技術要約：サイバー攻撃を防ぐためには、AIエージェントにハッキングを教えなければならない

1. 問題提起

本論文は、AIエージェントの出現によって、サイバーセキュリティにおける経済的および技術的なバランスが根本的に変化したことを指摘している。10年以上にわたり、防御側は人間の労働力の希少性を利用して攻撃者を制限してきた。高度なエクスプロイトには深い専門知識と手作業による労力が必要であり、そのため攻撃者は高価値の資産を標的にするか、あるいは数千のターゲットに対して汎用的な自動化ツールを使用することを余儀なくされてきた。

しかし、AIエージェントはこの均衡を打破する。AIエージェントは、最小限の人間によるガイダンスで、数千のターゲットに対して脆弱性の発見とエクスプロイトを自動化できる。既知の脆弱性に対してプログラムされたルールに依存する従来の自動化ツールとは異なり、AIエージェントは人間の戦略的な主体性を模倣し、未知のシステムに適応し、新たな攻撃経路を発見することができる。この自動化は攻撃の限界費用を低下させ、これまで（高い手作業のコストのために）無視されてきた「ロングテール」のシステムを、経済的に実行可能な標的に変えてしまう。

核心となる問題は、現在の防御戦略がリアクティブ（反応的）かつモデル中心であり、データのフィルタリング、セーフティ・アライメント、出力ガードレールによる悪用防止に焦点を当てている点である。著者らは、これらの対策は以下の理由から不十分であると主張している：

1. 敵対的な適応: 攻撃者は、オープンウェイトモデルを制御したり、セルフホスティングしたり、モデルをファインチューニングしてアライメントを解除したりすることで、セーフティメカニズムを回避できる。
2. 経済的実行可能性: AIエージェントは完璧である必要はない。攻撃を大規模に並列化できるため、わずかな成功率であっても利益を生むことができる。
3. 防御のギャップ: 防御側には、攻撃がどのようにスケールして発生するかを予測するための「攻撃的セキュリティ・インテリジェンス」が欠けており、AIエージェントが具体的にどのような脆弱性を突いてくるかを予測できない。

2. メソドロジーと提案フレームワーク

本論文は単一の実験結果を提示するものではなく、防御姿勢を転換するための戦略的フレームワークを提案している。その手法は、主に3つの柱で構成される。

A. 脅威モデリング

著者らは、最先端（SOTA）のAIエージェントを利用できる、金銭的動機を持つ敵対者の脅威モデルを定式化している。攻撃者の目的は、必ずしも単一のターゲットに対してダメージを最大化することではなく、異種混合の被害者集団全体における総利益を最大化することである。このモデルでは、失敗やハルシネーション（幻覚）は有効性を制約しない。なぜなら、攻撃は大規模に試行可能だからである。

B. 現在の防御策への批判

本論文は、適応型AIエージェントに対する現在の防御策の有効性を体系的に評価し、退けている：

• データガバナンス: 学習データのフィルタリングは失敗する。なぜなら、AIエージェントは記憶されたエクスプロイトのテキストに頼るのではなく、第一原理から推論し、推論時に新しい情報を獲得できるからである。
• セーフティ・アライメント: アライメント技術（RLHFやファインチューニング）は脆弱であり、ジェイルブレイク、目的の歪曲、あるいは一見無害なステップを組み合わせて長期間の有害な軌跡を作る手法によって回避される可能性がある。
• 表現エンジニアリング: モデル内部の編集は検証が困難であり、コンテキストが変化した場合や、エージェント間の拡張された相互作用から挙動が創発した場合に失敗することが多い。
• 出力ガードレール: エージェント型のワークフローにおいては、一連の無害に見えるアクションから有害な結果が生じるため、これらは機能しない。特に、監視が行われないセルフホスト環境やオープンウェイト環境において顕著である。
• アクセス制御: モデルがオープンウェイトとして広く普及すると、リーク、複製、または制限を削除するためのファインチューニングが可能になるため、これらは効果的ではない。

C. 提案される攻撃的セキュリティ戦略

著者らは、防御側が攻撃者よりも先に、攻撃者の能力をマスターするための攻撃的セキュリティ・インテリジェンスを開発しなければならないと提案している。これには、以下の3つの具体的な行動が含まれる。

1. 包括的なベンチマークの構築:

   • 静的なデータセットを超え、攻撃の全ライフサイクル（偵察、エクスプロイト、ポストエクスプロイト）をカバーする動的な評価環境へと移行する。
   • 大規模で現実的なプロジェクトを含め、「実環境（in-the-wild）」の条件（例：Docker環境、Kali/CodeQLなどのツールセット）をシミュレートする。
   • 微細なカテゴリ（例：エクスプロイト・チェイニング、コマンド＆コントロール）を網羅し、堅牢なグラウンドトゥルース（正解ラベル）を提供する。

2. ワークフローベースから訓練されたエージェントへの進化:

