00:02
kokorokagami
はいどうも、kokorokagamiです。
touden
当然です。
kokorokagami
今週も1週間振り返っていきたいと思います。
touden
はいはい。
kokorokagami
昨今、先生AI盛り上がってるんですけど、気になるニュースをやってたので、ちょっと話してみたいんですが、
学校AIの利用が限定的にということで、文科省が指針案を出してて、
その指針案の内容がですね、なかなか言いたいことは分かるけど、実行制度をするんだ的な指針になってて、
少し話したいなと思ってます。
その指針案のポイントとして言われてるのが、
様々なリスクがあるんで、限定的に使ってくださいと。
コンテンツ、宿題とか作成される際にはAIを使わないように指導しましょうとか、
コンクールとかに出すコンテンツも意識して使わないようにしましょうとか、
あとは著作権侵害を気にしてくださいねっていうのが指針として出されてるんですけど、
学校の先生がそこまで見れるとは到底思えないので、
この指針をどう受け止めればいいのかが難しすぎるんですけど、というふうに思いつつ、
一方で、AIを使ったコンテンツばっかりがコンクールに出てもしょうもないなっていうのも若干なくはないので、
touden
どうあるべきかなっていうのをちょっと聞いてみたいなと思っています。
そうですね。いろいろな方面から見方があるとは思いますけれど、
まず先生がこれをやり切るっていうのはかなり難しいっていうのはその通りですね、と思うので、
真面目に受け取ると大変だろうなという感じなんですけど、
やってることはすごく最もだと思うんで、ここでの解決策は外部というか、先生もAI使えばいいんじゃないの?って。
AI検出、AIを使えばいいんじゃないの?っていうのがちょっと思っているところですと。
コンクールとかでAIのようなものが出てくるのっていうのはもはやどうしようもないと思うので、
そこに関してはコンクールの審査員側がなれるしかないかなっていう気がしています。
あと、AIは何でも出せるわけじゃなくて、何でも出せると言えば何でも出せるんですけど、
適当に使ったAIってAIくさいものが出てくるっていうのがなんかもう分かってきてるので、現状だと。
目の越えた人が見ればAIくさいからキャッカーってなると思いますという段階。
そういうAIくさいものはキャッカーというノリになるという流行りになるだけじゃないでしょうかというところで、
私はそこはあんまり不安はありませんねというところですね。
kokorokagami
昔から評価されてた独創性みたいなポイントの点でAIからベースに作ったものは点数が極端に下がるから、
結果的に現れてこないんじゃないっていう。
touden
そうですね。過渡的には結構現れるとは思うんですけど、長期的には渋むかなという認識です。
kokorokagami
なるほどね。なるほど。
その辺はあれか、今までも先行した技術をどこまで使えることもかどうかでだいぶ出てきたものが違うから、
そういう差だと言えばそうでしょうという。
touden
という感じでしょうし、今でも例えば宿題とかでもWiki使ったらWiki使ったって多分バレてて、
kokorokagami
何でかっていうとWikiの文章くさいから。
touden
それから他の資料を使ってた方便で調べて何か独自性があるものを書けてたらそれはもうその人の結果になるでしょうし、
やっぱりそこら辺見りゃ分かると思うので、っていうところですかね。
kokorokagami
だからどちらかというと、実効性を高めるようになったら、
そういうコンクールとか受け入れる側の審査能力を向上させる必要があるねということで、
先生にやっぱりジャッジしてそこで企画させるのって結構難しいと思うから、
どちらかというと夏休みの宿題とかも数さばいていかないといけないので、
いけんけんそんな指導してられないというか、という現実もあるんで。
touden
そうですね。ただ作っちゃったものは先生が通しちゃうと学校同士で出したことになっちゃうので、
ここの学校指針案のポイントに記載されているように、
生徒にはまずAIの成果物をそのままコンクールとかに出すことは、
コンクールのリージョンにもよるとは思いますけど、不正行為に当たるということを指導してもらう必要はあるとは思いますけどね。
その方針というか前提として児童に言っておく、児童制度に言っておくというのは先生の仕事かなと思いますけど、
kokorokagami
それ以降は児童に任せるのが限界なんじゃないかなと思いますね。
そういう意味だと今までも家の人に書いてもらわないようにしましょうとか指導レベルでは言ってたから、
それと同等のことだけ言って、それ以上はっていう感じかな。
touden
そうですね、はい。そんな感じだと思っています。
kokorokagami
なるほどね。
ゆあんでも結論は一致しているような気がしますけど、このChatGPTを使うことで教育メリットとかデメリットとかってどう思ってます?
touden
教育メリットでどのレベルでChatGPTを使うことを想定してますか?
