フィールドCTO Q&A：AIエコシステム全体のレジリエンスを再考する

共著：Mike Nelson

リスクはどこまで波及するのか？AIエコシステムにおけるレジリエンスを再考する

B. Braunの最高製品セキュリティ責任者（CPSO）であるJoern Lubadel氏と、DigiCertのフィールドCTOであるMike Nelsonが、AIによってセキュリティチームの依存関係、信頼、レジリエンスに対する考え方がどのように変化しているかを考察します。

サイバーレジリエンス法（CRA）は、ソフトウェア部品表（SBOM）、脆弱性管理、文書化、報告義務など、コンプライアンスの観点から語られることがよくあります。

しかし、これらの要件の根底には、AIが企業システムでますます重要な役割を担うようになる中で、特に重要となる考え方があります。それは、現代のテクノロジーはもはや単独では機能していないということです。

アプリケーションはクラウドサービスに依存しています。AIエージェントはモデルやツールを呼び出します。システムは外部ソースから情報を取得します。デバイス、ワークロード、API、データは、技術的な境界や組織の境界を越えてやり取りされます。ある場所に存在する弱点が、まったく別の場所に影響を及ぼす可能性があるのです。

これは、B. Braunの最高製品セキュリティ責任者であるJoern Lubadel氏が、サイバーレジリエンス法の幅広い影響について考える中で注目してきた課題です。同氏の問いは、コンプライアンスの枠を大きく超えています。最も重要なのは、脆弱性がどこで発生するかではなく、その影響がどこまで波及するかではないでしょうか。

今回、Lubadel氏とDigiCertのフィールドCTOであるMike Nelsonが、こうした考え方がサイバーセキュリティ、AIの信頼性、レジリエンスにとって何を意味するのかについて議論しました。

DigiCert：Joernさん、CRAのどのような点が、これまでとは異なる考え方につながっているのでしょうか？

Joern Lubadel氏（B. Braun）：サイバーレジリエンス法に関する議論の多くは、SBOM、脆弱性管理、文書化、コンプライアンスに焦点を当てています。これらはすべて重要です。

しかし、私が特に注目しているのは、依存関係と相互接続された環境が重視されている点です。

数年前までは、デジタル製品をほぼ独立したシステムとして捉えることができました。しかし、現在ではそれがますます難しくなっています。一つの製品に見えるものでも、クラウドサービス、外部の情報ソース、AIモデル、エージェント、医療プラットフォームや接続された医療技術、さらにはその製品の直接的な管理範囲外にある他のシステムに依存している場合があります。

したがって、もはや単に「この製品は安全か？」と問うだけでは十分ではありません。

その製品が何に依存しているのか、何がその製品に依存しているのか、そして弱点による影響がその環境全体にどこまで波及する可能性があるのかも考える必要があります。

私にとって、これはCRAの背景にある特に興味深い考え方の一つです。個々のコンポーネントだけでなく、エコシステム全体を捉えるよう促しているのです。

Mike Nelson（DigiCert）：私も同感です。そして、AIによってこの変化がさらに明確になっています。

エージェントが有用なのは、まさに他のシステムと連携できるからです。情報を取り込み、ツールを呼び出し、アプリケーションとやり取りし、アクションを実行します。

つまり、個々のコンポーネントのセキュリティを理解するだけでは、環境全体の安全性を十分に把握することはできなくなっています。

リスクは、コンポーネント自体の内部だけでなく、コンポーネント間の関係性にもますます存在するようになっています。

Mike：それは、脆弱性の優先順位付けについて考え直す必要があるということでしょうか？

Joern：脆弱性の評価に、もう一つの観点を加える必要があると思います。

私たちは脆弱性の特定に多くの時間を費やしていますし、それは当然重要です。しかし、脆弱性が存在するという事実だけでは、全体像はわかりません。影響が限定的な弱点もあれば、技術的には悪用可能であっても、重大な影響につながらないものもあります。重要なのは、その弱点が重要な対象に到達する現実的な経路の一部となり得るかどうかです。