   • 現在の攻撃エージェントは外部ワークフロー（プロンプト＋ツール呼び出し）に依存しており、これらは脆弱である。
   • 本論文は、サイバーレンジ（制御された環境）において強化学習を用いてエージェントを直接訓練することを推奨している。これにより、エージェントは固定されたパイプラインに従うのではなく、適応的な戦略を学習し、経験を蓄積し、ゼロデイ脆弱性を自律的に発見できるようになる。

3. ガバナンスと蒸留の実装:

   • 封じ込め: 攻撃エージェントは、厳格なネットワーク隔離を備えた監査済みの隔離されたサイバーレンジ内に制限されなければならない。
   • 蒸留: 攻撃エージェントの知見と攻撃軌跡は、防御専用のエージェントへと蒸留されるべきである。これらの防御エージェントは、攻撃者の危険なアクション空間を継承することなく、検知、根本原因分析、および修復に焦点を当てる。
   • 段階的リリース: 攻撃能力は高リスクなアーティファクトとして扱われ、測定された能力とバージョン管理に基づき、段階的にリリースされるべきである。

3. 主な貢献

• パラダイムシフト: 攻撃的AI能力は、不可欠な防御インフラとして扱われるべきであると本論文は主張している。選択肢は「攻撃的AIが存在するかどうか」ではなく、「防御側が責任あるガバナンスの下でそれをマスターするか」、あるいは「成功した攻撃の後にそれをリバースエンジニアリングせざるを得なくなるか」である。
• セーフティ・アライメントの限界: セーフティ・アライメントやデータフィルタリングは、決定的な敵対者（オープンウェイトモデルを利用できる者）に対しては不十分であることを技術的に論じ、プロアクティブ（先制的）かつ能力ベースの防御への転換の必要性を説いている。
• 攻撃的AIへのロードマップ: 攻撃的セキュリティエージェントの具体的な進化経路（表2）を示している。これは、知識モデル（成熟期） $\to$ ワークフローエージェント（現状） $\to$ 訓練されたエージェント（ゼロデイ発見のための将来目標）へと進むものである。
• ベンチマーク基準: 現在のサイバーセキュリティ・ベンチマークの欠陥（動的環境の欠如、ライフサイクル・カバレッジの限定性など）を指摘し、エージェントフレンドリーで動的かつ包括的な評価スイートを構築するための手法を提案している。

4. 結果とエビデンス

本論文は、著者による新しい実験データではなく、既存の文献の合成と予備的な観察に基づいている。

• ベンチマーク性能: 表1は、既存のベンチマーク（CyberSecEval-3、CTF、脆弱性検知など）におけるSOTAエージェントの性能をまとめている。エージェントは小規模な生成タスク（短い関数のパッチ適用など）では優れた性能を示すが、大規模な分析タスク（プロジェクト全体に対するPoC生成など）やエクスプロイト・チェイニングには苦戦することが記されている。
• システム的リスク分析: 著者らは、AIエージェントが「広さ（数千のターゲットのスキャン）」と「深さ（適応的なポストエクスプロイト）」を組み合わせることで、「超人的」なサイバー攻撃を可能にすると論じている。エージェントは人間よりも速く動作し、セキュリティ対策にリアルタイムで適応できるため、大規模な侵害が発生する条件を作り出す。
• 経済的ロジック: 論文は、攻撃のコスト構造が根本的に変化したと断定している。攻撃の試行あたりの成功率が低くても、攻撃を並列化できるため、攻撃は依然として利益を生む。これにより、従来の「高価値ターゲット」を前提とした防御の仮定は無効となる。

5. 重要性と主張

本論文は、現在の防御的AIセーフティのパラダイムは制限的であり、経済的現実から乖離していると主張している。誤用を防ぐこと（セーフティ・アライメント）だけに焦固点を置くことで、コミュニティは、レジリエントなシステムを構築するために攻撃的能力を理解し、マスターする必要性を無視してしまう。

著者らは次のように断言している：

1. AIによる攻撃は避けられない。 サイバー攻撃における自動化への経済的インセンティブは、無視するにはあまりにも強力である。
2. 防御的インテリジェンスには攻撃的能力が必要である。 攻撃がどのようにスケールして発生するかを予測するためには、防御側も攻撃者と同じ能力を持ち、それを制御され監査された環境内で展開しなければならない。
3. 責任ある開発は可能である。 厳格なガバナンス（サイバーレンジ、防御エージェントへの蒸留、段階的リリース）を通じて、攻撃的AIのリスクを封じ込めつつ、脆弱性の発見と修復を加速させる恩恵を享受することができる。

本論文は、攻撃的セキュリティ・インテリジェンスへの投資を怠ることは、敵対者が自律的にこれらの能力を探求する前に、防御側が無防備な状態になることを意味すると結論づけている。目標は、攻撃者がソフトウェア・エコシステムの「ロングテール」を悪用する前に、機械規模のインテリジェンスを用いて、発見と修復のループを閉じることである。