日常的にかな。
kokorokagami
例えば算数の問題を解くのに電卓を使ったりソロボンを使ったりっていうのから、
だんだん来て今ChatGPTを使って問題を解くみたいな、そういう世界に変わっていってるわけですけど、
そこについてもやっぱり今は電卓を使うなとかいうことで基礎力を身につけようとさせてますけど、
その方針のままChatGPTも便利すぎるツールなので、便利じゃない状態で勉強した上で便利ツールを使えるようにするっていうステップアップを踏むべきなのか、
touden
もうChatGPTがその電卓とかと比べても飛躍的にできすぎるので、そのステップを追っかけててもキリがないという諦めものはなくはないと思うんですけど。
その話で言うと、ポストチャットGPTが出てきた時にさらに困ることになるので、校舎の話は考えても仕方がないかなと思いますね。
なんでボーダーをどこに引くかっていう話であるんですけども、そもそもの学校教育は基礎を学ぶだろうと私は解釈しているので、
基礎っていうのはその成り立ちを理解することが大事なのではないかと思っているので、
そういう意味では教育の場ではあえて使わないようにしているという解釈だと私は認識しています。
その方向を捨てていくならばChatGPTだろうという電卓だろうと使わずに一回は筆算してみましょうというのが大切かなと思いますけど。
kokorokagami
なるほどね。
そうですね。
教育にAIはすごく役立つというのはあるけれども、あくまでそれは学校以外のところの教育現場で活用されるべきものであって、
学校はおっしゃる通り基礎を身につける場所という位置づけというかスタンスをあまりぶらしてもしょうがないかなという感じですかね。
touden
そうですね。特に小学校とかはという話ですね。大学レベルまでいくとちょっと話が変わってきますけど。
kokorokagami
はいはいはい。そうですよね。
塾もね、学校とは違ってかなり先行したことを教えたりとかいろいろやってるわけですから、
その基礎とは関係なくもっと効率的に解けるようにする工夫とかいろいろ教えてるわけですけど、
まあああいうものが学校外では許されてるんであれば、ChatGPTの登場シーンもそっちなんでしょうね。
touden
まあそうですね。そのツールとして何でしょう。小学校の段階で生産性云々は言うのはちょっと夢がないですけど。
kokorokagami
いやでも言えないくらい小学生みんな塾通ってるじゃないですか。
touden
塾は何と言うんですかね。ある意味選択性なので、塾でその塾の受講者に最適化された勉強方法を教えるっていうのはすごく価値のあることだと思うので、
そこでChatGPTが有効な人であればそれは良いと思います。
kokorokagami
はいはいはい。なるほどね。
touden
はい。
kokorokagami
はい。だいたい理解できました。ありがとうございます。
という枕を踏まえて、また今日もAIばっかりなんで、この後の話いきたいと思います。
はーい。
1本目。
ポッドキャストのテキスト化サービス「リッスン」開始
kokorokagami
未知のポッドキャストの敷居が下がるかもAIで持ち起こしてくれるサービス。
リッスン登場ということでインターネットウォッチの記事です。
はてな創業者の近藤さんが起こしたサービスだそうです。
オープンAIの自動持ち起こしAIウィスパーを用いてアップロードしたポッドキャストの内容をテキスト化して共有できるサービスリッスンが6月21日正式に提供された。
ポッドキャストを再生するとそれに同期してテキストがスクロール&ガイド箇所がハイライトされて表示されていくため、耳だけでなく目でも内容を追いかけられる。
逆にテキストを読んで気になった部分を再生するという使い方も可能だ。
一行ごとにリンクが発行されるためポッドキャストの中の面白かった箇所がピンポイントで共有できる。
ポッドキャスターとリスナーをつなぐコミュニケーションサービスとしてポッドキャストの新しい体験を提供するという同サービス。
運営するのは株式会社ONDらによるプロジェクトチームだ。
同社の代表取締役社長であり、はてな創業者としても知られる近藤氏にリッスンを開発した経緯を狙いサービスの思いが聞いたということで、
中の会話についてはもう割愛するのでまた気になる人は読んでおいてほしいんですけれども、
私たちのこのポッドキャストも独自にウィスパーによるテキスト化というのをやって投稿はしている状態ですと、
それが明確にサービス化されましたよという紹介ですね。
そういう意味だとこういうことになってくるだろうなというのを見越して私たちはやってたりしたので、
そういう意味で既定路線といえば既定路線なんですけれども、ポイントとしてすごいところがリアルタイム性のところですね、
実際の音声データとストックされたテキストの紐付けというのが、
やっぱりそのタイムスタンプを合わせ込んだりとかリンクをつなげたりというところの仕掛けというのが技術的にはできるんだろうなと思いつつ結構めんどくさいので、
それができるタフなサービスを作れるのはさすがだなという感じですかね。
touden
そうですね。いいですね。これ登録してみたいな。
検索性の向上と情報源への活用
touden
言った通りうちのこのデータも廊下でWisperに加わせてPodcastのデータとしてGitHubにはアップされているんですけれども、
今まで活用できてなかったというのが正直なところではあったので、
