フロンティアAI対策の本質はパッチマネジメントシステムにあり：AI時代に求められる脆弱性管理の再設計とは

パッチを取り巻く現状とフロンティアAI登場による急激な悪化

もちろん中長期的に前述したような知識を持つ人材の確保が必須であることは疑いようのないことですが、喫緊の課題として必要なのはもっと足元の議論です。それはセキュリティパッチの適応に関するもので、フロンティアAIが登場するかなり前から、課題は主に2つ存在していました。

また、わが国特有の問題として、自社の運用部門ではなくシステムの運用を委託しているSIerに対してパッチ適応を依頼しなければならないケースが多く、結果としてパッチが公開されてから数週間、ひどければ数カ月後のパッチ適応となる場合があるのが現状なのです。

「パッチマネジメントシステム」の重要性

この2つの問題こそ解決すべき問題であり、ここではユーザー企業CSIRTのパッチ適応業務について提言します。これまでのパッチ適応業務では、前述したCVSSスコアをもとに、スコアが高い順にパッチ適応の優先度付けを行ってきた企業がほとんどであると推察します。しかし、前述の通り、フロンティアAIの登場により、適応すべきパッチの量が増加し、さらに、CVSSスコアが低い脆弱性を組み合わせてより大きな攻撃を実施可能な状況に陥ったのです。こうなると単純にCVSSのスコアによる優先度付けでは立ち行かなくなることは明白でしょう。真に実施すべきは、このような混沌とした“パッチの滝”を整理する「パッチマネジメントシステム」の思考なのです。

例えば、すでに政府機関や企業で導入されている指標としてKEV（Known Exploited Vulnerability、既知の悪用が観測された脆弱性リスト）が挙げられます。KEVは当該の脆弱性がすでに攻撃に悪用されたか否かを表すものであるため、CVSSのスコアに加えて判断に用いられることが多くなっています。

しかしこれだけでは不十分です。具体的には、自社環境を外部露出資産から攻撃面を評価するEASM （External Attack Surface Management：外部攻撃対象領域管理） と、内部構造のコンテキスト情報から攻撃経路の事前計算を実施し攻撃面を評価するIASM （Internal Attack Surface Management：内部攻撃対象領域管理） を用いて自社環境の攻撃面を把握し、考え得る攻撃経路上のどの位置に影響するパッチであるかを評価するなど、複合的な計算を要するということです。

EYでは、フロンティアAI対策として真に論ずるべき課題として、「人材不足」「国産フロンティアAIの不足」「パッチマネジメントシステムの思考」を掲げており、官民に対する支援業務の提供が可能です。また、フロンティアAIを活用した自社製品への脆弱性発見フローの開発支援、パッチマネジメントプロセスの整備など幅広に支援を実施しております。

※本稿は公開情報を基にEYが独自に分析・考察したものであり、Anthropic社その他第三者の見解を代弁するものではありません。