近年サイバー攻撃の世界では、エコシステムの形成とハッキングツールの商用化が進んでいます。かつては高度なスキルを持ったハッカーにしかできなかったようなハイレベルな攻撃がツールによって自動化され、さらにそれが「as a Service」、つまりサービスとして提供されることで、スキルを持たない多くの人が容易に攻撃を展開できるようになっています。

例えば、DDoS攻撃に関しては、古くからボットネットなどを展開してDDoS攻撃に貸し出すサービスが提供されてきました。また最近は感染先のデータを暗号化や、盗み取って公表すると脅して身代金を要求する「ランサムウェア」の被害が非常に広がっていますが、これも、一人の優れたハッカーが開発して攻撃を行うケースはまれです。たいていは「Ransomware as a Service」（RaaS）と呼ばれるサービスが用いられています。

そして、このランサムウェアをはじめ、さまざまな脅威が企業に侵害する最初の一歩として利用するIDとパスワードといったアカウント情報なども、イニシャルアクセスブローカー（IAB）と呼ばれる攻撃者によって、月額数ドルといった低価格のサブスクリプション形式でアンダーグラウンドで販売されています。

このようにさまざまな攻撃ツールがサービスとして提供され、それらを利用するサイバー犯罪のエコシステムが形成されており、近年のサイバー犯罪の激増を招く一因となっています。

  • サービスとして提供される攻撃ツールがサイバー犯罪増加の一因に

この傾向をさらに悪化させかねないのが、生成AIの存在です。生成AI自体は良くも悪くもありません。しかし、サイバー犯罪者がウイルスやマルウェアの作成、フィッシングメールや詐欺メールの作成、攻撃の自動化などに生成AIを活用することで、攻撃のスピードがさらに上がり、また攻撃範囲も拡大する恐れがあります。

マルウェアや攻撃コードの作成、脆弱性の検出まで、生成AIで可能に

私たちが個人的に、あるいは仕事で生成AIを利用する際には、不正確な情報を返してくる「ハルシネーション」などのリスクに注意を払うことが必要です。また、精度や正確性を担保するために適切なデータをもとに学習されているかといった事柄も大事なポイントとなります。

しかし、もともと失うものなどない攻撃者やサイバー犯罪者にとって、生成AIの精度や正確性はそれほど問題ではありません。間違いも気にせず積極的に生成AIを悪用し、攻撃の「生産性」を高めようとしています。

もちろん生成AIには、「マルウェアを作成してください」といった悪質なプロンプトを防ぐガードレール機能が備わっています。しかし残念ながら、「私は研究者です」「これは空想上の話です」といった前提を生成AIに与えることによって制約を回避して回答を得てしまうという手法を中心に、ガードレールをかいくぐる手法も指摘されています。

加えて、本来は防御の穴を見つけてセキュリティを強化するために開発された「ディフェンダー生成AI」が攻撃者に悪用されるケースもあります。かつて、ペネトレーションテスト用に作られたツール「Cobalt Strike」が、攻撃者の好むツールとして用いられたのと同じことが、生成AIでも起こりつつあります。

例えば、Cobalt Strikeと同様、脆弱性の有無を確認するペネトレーションテストを目的に作られた生成AIが「PentestGPT」です。これはChatGPTによって強化された侵入テストツールですが、攻撃者によって、ターゲットとした企業の穴を自動的に探るために用いられる場合もあります。

  • ペネトレーションテスト用に開発された生成AIが悪用されるおそれも

また、LLM（大規模言語モデル）でさまざまなパスワードを生成して試し、パスワードの強度を調査するために作られた「PassGAN」では、1分以内に51％のパスワードを、1日以内ならば71％のパスワードを解読できます。これも攻撃者の視点に立つと、パスワードを総当たりで解読するブルートフォース攻撃に悪用可能です。

サイバー攻撃の世界では、巧みな会話を通して人をだまし、重要な情報を手に入れる「ソーシャルエンジニアリング」と呼ばれる手法も古くから用いられ、ビジネスメール詐欺（BEC）などに応用されてきました。「HackGPT」と呼ばれる生成AIは、被害者とやり取りをして情報を引き出す一連のコミュニケーションを自動化するものです。母国語やタイムゾーンや異なる攻撃者がソーシャルエンジニアリングを高速化、効率化するのに、こういったツールが用いられています。

さらに、最初から違法な使い方を想定した生成AIも流通し始めています。その一つである「BlackhatGPT」は不正アクセスの概念を理解しており、いくつかの質問を投げかけるだけで、実行中のプロセスに不正なコードを埋め込むWindows向けの攻撃コード生成はもちろん、メモリの操作、さらには権限昇格を行うPowerShellコードなどを作成してしまいます。かつては高度な技術力を持つ攻撃者にしかできなかった攻撃コード作成のハードルが下がり、ひいては、マルウェア開発がより迅速にできてしまうかもしれません。