そういう意味でこういうまとまったサービスによってやっぱりWisperの強みである認識率の高さとタイムスタンプの活用というのがちゃんとできているというところで、
すごく作っている側からするととても良いものだなという感じですね。
kokorokagami
そうですね。テキスト化されることで何が良くなるのかというのは改めて共有しておくと検索性ですよね。
音声データというのは残念ながらテキスト検索に対応していないことが多くて、あるPodcastの中で気になる話題が含まれているかもしれないけれども、
タイトルからそれが伺えない以上は聞かないということがほとんどだし、その話題があるということまで分かっても何分何秒からその話題をしているのか、
その話題がいつ終わるのかというのが分からなければ聞きにもいかないと。
それが仮に1時間後の10分とか5分だけですとか言われるとなかなかしんどいので聞かないということが多いんですけれども、
こういったサービスが出てくると、そういった検索性にひも付いてこのPodcastをちょっと聞いてみようかという動線が新たに生まれ得るというところですね。
touden
まさにそこだと思ってまして、具体例で言うとYouTubeのショートとか、
ああいう15秒ぐらいの動画っていうのがやっぱり再生数としてかなりインパクトのある時代になってきている中でPodcast1時間長すぎるんですよね。
マジで長すぎる。10秒だけ言ってることが聞きたいっていう状況でどこにあるか分かんないので、
YouTubeでもやっぱり切り抜き動画みたいになったりしますし、そういう状況がPodcastででき得ることになってきているというのはかなりありがたいなというところ。
もう一つは、それこそこれをAIに食わせる。テキストベースなのでこれをAIに食わせて、
それこそChatGPTがここに何かそういう話をしているこの会社のこの人とこの人がいましたよみたいな情報源になり得るというのは、
Podcastの音声データという加工しにくいデータを使いやすくしているというところでかなりインパクトがあって嬉しいなという感じですね。
kokorokagami
そうですね。今のコメントを聞いて2つほど思ったことがあって、一つは今後この文字起こしのデータをドラッグしてこの文章からこの文章みたいな感じで選択したら、
その部分だけを音声切り出ししたショートPodcastをその場で聞けるっていうサービスに変わっていきそうだなと思いました。
Podcastの属性
touden
うん、まあ確かにそれありですね。だらだらこうやってくっちゃべってるのがよう役を出してくれるみたいなね。
kokorokagami
そうそうそうそう。
touden
うん、とてもいいですね。
kokorokagami
あとは今おっしゃった面白いところが、そのパーソナリティと話したことの紐付けみたいなところができてくるともう少しメタバースっぽくなるなと思ってて、
そのPodcastで話している内容はすごくその人の持っているスキルだったり関心、興味が発露している状態だと思っているので、
このPodcastのテキストをベースにこの人の属性はこんなんですっていう逆紐付けができると、
その人の名刺情報というかその人のメタ情報のデータ源としてすごく有用なのかなって気がしたので、
そこのメタ情報変換化をまたAIとかでできると良いなと思いました。
touden
確かに。いいですね。タグ付けみたいな感じですよね。自動的に設定されたりすると面白いかもしれない。
kokorokagami
そうですね。もう私たちの中では例えばロボットだったり、宇宙だったり、特に日本の宇宙事業とかに関心が高いよねとか、
ある程度なんとなくそういうタグ付けを自分たちの中に持ってますけど、第三者にはやっぱり分からないので、
そういうタグ付けをちゃんと付けてあげるっていうのがいいなと思いましたね。
touden
いいですね。ちょっと後で登録しましょう、これ。
すいません。私もまだサービスの使い方は分かってないんですけど。
ログインして突っ込む感じで生成されるっぽい。
kokorokagami
リカログアカウントでちょっと登録してみましょうか。
というのが1点目です。次行きます。
マイクロソフトの大規模言語モデルPHY.1
kokorokagami
2点目、マイクロソフト軽量かつ高性能な大規模言語モデルPHY.1を発表ということで、ASCIIの記事です。
マイクロソフトリサーチのAI研究チームは6月20日、わずか13億パラメータと従来のモデルよりもサイズが小さいにもかかわらず、
GPT 3.5を上回る成績を収めたトランスフォーマベースの大規模言語モデルPHY.1を発表した。
このモデルは間もなくハギングフェイスで公開される予定だという。
テキストブックアーオールユーニーズと題された研究論文によると、
このモデルは初代のA100、NVIDIAの高性能GPUで、わずか4日間かけて訓練され、
インターネット上下取得した60億円のトークンの強化進出データセットと、
GPT 3.5で生成した10億トークンの微調整用練習問題データセットが使用された。
サイズが小さいにもかかわらず、PHY.1はLLMの性能を測定するためのベンチマーク、
Human Evalで50.6%、MVBPで55.5%を達成した。
この数値は無料版のChatGPTの新増部であるGPT 3.5のHuman Eval 47%を上回っている。
