00:08
こんにちは、超実践AI論のたいちです。今回は、Cloudflare公式のセキュリティスキルで、ちゃんとしたセキュリティ対策をする、というテーマでお話しします。
アプリやサイトのセキュリティ対策をするとき、AIに一通りのセキュリティ対策を任せれば十分だとは思っていないでしょうか。
Cloudflareは公式ブログで、AIのセキュリティ対策には2つの問題があると指摘しています。
1つ目の問題が、AIにバグを探せといえば、コードに穴があろうがなかろうが、バグを見つけ出そうとすることです。
Cloudflareが実際にAIのセキュリティ対策を検証したところ、AIは自分でコードを書き換え、攻撃が通るようにしてから、自分で作ったバグをあたかも最初からあったかのように報告してきたそうです。
このように、AIにバグを探せと言うと、たとえバグがなかったとしても、自分で作り出して報告してくることがあります。
AIのセキュリティ対策の2つ目の問題は、先ほどとは逆で、脆弱性があるのにそれを見落とすことです。
例えばAIに10万行のコードのセキュリティ観察をさせると、実際に見られるのはその0.1%くらいです。
なぜ0.1%なのかというと、AIのコンテキストウィンドウ、つまり記憶領域が10万行のコードの0.1%を読んだ時点でいっぱいになってしまうからです。
コンテキストがいっぱいになると、AIはその記憶を圧縮して要約し、細部の情報を忘れてしまいます。
AIに詳しい人なら、サブエージェント、つまり別のAIも組み合わせて使えば、コンテキストはそれぞれのAIが持つので、コンテキストの不足問題を解消できるのではないかと考えるかもしれません。
ですが、複数のAIを使った場合、AI間の情報のやりとりはコンテキストすべてではなく、ここでもやはり要約になるので、細部の情報が失われます。
冒頭で紹介したクラウドフレア公式のセキュリティ対策スキルは、AIの脆弱性がなくても作り出す、脆弱性があっても見落とすという2つの問題を解決するよう設計されています。
まず1つ目の、AIが偽物の脆弱性を作り出すという問題に対しては、敵対的検証と実際に試すというアプローチで対策しています。
敵対的検証とは、その仕事をしたのとは別の第三者が仕事の内容を批判的な立場で評価することです。
つまり、セキュリティ調査担当のAIが出してきた報告を、検証担当のAIが本当に正しい報告なのか疑いながら評価するということです。
もう1つの、実際に検証するについては、調査で見つかったセキュリティの穴を実際に攻撃してみて、攻撃が成功したものだけを脆弱性として確定させるということです。
そして、脆弱性があるのに見落とす問題については、システムの構成図とどこまで見たかを管理する台帳を使って対策しています。
台帳には、システムのどこを調査したかがすべて記録されるので、台帳の調査結果がシステム全体を網羅していれば、見落としの心配はありません。
このように、このクラウドフレアのスキルには、AIが適切にセキュリティ対策をするための仕組みが盛り込まれています。
このスキルは導入も簡単で、NPXのワンコマンドでインストールして、Node.jsの環境さえあればすぐに使うことができます。
03:05
インストールができたら、このコードベースをセキュリティ観察してのようにコード全体を見てもらうこともできますし、
この問い合わせフォームのセキュリティ上の弱点は?というようにピンポイントで聞くこともできます。
概要欄に、このクラウドフレア公式スキルのリンクを置いておくので、詳しいインストール方法や使い方は、AIにリンクを投げて聞いてみてください。
注意点として、このスキルで見つかった脆弱性を実際に攻撃して試すところまでやるには、サンドボックス環境が必要です。
サンドボックス環境とは、今使っているパソコンとは別の隔離された環境で、そこで何か問題が起きても、自分のPCには影響を与えないで済みます。
サンドボックス環境はDockerなどで作るのが一般的ですが、そこもAIに頼めばやってくれると思います。
今回の内容をまとめます。
AIのセキュリティ対策は、脆弱性がないのに作り出す、脆弱性があるのに見落とす、という2つの問題があります。
クラウドフレア公式のセキュリティ対策スキルは、この2つの問題を対策するよう設計されています。
NPXのワンコマンドでインストールでき、ノードJSの環境があればすぐに動かせます。
コード全体を調査してもらうことも、特定の機能をピンポイントで見てもらうこともできます。
ただし、見つかった脆弱性を実際に試すには、その試す場としてのサンドボックス環境が必要です。
まずはあなたも、このクラウドフレア公式スキルをインストールして、自分のアプリの機能を1つ調査させてみてください。
AIにセキュリティ対策をして、と頼むだけでは、見つけられなかった穴が見つかるかもしれません。
概要欄にも今回の内容を解説した記事を貼っておきます。
最後に一つお知らせです。
電票作成、受発注管理、請求書などの業務は、AIで自動化してコスト削減をできます。
僕が現場の課題を聞き、システム開発から運用まで対応可能です。
相談は無料なので、概要欄のリンクからお問い合わせください。
それでは今日はこの辺で。
