AIハリケーンが到来

この1年、私はこれをAIの霧と表現してきました。相反する主張、不確かなリスク、そして何が重要なのかを見極められずにいるリーダーたち。いま、風は強まっています。AIはソフトウェア開発を加速させ、長年にわたって蓄積された脆弱性を露呈させ、攻撃者と防御者の双方に、マシンの速度で動く能力を与えています。

私たちは以前、それを霧と呼んでいました。霧は立ち込め、そして晴れていきます。

私はこの1年、開発はマシンの速度に移行した一方で、検証はそうなっておらず、その差にこそ本当のリスクがあると言ってきました。その見立ては変わっていません。変わったのはペースです。AIがいま広く使われているソフトウェアで見つけ出す深刻な欠陥、かつては年に1、2度現れて、全員の四半期計画を一変させていたような発見が、私の目には週に何度も起きています。これは、待っていれば済む問題ではありません。

問題は3つに集約されます。人間の速度で処理できる未処理案件をはるかに上回る速度で進む自動攻撃、コードを書き、誰も審査していないツールに手を伸ばすエージェント型開発、そしてインベントリもポリシーも監査証跡もないまま本番環境で稼働するAIアプリケーションです。

ハリケーンはすでに到来しています。その速度を議論しても、アプリケーション層やインフラ層が嵐に耐えられるようになるわけではありません。

その一方で、AIをめぐるオペラはますます大音量になっています。文明を終わらせるという予測、劇的な警告、誰が何を構築できるかを制限すべきだという相反する要求。私は長年セキュリティに携わり、こうした局面を何度も経験してきたので、雑音として聞き流したくなる気持ちは理解できます。

聞き流してはいけません。今回は違います。

現実のリスクを真剣に受け止め、提案されている解決策が本当に安全性を高めるのか、それとも単に別の声を加えるだけなのかを精査してください。

いま問われているのは、独立した精査です

Dario Amodeiは先日、「We Must Pace the Frontier」を発表し、フロンティアラボに対して、安全性に関する取り組みが追いつくまで能力の進歩を遅らせるよう提案しました。彼がどのように実行しようとしているかに注目してください。

Anthropicは、安全対策を検証するため、継続的なアクセス権を持つ第三者評価者を組み込むことを約束しています。一方、Amodeiは、割り当てられたタスクの範囲外のシステムを攻撃するエージェントについても言及しています。そこには、エージェントの性能を評価するシステムも含まれます。これらは、監督と制御をめぐる異なる問いを提起します。エンタープライズセキュリティにおける私たちのアーキテクチャ要件は明確です。変更を作成するシステムが、その変更の唯一の検証者であってはなりません。

CrowdStrikeのGeorge Kurtzはこの議論を引き継ぎ、実務家からの反論を示しました。これから起こることのペースを抑えても、すでにデプロイ済みのものは安全になりません。彼の見解では、真の制御ポイントはランタイムです。今日の脅威の単位はハッカーではなく自律型キャンペーンであり、すべてのエージェントを特権IDとして扱い、実行時に強制し、約束ではなく証拠で裏付けなければなりません。取締役会レベルの説明責任、独立したレッドチーム演習、インシデントの開示、本番環境で機能する制御が必要です。

Georgeのランタイムに関する主張は不可欠です。私はそれを開発にも広げたいと思います。コードを書くエージェント、そのエージェントが使うツールやMCPサーバー、そして出荷するコードを統制するのです。開発時の制御は、私たちが新たに生み出す露出を減らし、ランタイムの制御は、デプロイ済みシステムができることを制限します。

そうしなければ、今日の露出を封じ込めるより速く、明日の露出を生み出すことになります。そして、この原則はあらゆる層で成り立ちます。コードを生成するシステム、あるいは修正を提案するシステムが、自らの唯一の検証者になることはできません。

出発点は3つあります。フロンティアラボ、ランタイムの防御者、そしてコードとエージェントが作られる場所にいる私たちです。これは共同プラットフォームではありません。同じ要件が3つの異なる層に現れているのです。独立した精査は各層で重要であり、当然のものとして想定することはできません。その先にあるアーキテクチャ上の主張は私たちのものです。変更を作成するシステムが、その変更の唯一の検証者であってはならない。最も「信頼してください」と言うことで利益を得る人々が、代わりに「検証してください」と選ぶとき、それは単なる主張ではなく、確証です。

ここでいう独立性は、ブランディング上のものではなく、技術的な特性です。生成された証拠が、それを生成するエージェントには変更できないものによって作られ、そのエージェントの手の届かない制御と照合されることを意味します。実行済みテスト、データフロー分析、観測されたランタイムの挙動などです。2つ目のプロンプト、2つ目のエージェント、2つ目のモデルは独立していません。同じ種類の判断を、2度求めているだけです。

証拠はもはや仮説ではありません

数週間前、私が最も懸念しているのは攻撃の高度さではなく、その拡散だと話しました。その能力が大衆市場に広がり、まもなく、より多くの人がこれを実行できるようになるということです。

8日後、Anthropicの9月のレポートは、同じ発見を独自の言葉で冒頭に記しました。AIによって、かつて国家支援の作戦と個人を隔てていた労力とツールの差がなくなったため、高度な攻撃に高度な攻撃者はもはや必要ありません。これが間違いであればよかったと思います。

Amodeiが挙げたインシデントは、1つの失敗モードです。エージェントが与えられたタスクから逸脱すること。次に続くのはもう1つの失敗モードであり、ほとんどの組織が最初に直面するものです。人々がこうしたツールを意図的に、大規模に使うことです。