またPHY.1と同省で訓練された3億5000万パラメーターのPHY.1 Smallモデルも、
Human Evalで45%を達成している。
トランスフォームアーキテクチャの発見以降、大規模ニューラルネットワークを訓練する技術は強力な進歩を遂げてきたが、
その仕組みにはまだまだブラックボックスとなっている部分が多い。
計算量またはネットワークサイズを極端に大きくすると、性能が優位に向上するスケーリング法則と呼ばれる現象もその一つだ。
この法則の下、大規模言語モデルの大型化が進んできたわけだが、
大型化したモデルを訓練するには莫大なコンピュータリソースが必要となるため、
良さの潤沢でないスタートアップの参入が難しいという弊害がある。
そこで考えられたのが、モデルのサイズを大きくする代わりにデータの質を向上させることで、
モデルのパフォーマンスを向上させるというアプローチだ。
例えばデータクリーニングはデータセット作成の重要な部分であり、
データセットが多少小さくなったり、データに対して多くのパスができるようになったりと複数的な利点もある。
ファイワンはインターネット上から取得した教科書品質のデータセットと、
GPET 3.5で生成した微調整用練習問題データセットを使用することで、
データの質を向上させ、モデルのパフォーマンスを向上することに成功した。
ということで、以前クラウド上にこういう大規模言語モデルを展開していくと、
なかなかCO2の排出量とか膨れ上がって活発化すればするほど、
SDGs的に課題が生まれてくるという話もちらっとしてたかなと思うんですけど、
そういったものに対抗して、小規模なPCリソースで動く、
かつ高性能な言語モデルが登場してきましたよというニュースで、
それをオープンAIを買収したマイクロソフトの中から出てきているというのがちょっと面白いところですね。
ただ今言った話が単純にすごいいいじゃん、じゃあこっち使えばいいじゃんという話にならないところとしてポイントとなるのが、
データセットの元の情報が教科書品質のデータセットといっているもので、
すごく絞り込んだデータ、これは角度高いだろうというデータに絞り込んでいるので、
ある意味はしばしに届いた回答みたいなのが難しくなっている。
自由度の高い回答というのが難しくなっている可能性があるというところと、
データセットの一つとしてGPT 3.5で生成した情報を用いているので、
ベンチマークか、そもそもGPTとかそういったものを評価するためのベンチマークになっているので、
自己生産的にやっているからよりAI的には正しくなっているというような数値の見せかけが起きていて、
体験として良くなっているかどうかが分からないというところがあるので、
そこら辺は注意してみないといけないかなと思っています。
touden
なるほどね、という感じですけども。
まさに言った通りだなというところがあって、
本当に使えるかどうかは分からないけれども、
多分そんなに品質が落ちているかというか、人間には分からない可能性もあって、
そうであればモデルのパラメータ数が2桁落ちているので、
計算能力もそんなにいらないだろうと展開する領域も少ないので、
とすると、マイクロソフトとして、
GPTよりも優位性がありますよ、これ使ってくださいとお出しするという意味では、
お出しするときの価値をアピールしやすい、100番の1ですよ、
調教しやすいですよ、訓練しやすいですよというところで、
とてもマイクロソフト側からしたら分かりやすいものが出てきたかなというところですね。
懸念点は最初のように言いましたけど、やっぱりその通りで、
人間が使ったときにちょっと違和感がある可能性があるのと、
kokorokagami
そもそもChatGPTが教えた子供になるので、
touden
人間が使っているレベルというか、
変な進化が起こってないかみたいなところがちょっと怖いところですねという認識です。
kokorokagami
そうですね、以前AI同士に会話させるという実験的な試みがあって、
ボブとアリスだったかな、会話しているみたいなのがあったんですけど、
それの終着点というのが、ボブとアリスの中で新たな言語を生み出して、
単語の長さAAばっかり言うとかそんな感じで、
人間には理解できない言葉でしゃべり始めたという結果が得られてますと、
それはその時のAIがそのレベルだったというのはもちろんなんですけれども、
AI同士の学習というのが人間から離れれば離れるほど、
私たちにとっては逆に価値のないAIになってしまいかねないというリスクがはらんでいるので、
その辺がちょっと気になっているというぐらいですね。
touden
そうですね、そこら辺も今考えると人間がやっと追いついてきたというか、
今の人間、チャットGDPのトークン数を気にして圧縮してるじゃないですか。
そうですね。
同じことやってるな、今から考えるとという感じが非常に面白いんですけども、
人間様の速度に合わせて回答してくれないと人間様が理解できないので、
そのレベルに落とした回答をもらえるようなアプリケーションが人間としては一番良い。
というところでどうなるかなという感じですけど、
でも方向性としては分かる話だと思うので、
ちょっとあまりにも重たいよね。
もうちょっと軽くして何とかしたものが欲しいんだけど、
重くしたことによって性能が出たんで、
それを軽くするにはどうするのというところで重くしたデータに教えてもらうというのは、
分かる話なので良いんじゃないかなという感じです。