そう考えると、問いは「脆弱性はどこにあるのか？」から「この脆弱性はどこにつながる可能性があるのか？」へと変わります。

こうした経路を理解できれば、どこで対策を講じるべきかについて、より適切な判断ができます。すべての弱点を排除することはできないかもしれませんが、最も重要な経路を特定し、どこで遮断、封じ込め、検知できるかを判断することはできます。

私にとって、それこそがレジリエンスのより実践的な定義です。

Mike：そこで重要になるのがコンテキストです。

同じ脆弱性が二つ存在すると想像してみてください。一つは他のシステムにほとんどアクセスできないシステムに存在します。もう一つは、AIエージェントがアクセスできるワークロードに存在し、そのエージェントには機密データへのアクセスや別のアプリケーションでアクションを実行する権限が与えられています。

脆弱性は同じでも、その影響は同じではありません。

だからこそ、到達可能性が非常に重要なのです。このシステムは何と通信できるのか？何を信頼しているのか？どのような権限を持っているのか？そして、その信頼が誤っていた場合、何が起こるのか？

AIによってサイバーセキュリティの基本原則が変わるわけではありません。しかし、こうした関係性を無視することがますます難しくなっています。

DigiCert：こうした状況において、信頼境界はどのような役割を果たすのでしょうか？

Joern：こうした経路をたどり始めると、至るところに信頼境界が存在することに気づきます。

外部ソースから情報が取り込まれます。サービスは自ら生成していないデータを受け入れます。AIエージェントは別のコンポーネントからコンテキスト情報を取得します。下流のシステムは、別の場所で生成された情報に基づいて動作します。

こうした境界の一つひとつで、明示的に設計されているかどうかにかかわらず、信頼に関する判断が行われています。

重要なのは、「これを信頼できるか？」という問いだけではありません。「なぜ信頼できるのかを説明できるか、そしてその信頼を検証できるか？」ということです。

環境の相互接続が進むにつれて、この違いはますます重要になります。

Mike：従来、多くの信頼に関する判断は暗黙的に行われてきました。

既知のネットワーク、アプリケーション、アカウント、環境から来たという理由で、システムが何かを信頼することがあります。しかし、エージェントやワークロードがクラウド、アプリケーション、組織の境界を越えて移動するようになると、こうした信頼のあり方を維持することは難しくなります。

信頼は、より明示的なものになる必要があります。

私たちは、次のような問いに答えられなければなりません。

• このワークロードやエージェントは何か？
• そのアイデンティティを検証できるか？
• 誰が責任を負っているのか？
• どのような操作が許可されているのか？
• 提供された情報が改ざんされていないか？
• その権限は現在も有効か？

これらは単なるアクセスに関する問いではありません。検証に関する問いなのです。

Mike：そう考えると、PKIのような技術の重要性は低下するどころか、むしろ高まっているように思えます。

Joern：私も繰り返しその点に立ち返りました。

この考え方を掘り下げていくほど、長年利用されてきた技術に改めて注目するようになりました。公開鍵基盤（PKI）、ワークロードアイデンティティ、デバイスアイデンティティ、デジタル署名、アテステーション、ライフサイクル管理などです。

これらの技術が重要なのは、新しい技術だからではありません。依存関係が増えるたびに難しくなる問題を解決できるからです。

エコシステムがより動的になるにつれて、信頼は所有関係よりも検証に基づくものへと変化していきます。

システムには、やり取りしている相手が誰なのか、あるいは何なのか、情報の完全性が維持されているか、アイデンティティや認証情報が現在も有効かを示す証拠が必要です。

ここでは、ライフサイクル管理が特に重要になります。信頼は一度確立すれば終わりというものではありません。証明書には有効期限があり、鍵はローテーションされ、アイデンティティは失効し、システムや関係性も変化します。

継続的な管理がなければ、検証された信頼は、いつの間にか検証されていない暗黙の信頼へと変わってしまう可能性があります。

Mike：まさにそこに、暗号技術に基づく信頼の価値があります。

PKI、デジタル署名、検証可能なアイデンティティによって、システムは独立して検証できる証拠を得られます。

エージェントは、ツールに対して自身のアイデンティティを証明する必要があるかもしれません。サービスは、リクエストが本当に権限を持つエージェントから送信されたものかを確認する必要があります。また、下流のシステムでは、情報が変更されていないことを示す証拠が必要になる場合もあります。

