AI が重要インフラの脆弱性を悪用し攻撃を容易に

長年にわたり指摘されてきた、基礎的なインフラに潜むデジタル上の脆弱性が、新たな現実と衝突しています。AI の登場により、これらの弱点をハッカーがより容易に悪用できるようになっているのです。

なぜ重要なのか：AI は国家支援を受けたハッカーにとっての参入障壁を下げており、彼らは水道システムや発電所などの重要なインフラを妨害したり操作したりする目的でこれを利用しています。

ニュースの背景：最近、重要なインフラを狙った一連のサイバー攻撃が発生し、米国の水道システムの準備状況や英国の発電所の対応について新たな疑問が投げかけられています。

The Telegraph の報道によると、イラン支援とされるハッカーが英国内の発電所に侵入したことで、米国での一連のサイバー攻撃が始まった時期に、同施設は4日間にわたって停止しました。

米国の当局者は先週、ハッカーが重要なインフラに広く搭載されている機器を標的にし、現在進行中の米国水道システムへの攻撃で中心的な役割を果たしているこの機器を狙うために、AI が生成したエクスプロイトスクリプトを積極的に使用していると警告しました。

重要セキュリティ企業ノズミ・ネットワークスのフィールドCISOであるマルクス・ミュラー氏はAxiosに対し、米英両国での攻撃が同じ脅威アクターによるものだと中程度の確信を持っていると語っています。

大きな視点：政策決定者たちは長年、重要なインフラ全体にわたる脆弱なサイバーセキュリティが最終的に現実世界への悪影響を及ぼす可能性があると警告してきました。

5年前、アンガス・キング上院議員（無所属・メイン州）は議会で、米国の水道事業体全体におけるサイバー上の弱点が「極めて危険な状況」であると警鐘を鳴らしていました。

「われわれは世界で最もネットワーク化された国だ。それは良いことだ」と彼は議員らに語った。「だが、同時に世界で最も脆弱な国でもある」

その裏にある真意とは、AI がハッカーがこれらのシステムに侵入する根本的な方法を変えているわけではないという点です。専門家は Axios に対し、AI は特殊な機器の理解や既存の弱点を悪用するために必要な時間と専門知識を大幅に削減しているだけだと説明しています。

イラン系の疑わしいハッカーたちは長年、米国の中核インフラを研究してきました。そこには可変論理コントローラー（PLC）のような特殊なデバイスの仕組みも含まれています。

ムラー氏はかつて、脅威アクターがこれらの機器を標的にするには、実際に機器を手に入れるか、技術マニュアルを丹念に読み込む必要があったと述べています。

現在、AI は「既存の弱点を利用するために必要な時間、コスト、専門知識」を低下させていると、Noma Security の最高情報セキュリティ責任者であるダイアナ・ケリー氏は Axios に語っています。

現実を確認すると、政府が問題を無視してきたわけではありません。しかし、より強力なセキュリティ要件を導入する取り組みは遅々として進まず、法的・政治的・資金面の障壁に何度も直面しています。

環境保護庁（EPA）はバイデン政権下で、水道事業体に基本的なサイバーセキュリティ対策の実施を義務付ける方針を打ち出しましたが、州や業界団体からの法的異議申し立てを受けて後日、この政策を撤回しました。

Qualys のセキュリティ研究マネージャーである Mayuresh Dani 氏は Axios に、連邦政府によるサイバーセキュリティ予算の削減と、州・地方自治体向けの助成金制度の不透明さが「コミュニティを将来のサイバー攻撃に対してより脆弱にしている」と語った。

自動化されたサイバーセキュリティ企業 Viakoo の副社長 John Gallagher 氏も Axios に、サイバー衛生に関するガイダンスや政府からの勧告だけでは、攻撃者の動きに対応しきれないと指摘した。

Gallagher 氏は「サイバー防御が官僚的な予算サイクルや数年にわたる立法プロセスに依存している限り、攻撃者は常にスピードで優位に立つ」と述べている。

ただし、現時点では最近の攻撃は限定的な混乱しか引き起こしていないようだ。

いくつかの町では、ハッカーが水道の圧力レベルに影響を与え、当局が予防的な「煮沸水」勧告を出したケースもある。

The Telegraph は、ある発電所に対するサイバー攻撃について、「英国全体の電力供給やエネルギー生産には影響しなかった」と報じている。

背景にある事情：Darktrace のセキュリティおよび AI 戦略担当副社長 Margaret Cunningham 氏は Axios に、国家支援のハッカーにとって重要インフラが魅力的な標的である理由はまさにここにあると説明した。たとえ比較的小さな混乱であっても、それが非常に目に見える結果をもたらすからだ。

Cunningham 氏は「AI は攻撃者にスピードと到達範囲を与えたが、重要インフラ組織が長年直面してきた問題、例えば露出した運用技術（OT）、パッチ適用の難しさ、そして単に電源を切ることができないシステムといった課題を解消するものではない」と語った。

注目すべきは、英国での事件に関する重要な詳細がまだ不明な点です。どの種類の発電所が標的となったのか、ハッカーがアクセスした機器は何かについて、ミュラー氏は語っています。

さらに詳しく：AI を活用したサイバー脅威は、セキュリティリーダーに意思決定の疲労をもたらしています。