kokorokagami
そうですね。PCの業界でいうとこのCPUのランクみたいな感じで、
CPUのハイエンドモデル、ミドルエンドモデル、ローエンドモデルってあると思うんですけど、
ミドルエンドとローエンドっていうのはハイエンドのアーキテクチャができた上で、
じゃあそれをミドルエンド、ローエンドにするにはどうするかっていう開発手法ですよね、あっちは。
touden
そうですね。
と同じような流れを踏襲しているのかなという感じですよね。
そうですね、確かに。そう言われればそうか。
なのでやっぱりガッツリフルスペックを出す時にはガッツリ重たいものを動かして、
そこから上積みを抽出して、振動はないけど軽くて使いやすいものを一時に放出する。
確かにそう言われてみると成功法だなという感じはしますね。
kokorokagami
そうですね。そういう開発プロセス文化みたいなものすら、
この短期間で生まれつつあるのが恐ろしいところくらいですかね。
touden
そうですね。
kokorokagami
半導体の今の言った歴史なんて10年くらいかけて出来上がってきたものだと思うんですけど、
touden
数ヶ月で出来上がってきてるんで。
需要があるし供給があるしみんな飛びついたっていうところで。
そうですね。
マイクロソフトのクラウドサービスAzure
kokorokagami
軽量化のところでマイクロソフトが出してきたのが面白いっていう話をしたんですけど、
少し背景として、マイクロソフトがやっているクラウドサービスAzureというところで
オープンAIサービスが立ち上がるようになっているんですけれども、
あれを展開する上でかなりマイクロソフトは赤字というか出血している状態になってますと。
何かというとですね、オープンAIのマネタイズモデルが利用するトークン数、
アクセスする時のトークン数で課金する重量課金制だったというところで、
インフラとしてはある程度決められたリソースをみんなで共通でAPIを投げるので、
オープンAIが持っているサーバー側の処理限界に応じて
レスポンスが悪くなったりするけど我慢してねという世界でしたというのに対して、
マイクロソフトのAzureでやっているやり方というのは、
そのクラウドリソースの一つとしてオープンAIサービスを立ち上げるので、
ユーザーごと利用者ごとにオープンAIのモデルがデプロイされるみたいな状態になるんですよ。
ということは、Azureの中でこの大規模言語モデルがですね、
いろんなユーザーのいろんな会社の中でボボボボボと生まれまくっているというのが現状で、
それに対してオープンAIの重量課金制をそのまま踏襲して利用者の促進を促しているものだから、
サーバー費というのが全部マイクロソフト持ちなんですよね今。
この大規模言語モデルを動かせるサーバーをホイホイ送っていくこと自体が非常に高価なはずで、
大規模言語モデルのGPT3.5を動かすためには多分メモリは少なくとも128GBくらいいるので、
そんなサーバーをホイホイホイホイ、いろんな会社のいろんなユーザーの分立ち上げていたら、
マイクロソフトは生きていけないはずなんですけど、今のところユーザーには請求していないので、
これは急ぎなんとかせんといけんっていうのがマイクロソフトの中にあり、
差し替えとしてファイブワンとか同じレベルのものができますよっていうのを早く出して、
ユーザーにはちょっと置き換えを推奨していきたいんだろうなというのはあります。
touden
なるほどね。それは分かる話ですし、マイクロソフト体力あってよかったなという感じですね。
kokorokagami
そうですね。
touden
それナビの会社だったら破産してて一山崩れてたところですねというところですね。
kokorokagami
そうですね。
マイクロソフトがクラウドを接近しそうとかいろいろ言ってるけど、その裏ではすごい大規模な投資があって、
かなりチャレンジングとかリスクを背負った経営層判断のものできてるっていうのは理解しておいたほうがいいかなと。
マイクロソフトがあれだけのことできてるっていう表面だけを捕まえてるとなかなか見えてこないですけど、
すごいことやってます。
touden
という感じで、ファイブワンについても以上です。
kokorokagami
じゃあ今日最後ですね、3点目。
マイクロソフト新しいOSセキュリティ技術Win32アップアイソレーションを発表。
ということで窓の森の記事です。
最近AI含めてマイクロソフトばかりのニュースで申し訳ないんですけど、
米マイクロソフトは6月14日Win32アップアイソレーションを発表した。
Win32アプリケーションの脆弱性を悪用した攻撃からWindowsクライアントを保護する新しいセキュリティ技術だ。
未知の脆弱性やパッチが適用されていない脆弱性を悪用したセキュリティ攻撃は、
ここ数年でその頻度と影響を増している。
そこで同社は心霊的なアプリ、疑わしいアプリをブロックするスマートアプリ制御を導入し、攻撃面の減少に努めている。
しかし、こうした手法は人気アプリのゼロで脆弱性をついた攻撃などに対しては無力だ。
そこで被害を最小限に抑えるための別のアプローチが必要となる。
Win32アップアイソレーションの基本概念
kokorokagami
Win32アップアイソレーションの基本的なコンセプトは、
アプリをできるだけ低い権限で動作させること。
Win32アプリは自由度が高く、誤解を恐れずに言えばやりたい放題だが、
