新たな課題をもたらしますが、強力な防御ツールも提供します。AI駆動のセキュリティソリューションは、リアルタイムで膨大なデータを分析し、従来の方法では見逃す可能性のある異常や潜在的な脅威を特定できます。これらのシステムは新しい攻撃パターンに適応し、AI駆動のサイバー攻撃に対する動的な防御を提供します。

Rogersは、サイバー防御におけるAIを単なる機能として扱うべきではないと警告します。「CISOやセキュリティリーダーは、AIをシステムの基盤から組み込む必要があります」と彼は述べます。AIをセキュリティインフラに統合することで、組織はインシデントを迅速に検知して対応する能力を高め、攻撃者の機会の窓を狭めることができます。

2. AI駆動の脅威に対する従業員の教育と訓練

セキュリティ意識の文化を育み、AIツールの使用に関する明確なガイドラインを設定することで、企業は内部の脆弱性のリスクを軽減できます。結局のところ、人は複雑であり、シンプルなソリューションが最も効果的な場合が多いです。

「外部の攻撃を防ぐだけでなく、従業員がAIを『生産性向上のチートコード』として使用する際の境界を設定することも重要です」とRogersは説明します。

人的エラーは依然としてサイバーセキュリティの大きな弱点です。AI生成のフィッシングやソーシャルエンジニアリング攻撃がより説得力を増す中、従業員にこれらの進化する脅威について教育することが重要です。定期的なトレーニングは、予期しないメールや通常の手順から逸脱する異常なリクエストなど、疑わしい活動を特定するのに役立ちます。

3. 従業員のAI使用の監視と規制

AI技術はビジネス全体で広く採用されていますが、承認されていない、または監視されていない使用—いわゆる「シャドーAI」—は深刻なセキュリティリスクを引き起こす可能性があります。従業員が適切なセキュリティなしにAIアプリを誤って使用し、データ漏洩やコンプライアンス問題を引き起こす可能性があります。

「企業データが承認されていないAI環境に自由に流れるのを防ぐ必要があるため、バランスを見つける必要があります」とRogersは指摘します。AIツールを管理するポリシー、定期的な監査、すべてのAIアプリケーションが企業のセキュリティ基準を満たしていることを確認することが、これらのリスクを管理する鍵です。

AI駆動の脅威の複雑さは、企業がAIとサイバーセキュリティの専門家と協力する必要があることを意味します。外部企業とのパートナーシップにより、組織は最新の脅威インテリジェンス、最先端の防御技術、社内にない可能性のある専門スキルを手に入れることができます。

AI駆動の攻撃には、従来のセキュリティツールでは対応できない洗練された防御が必要です。AI強化された脅威検知プラットフォーム、セキュアブラウザ、ゼロトラストアクセス制御は、ユーザーの行動を分析し、異常を検知し、悪意のある者が不正アクセスを得るのを防ぎます。

Rogersは、企業向けの革新的なソリューションが「ゼロトラストセキュリティパズルの欠けているピースである」と指摘します。これらのツールは、パブリックおよびプライベートネットワーク全体で任意のアプリやリソースを保護する深い粒度のセキュリティ制御を提供します。

これらのツールは、機械学習を使用してネットワーク活動を監視し、疑わしいパターンをフラグ付けし、インシデント対応を自動化することで、AI生成の攻撃が企業システムに侵入するリスクを軽減します。