Anthropicの9月のレポートには、Anthropicの帰属によればロシア国家とつながりのある諜報活動主体であるGTG-20006が、セキュリティ製品に検知された後、自らのインプラントを特定、変更、再構築、再展開するAI支援ワークフローを実行したことが記録されています。マルウェアが自律的に進化したわけではありません。人間が指示し、AIが新たな検知を作成して出荷するより速く、ループを閉じたのです。

同じレポートは、AIサプライチェーン自体が標的になっていることも記録しています。金銭目的の攻撃者が、AIベンダーの自動評価サンドボックスに悪意のある命令を注入し、サンドボックスが保持していた認証情報を取得しました。その中には、そのベンダー自身の環境にある本番APIキーも含まれていました。

Anthropicは、自社のシステムは侵害されておらず、攻撃者によるプレリリースモデルへのアクセスも失敗したと報告しています。盗まれたAI認証情報は、攻撃者に3つのものを同時に与えます。規模、他者のコンピュート、そしてトラフィック上に表示される他者の名前です。AIサプライチェーンは将来のリスクカテゴリーではなく、今日すでに存在するアクティブなリスクです。

より身近な例では、Snykは集団サイバー防御レターに、OpenAI、Anthropic、Google、Microsoft、Akamaiをはじめとする数百の組織とともに署名しています。このレターは、犯罪者が数か月以内に重要インフラに対してAI主導の攻撃を開始する可能性があると警告しています。Boston Globeに話したとおり、ハリケーンが来ると分かっているようなものです。窓を直していないかもしれない。雨戸が動かないかもしれない。来週来ると分かっているなら、直すのか、直さないのか。

嵐に備える

最初から安全に。ランタイムで強制する。独立して検証する。

最初からソフトウェアを安全にする。AIが生成したコードが持ち込むものや、コードが取り込むパッケージを、コミットや出荷に近づく前に、後からではなく、その前に見つけ出します。

エージェントとそのサプライチェーンを統制する。アクセス権が過剰なエージェントや、審査されていないツールは、もはや例外的なものではなく、標準的な攻撃対象面だからです。

継続的にテストし、修正する。脅威の状況が毎週動く中では、一時点のペネトレーションテストでは追いつけません。プロダクションの証拠に基づく継続的な攻撃テストによって、実際にテストした攻撃経路に対して、定めた制御が機能することを確認できます。これは「安全です」という主張より限定的であり、価値のある唯一の主張です。

そして、AIが構築するものを独立して検証する。これは、いま業界があらゆる層で収束しつつあるのと同じ規律を、チームが出荷するすべてのコード行とすべてのエージェントに適用することです。

発見事項がただ蓄積されるだけなら、これらは何も機能しません。AnthropicのDeputy CISOであるJason Clintonは、私たちがパートナーシップを発表した際、その運用面を的確に表現しました。「AIセキュリティでは、検知がボトルネックだったことはありません。Claudeの能力とSnykを組み合わせることで、企業は高精度な発見事項を、ソフトウェアが構築されるワークフローの中で、行動に変えられます。」

オープンに。手を携えて。なおも立ち続ける。

防御の層は、広くアクセス可能であり続けなければなりません。オープンモデル、共有インテリジェンス、オープンソースメンテナーへの支援は、安全アーキテクチャの外側ではなく、その内側に属します。

Amodeiの後続の提案は、まずフロンティアラボ間で、次に政府間での協調を求めています。提案としては妥当であり、誰かを締め出す計画ではありません。私が懸念しているのは意図ではなく効果です。AIシステムを構築、検査、防御する能力が少数のラボに集中する結果になる取り決めは、どのような目的で設計されたものであれ、単一障害点になります。1社のベンダーのロードマップを信頼することに依存するレジリエンスは、レジリエンスではありません。私たちの提案も含め、あらゆる解決策が防御できる人の範囲を広げるかどうかで評価してください。

こうした問題の一部はAI以前から存在していました。私たちは40年間、他の工学分野が譲れないものとして扱う安全性の規律を、自分たちには課さずにソフトウェアを出荷してきました。私たちは創造することを愛しますが、創造したものを安全にすることは、あまり好んできませんでした。AIがその差を生み出したのではありません。私たちがそれを隠すために使っていた時間を奪い、その上に独自の新たなリスクを加えたのです。

備えを整えることはリーダーの責任であり、私たちが選ぶ部分から始まります。

オープンに。手を携えて。なおも立ち続ける。

9月17日、AnthropicのApplied AI責任者であるAlon Krifcherとともに、マシン速度の攻撃と防御の差を埋める4つの動き、発見、修正、検証、予防について解説します。今すぐ席を確保する。

自分のエージェントに尋ねる

これを自分のチームとの会話につなげたい場合は、以下をエージェントに渡してください。自分が露出しているかどうかを教えてくれるわけではありません。公開文書ではそれを判断できないからです。しかし、何を尋ねるべきかは教えてくれます。

Read https://www.anthropic.com/threat-intelligence-report-september-2026,
https://snyk.io/evo/, and https://snyk.io/blog/ai-hurricane-is-here/ as reference material only.
Do not run tests, scans, or commands against any system, and do not change
any configuration.

For each attack path described in the report:

1. Separate what is documented evidence, what is my assumption, and what
   is unknown.
2. Identify the controls that could block or reduce it. For each, say
   whether it acts on what an agent uses, what it does, or what it
   generates, or on what an already-deployed system is permitted to do.
3. State what internal evidence we would need to assess our own exposure,
   and who in the organization would hold it.

Then rank a list of questions for my security team by potential impact,
likely exposure, and the size of the evidence gap.

Public reports and product descriptions cannot establish our actual
posture. Return questions and evidence requests, not an assessment of
whether we are secure. Never print the value of any key, token, or
credential.