それをAppContainerと呼ばれるサンドボックス境に閉じ込め、システムからの隔離を図る。
こうすることで万が一アプリが盗られてもシステムやその他の領域が守られるというわけだ。
AppContainerはストアアプリやマークソフトエッジなどで採用されており、既に実績もある。
既存のWin32アプリをパッケージングするMSIXパッケージングツールを活用すれば比較的容易に対応できるのも魅力だ。
しかし一方でアプリの権限が低いとファイルシステムやトースト通知、タスクトレイ、プリンターといったリソースへのアクセスまで制限されてしまう。
これでは機能性操作性が著しく低下しアプリは使えものにならない。
そこで第2弾としてアプリを実際に動かし、それが利用しているリソースを調査してそのリソースにだけアクセスを強化する仕組みが必要となる。
これを開発者が手動で行うのも負担となるが、Application Capability Profilerと呼ばれるツールを利用すれば自動化できる。
つまりWin32アプリアイソレーションであればアプリ開発者に大きな負担を強いることなく、エンドユーザーをゼロと一致的性から守ることができるわけだ。
エンドユーザーにとってもやりたい放題なWin32アプリをコントロールし、使わせたくないリソースへのアクセスを拒否できる点は安心感につながるだろう。
Win32アップアイソレーションはOS標準のセキュリティ機能となるべく設計されており、アクセスを許可したリソースはOSのプライバシー設定で確認したり、後から変更ができる。
不審なアプリを侵入した際にスマートアプリ制御と、万が一導入済みのアプリが攻撃を受けた際の被害を最小限にするWin32アップアイソレーションを組み合わせれば、より大きな相乗効果が見込める。
ということで、新たなレイヤーでのWindowsアプリセキュリティソリューションです。
アンドロイドOSやスマートフォンOSの中では、各アプリごとに最小限限の有効化というのを非常に厳格に求める仕掛けがすでに行われており、その概念がWindowsにも入ってきたというだけといえばだけです。
一番のポイントは既存のアプリを含めて柔軟に対応でき得るというところがポイントで、こういうゼロで脆弱性を受ける、アタックの対象になるアプリはすべからくレガシーであるというところが課題なので、そこに対する打ち手が明確に取られているところが非常に魅力的です。
この文化化が進むとWindowsアプリ自体がAndroidOSとかと同じような世界観に変わっていくので、先行してスマートフォン業界のアプリ開発として行われてきたセキュリティ対策をWindows側に取り込めるようになって、よりWindowsがセキュアなOSとして代表的になっていける可能性があります。
実際スマートフォンに対してスマートフォン端末自身がアタックの対象になったとか、そういうニュースはあまり聞かれないので、現状こういったPC環境よりもスマートフォンの方がセキュリティレベルが高いということを考えみると、それを追っかけようとしているマイクロソフトのこの動きというのは非常に良いのかなと思っています。
touden
はい、内容自体は非常に良いかなと思っています。
制限はしたい、制限はしたいけど制限すると使い物にならないというところで、実際使うものだけ最初に許可書を持たせればいいよね、その判定すらもこのツールを使ったらわかるのでそれを書いてくれれば、Win32のアプリでもセキュリティ対策ができるよという話。
なので、すごく良いものをお出ししてきたなというところですね。
ちょっと色々わかってないのが、まずWin32以降の64ビットのソフトはそもそもこういうこと用が権限制限されているという認識でいいのかな?
kokorokagami
というよりは、Windowsのマイクロソフトストアで配信されるアプリについてはこういうものを設定したビルドツールでないと公開できないが正しいですかね。
touden
なるほどね。なのでそこから落としてきたアプリケーションはそもそも対策が取られていると。
kokorokagami
そうですね。
touden
なるほど。
kokorokagami
なので、64ビットのWindowsであっても普通にネットから.msiみたいなファイルを落としてきて実行する場合には一緒です。
touden
なるほど。
対策が必須です。
なので次はそこなんですよね。64ビットであろうと32ビットであろうと、パスを通さずに落としてきたものが結局それを入れたいと思って落としてきているはずなので、
入れました、何かワーディング出たけどよくわかんないけど落ちましたっていうのが防げないなというところ。
で、アップデートしてくれてるとまだいいんですけども、そこまで言うとそこがないからあれですけど、そもそももはやアップデートされてないアプリケーションとかはもはやこれの対応とかそういう話の次元ではないので、
何でしょうね。救えるところは救ったけども最終的なところはやっぱり難しいよねという話になっちゃうのかなというところですね。
でもこれのパッケージ自体はすごく素晴らしいものなので良いと思いますがというところです。
もう一つ、アンドロイドは結構そこら辺の権限がしっかりしているっていう話でしたけど、アンドロイドのアプリって結構権限がザクッとしてて、
ツイッターのアプリケーションとかでもいろいろとつかむなみたいな印象があったんですけど、最近はそこら辺は改善されているという認識なんですか?