暗号技術は、こうした判断を行うための基盤となります。

ただし、暗号技術によって何が証明されるのかを正確に理解する必要もあります。

デジタル署名によって、誰が署名したのか、署名後に内容が変更されていないかを確認できます。しかし、AIが生成した結果が事実として正しいか、医学的に正しいか、あるいは文脈上適切かを証明することはできません。

アイデンティティと完全性は信頼を構成する重要な要素ですが、検証、ポリシー、人間による判断に取って代わるものではありません。

Mike：AI環境は絶えず変化しています。セキュリティチームはこの変化をどのように捉えるべきでしょうか？

Joern：ここでは、静的な証拠だけでは不十分になり始めると思います。

私たちはSBOM、脅威モデル、リスク評価を成果物として扱うことがよくあります。しかし、それらの真の価値は、変化する環境を把握するためのシグナルとして活用することにあるのかもしれません。

モデルが変更される。エージェントに新しい権限が付与される。新しい連携機能が追加される。ワークロードが新しいソースからデータを取得し始める。

こうした出来事の一つひとつが、必ずしも新たな脆弱性を生み出すわけではありません。

しかし、それぞれが新しい関係性を生み出し、その関係性によって、それまで存在しなかった経路が形成される可能性があります。

そのため、問いは「どのような脆弱性が存在するか？」から「何が変化し、その変化によって現実的な新しい経路が生まれたか？」へと変わります。

そのためには、定期的なスナップショットではなく、継続的な状況把握が必要です。

Mike：そして、そこで自動化と人間による判断を組み合わせることが重要になります。

自動化は、インベントリを最新の状態に保ち、依存関係を関連付け、到達可能性、アイデンティティ、信頼の変化を特定するのに役立ちます。

しかし、その影響が実際に重要かどうかを判断するには、依然としてコンテキストの理解と責任ある判断が必要です。

システムは何かが変化したことを知らせることができます。しかし、その変化が許容できるものなのか、重大なリスクを生み出すのか、そして次にどのような対応を取るべきかを判断するのは人間です。

この組み合わせによって、セキュリティチームはリスクをより動的に把握できるようになります。

DigiCert：こうした考え方によって、サイバーレジリエンス法そのものに対するお二人の見方も変わりますか？

Joern：私にとっては、そうですね。

コンプライアンス要件は必要ですが、CRAのより興味深い貢献は、依存関係、相互接続性、そしてその影響について考えるよう促している点にあると思います。

これは、AIを活用するエコシステムにおいて特に重要になります。

私が繰り返し立ち返る問いはシンプルです。

相互接続されたエコシステムの中で、一つの弱点による影響はどこまで波及する可能性があるのか？

この問いを立てることで、個々のコンポーネントだけを見るのではなく、それらをつなぐ関係性に目を向けるようになります。

これは単なるコンプライアンス対応というよりも、レジリエンスに関する課題だと感じています。

Mike：そして、AIによってこのレジリエンスの課題はさらに緊急性を増していると思います。

エージェント、モデル、ワークロード、アプリケーション、データソースは、ますます動的なエコシステムを形成しています。こうした環境を保護するには、弱点を見つけるだけでは不十分です。関係性を理解し、境界を越えた信頼を検証し、権限がどこまで及ぶのかを把握する必要もあります。

だからこそ、AIの信頼性は、AIモデル自体のセキュリティを確保することだけに限定できないのです。

AIの自律性が高まるにつれて、何が動作しているのか、何を行うことが許可されているのか、何に依存しているのか、そしてその関係性を検証できるのかを把握する必要があります。

Joern氏の問いは、議論全体を新たな視点から捉え直すうえで有用です。

最も重要なセキュリティ上の問いは、もはや単に次のようなものではないのかもしれません。

「脆弱性はどこにあるのか？」

むしろ、次のように問うべきなのかもしれません。

「その脆弱性は、私たちをどのようなリスクへと導く可能性があるのか？」