kokorokagami
いや、改善されてないです。
touden
そうなんですね。
kokorokagami
おっしゃる通りで何でもかんでも権限を要求しがち問題は解消されてないですね。
なるほど。
Google側ももともとのモチベーションが利用者、ユーザーの許可なしにあらゆるデータに触らせはいけないよねっていうEUの施策を受けて導入しているので、
まあ許可したんだからユーザーの責任じゃんっていう感じであんまりそこを是正する気がなさそうに見えますね。
touden
まあなるほどね。まあというかそこを結構テコ入れするとかなりコストがかかると思うんで大変というのもあると思いますが、
全権限を総ざらえして組み込まないといけないので。
kokorokagami
そうですね。その辺はiOSとかもともとアプリの審査が厳しいところであればチェックするフェーズがあるんでまだいいんでしょうけどね。
touden
まあね確かに。
そういう意味でAndroidはストアというものが強力なのであまりストア以外から入れるということをしないというところである程度救われているというのは確かにそれはそうですね。
kokorokagami
そもそもビルドツールも公式の強制されたものでしかできないとかあるんで。
touden
まあマイクロソフトがそれするのはちょっとマイクロソフトの歴史からすると難しいかなというところだとは思うので。
kokorokagami
そう。介護感性とかそういったものを維持しようとするとどうしても厳しい領域が出てくるのでこういう変換ツールを出してきたっていう世界だと思いますね。
touden
なるほどね。ようやってると思いますわという話ですかね。
そうですね。
ちなみにMacってそういう感じなんですか?使ったことがないのでわからない。
kokorokagami
Macどうなんだろうな。
touden
どうなんですかね。
kokorokagami
ちょっとわからないけれどもあれはもうLinux系と一緒でアプリケーション一つ一つに権限設定する仕掛けになってると思いますね。
touden
なるほど。なのでインストールするときに権限を確認すればいいという手法なのかな。
kokorokagami
おそらくです。知識がLinuxベースだとそうだろうくらいのレベルの推定でしゃべってます。
touden
なるほどね。
Windowsアプリセキュリティソリューションの展望
kokorokagami
この話が進む先というか、そうなったら面白そうだなという世界観で言うと
今日本企業におけるIT部のPCに入れていいソフトかどうかのハンドリングっていうのは非常にアナログで
厳格にやってるところはIT部が許可したツールだけをインストールできます。
これはMicrosoft Officeのみですみたいな。そういった運用をしてるし
そうでないところは基本的にフリーのやつとかツールは入れないでね。
自己責任になるよやめてねっていう指針だけ発表しつつ厳格なルール化はできてない。
というか規制はできてないっていうのが現状かなと思ってます。
この発表を受けてできることとしてはやろうと思えばこうやったツールで
隔離化ができるようになっているし Microsoft Storeからインストールしたものであれば隔離化ができているのであれば
社員は自身のPCに何かツールを導入する場合
この対応ができていないツールのインストールは不可ですという制限はかけられますと。
多分Windowsのユーザーグループポリシーかなんかで制限かけられると思います。
そうした場合ユーザーはレガシーなツールを使えなくなる。
社員はレガシーなツールを使えなくなるんですけど
レガシーなツールを使い続けること自体が今回の話のような脆弱性の悪用によるアタックを受けるので
社員はそういうリスクを取ってはならないという明確化ができるのかなと思います。
一方でどうしてもそういうのを使い倒さないといけないという世界も存在するので
そこについてはまず第一歩としてクラウドの新クライアント側で使ってくださいと。
新クライアント先のリモートクラウド環境というのは
ベースのOSレベルのパッチだったりとかそのインターフェースに対する脆弱性等々については
そのクラウド側が責任を持つということになっていて
自社で責任を持つ必要がないので
IT部としては責任範囲外のところでの脆弱性をアタックされたというだけの話なので
ある意味気にしなくていいと。
クラウドからではやっぱりレガシーすぎて使えないと
ローカルのシリアルコンソールを使いたいんだみたいな話になると
ちょっと専用機みたいな例外対応が出てくるかもしれないですけど
最初の1、2の新クライアント側とこのアプリしか使えませんよという限定化によって
一定レベルのセキュリティの底上げが図れるのかなというのはあるので
もしかしたらそういう対応が常識に変わっていくかもしれないなと思っています。
touden
はい、まあ良き未来ですねという感じですけど
対応してソフトウェアの供給側がやっぱり対応してくれればそういう未来もあるかと思いますけど
マジのマジのレガシーはおそらく専用機になって
専用機がはびこっちゃってIT部大変みたいな感じになりそうだなっていう気もせんでもない。
kokorokagami
そうですね。
touden
こういう方針をとるにしても結局ソフトウェアがこれに対応してビルドするっていう工程が必要なわけで
そもそものアプリケーションが対応していない。
まあそんなソフトを法人で使うのという話ではあるんだけども
そうですね。
まあまあ使うだと言って切り捨てるのがそういう意味では一番正しいか。
kokorokagami
セキュリティの観点だけれど一番正しい。
touden
そうですねという感じはありますけど
ライセンスサーバーとレガシーソフト
touden
でもこの装置を動かすにはこのアプリケーションが必要なんだけども
開発した会社が撤退してるんですよとかザラにあったりするので
kokorokagami
たぶんね一番アタックを受けてかつ困るのがライセンスサーバーです。
touden
そうですね確かに
Windows上で動くライセンスサーバーはクッソレガシーなウェブ技術で立っていることが多くてですね
kokorokagami
ポートに対してもなんか普通にTCPで直接アクセスしていないくらいの
非暗号化通信が常識的に行われてて
ネットワーク上のフローティングライセンスが一番ハックされがちっていう
レガシー問題を度元化させるといけないんですけど
touden
どうなのって感じですね
まあそこら辺もでもなんか新しい会社だといろいろ
なんて言うんですか
ちゃんとした会社のサービスを使ってて
物理機器使ったり何やりかんやりしてるとは思うんですけど
まあ古いソフトほどそういうのは対応できないまま放置されているので
まあなかなか頭が痛いですね
kokorokagami
頭痛いけどそうだよな
でもWindows7とかのサポートが切れたら
ものすごい頑張って投資してPC置き換えとかやるわけじゃないですか
まあね
それがソフトの世界でもそういうことが常識に変わってきたよということで
なんかみんな頑張って理解するしかないような気もしてきましたけどね
touden
まあ変わってきましたよって何年前から変わってるんですかって
いい加減に認識してくださいっていうレベルの話だとは思いますけど
まあ確かになんだろうね
OSは変えたら変わりましょうって言って頑張ったんだけど
kokorokagami
なんで個々のアプリケーションレベルでそういうことをしないのか
まあ費用対効果みたいな話をするんだろうけど
touden
まあそうですね
OSごと入れ替えるって結局作業用のPCごと入れ替えるって話になるので
それやったらそのPC範囲で止まりますけど
さっき言ってた動かないソフトって装置についてるものなので
そもそも入れ替えとかがないですよね
kokorokagami
まあそうだね
入れ替え先っていうのはもう代替案がなくて
Win32アップアイソレーションの注目
kokorokagami
新しくシステム再構築みたいな選択肢しかないっていうのは正直あるでしょうね
touden
まあそうですね
kokorokagami
そこでより良い選択肢とか選べればいいんでしょうけど
得てしてそういうのが残ってるのは
会社から見るともう撤退事業で最後の金稼ぎをやってる事業だったりすることが多いから
投資そこに咲くのはないでしょうって判断が起きちゃいますよね
touden
まあそうですね
今更財布つけられないですもんね
kokorokagami
そうですね
touden
そうすると金稼げるとここまでだって思う方が正しいのか
まあレガシーすぎるソフトはそうですけど話を戻すと
このWin32アップアイソレーション自体はこれが標準になれば
今後最後の話がなくなってくると思うので
そうだね
とても良いんじゃないでしょうかというところに着地できますね
kokorokagami
ビルド済みバイナリーを取り込めるとかいう
そういう仕掛けまでできると最高ですね
それはどういう話ですか
でもできるのかな
私は今回の話でその変換ツールっていうのが
実際に.exeファイルをビルドする時にツールを導入すれば
これに対応したツールに変換できますよってことかと思ってたんですけど
文章的には既存のWin32アプリをパッケージングするツールがあるって言ってるから
バイナリーさえ手に入れば誰でもこれ対応ができるかも
touden
なるほど
ゼロデイ攻撃される前にパッケージングというかこいつで通しておけば
その後ゼロデイ攻撃が発生しても
今まで使ってたアクセス権限じゃないところから権限出してるけど
kokorokagami
大丈夫って言ってくれるってこと
レガシーなやつを使い続けなきゃいけないっていう事情があって
変えられないけどこのツールを通せば一旦その影響範囲はこの範囲で抑えられるっていう
touden
確かに
それができるんだったらかなりいいですね
kokorokagami
レガシーとかだとUARTじゃないか RS-232C通信とかしか使ってないレガシーアプリとか結構あると思うんですけど
コンポート利用みたいな
touden
そこにしか権限を渡されてなかったら結構セキュアになる気がするな
確かに
kokorokagami
そう考えると結構影響が出る範囲が広いですね
ということでちょっと注目の技術なので知っておいた方がいいかなと思いました
今日はこんなとこですかね
touden
本日の内容は小ノートにまとめていますのでご確認ください
レカログではご意見ご感想やこんなことをお話ししたいよぼうもお待ちしています
メールアドレスはレカログ.gmail.comになります
ツイッターもやっていますのでフォロワーやダイレクトメッセージもお待ちしています
本番組はpodcast.spotify.youtubeなどで聞くことができます
ぜひそちらでもサブスクライブよろしくお願いいたします
はいではお疲れ様でした
kokorokagami
はいお疲れ様でした
