NVIDIA、Nemotron を活用した適応型エージェント型サイバーセキュリティシステムの構築を提案

AI がサイバーセキュリティの速度を変えつつあります。エージェント型システムは、複雑な目標を長期にわたって追求し、業務を調整する能力を持っています。セキュリティチームはすでにセキュリティ運用においてエージェントの活用を始めましたが、多くの実装はまだ既存のアラート、事前定義されたワークフロー、既知の攻撃行動に縛られたままです。

より困難なのは、防御が捉えきれないものを特定し、そのギャップを信頼できるカバレッジに変えることです。これには、組織固有の環境で適応型攻撃を繰り返しテストし、候補となる検出結果が通常の企業活動と矛盾しないか検証する必要があります。

継続的な攻撃・防御テストはこのフィードバックループを生み出します。制御された攻撃は、エージェントがギャップを明らかにし、カバレッジを改善し、再テストを行うために必要なテレメトリとグランドトゥルースを提供します。しかし、エンドツーエンドのサイクルには依然として多大な人的労力が必要です。

オープンモデルと専用ハーンズを活用したレッドチーム・ブルーチームのエージェントが、このループを機械速度でスケールして運用できるでしょうか？

NVIDIA と CrowdStrike は、NVIDIA のアクセラレーテッド・コンピューティング基盤をモデルとした隔離環境において、エージェント型攻撃防御システムの評価を行いました。防御側では、サイバーセキュリティ向けにカスタマイズされた NVIDIA Nemotron モデルが、CrowdStrike のエージェント型セキュリティシステム「SafeMind」内で稼働しています。CrowdStrike による内部評価によると、同社の Blue Solano 防御モデルは、主要な独自開発の最先端モデルと比較して精度が 13% 高く、コストは 97% 削減されています。

今回の評価では、防御のためのオーケストレーションに最適化されたオープンモデル構成として NVIDIA Nemotron 3 Ultra を採用し、検知生成には微調整を施した Nemotron 3 Super を組み合わせました。

本稿では、Nemotron モデルと専用エージェント・ハルネスが CrowdStrike のエージェント型システムとどのように連携するか、その導入と評価プロセス、そして独立してシードされた攻撃ランにおける検知結果の性能について紹介します。

攻防を継続的な学習ループへ

従来のレッドチームとブルーチームの演習は、手動での引き継ぎに依存しています。具体的には、レッドチームが攻撃を実行し、ブルーチームがその結果として得られるテレメトリをレビューします。その後、検出エンジニアが検出手順の開発や更新を行い、再びレッドチームがテストを行います。この一連の手順には時間がかかり、チームが評価できる反復回数や攻撃のバリエーションに制限が生じます。

一方、攻撃と防御を行うエージェントシステムは、これらの活動を機械速度で動作可能な反復可能なクローズドループとして接続します。隔離された代表環境内では、各実行によって攻撃の痕跡とセンサーからのテレメトリが生成され、それらが検出手順の作成や改良に利用されます。得られた文脈は再びレッドエージェントのハッチに戻り、エージェントは代替的な攻撃経路や回避策を適応させてテストします。代表環境内でこれ以上実行可能な経路が見つかるまで、このプロセスは継続されます。

このワークフローは、以下の 4 つの連携したステージで構成されています。

• 実行と記録。脅威を考慮した目標から始まり、レッドエージェントハッチが代表環境内で攻撃経路を選択して実行します。その行動の痕跡は各ステップごとに記録され、CrowdStrike Falcon エンドポイントセンサーが対応するテレメトリを取得しました。

プロセスと再構築。青チームのエージェント・ハネスは、アクションのトレース、センサーのテレメトリ、そして広範な攻撃の文脈を受け取ります。利用可能なデータソースの情報や CrowdStrike の検知エンジニアリングに関する専門知識を基盤として、イベントシーケンスのうちどの部分を再構築できるか、既存の検知がいつトリガーされたか、そして可視性や検知にどのようなギャップが残っているかを特定します。

生成と検証。この分析に基づき、青チームのエージェント・ハネスは候補となる検知ルールを生成します。検証用のハネスは各候補をチェックし、キャプチャしたテレメトリに対してバックテストを実行します。修正が必要な場合は失敗として返却し、検証済みの検知ルールのみを検知エンジンへ送信します。

再テストと適応、そして繰り返し。検証済みの検知が展開された後、独立してシードされた攻撃によって同じ目標への再テストが行われます。検知結果やアラートの文脈は赤チームのエージェント・ハネスに戻され、そこでは防御を完全に理解した上で攻撃経路や回避策の代替案を探り、新たなトレースとテレメトリを生成します。

各サイクルは、防御カバレッジを強化しつつ、防御側の知識をすべて知った上で攻撃側により困難な経路を選ばせることを意図しています。このループは、モデル化された環境内で実行可能な経路がもはや存在しなくなるまで続きます。

代表的なテスト環境の構築

安全かつ現実的なテストを可能にするため、NVIDIA は自社の加速コンピューティングインフラストラクチャを表す、sanitized な自然言語仕様書を提供しました。エージェント支援ワークフローがこの仕様書を解析し、Falcon プラットフォームのセンサーが設置された孤立したターゲット・サイバーエージェント環境へと変換します。

評価では、攻撃経路と観測可能なマイルストーンを用いて、エージェント自身の主張ではなく、アクションの痕跡やセンサーからのテレメトリデータに基づき進捗を測定しました。NVIDIA のセキュリティ専門家が、この環境と脅威経路が現実的かどうかを検証しています。検証済みの同一環境はすべての攻撃実行、検出テスト、評価指標に共通して用いられるため、構成間での一貫した比較が可能になります。

防御ハッチの専門化

次の課題は、得られた攻撃痕跡とテレメトリデータから、技術的・行動的な妥当性を満たす検出ルールを生成することです。オープンなエージェント・ハッチにはすでに、計画立案、ツール利用、コンテキスト管理、反復的な修正といった機能が備わっています。Open Secure AI Alliance は、サイバーセキュリティ分野におけるオープンモデル、ハッチ、ツールのエコシステム拡大を支援しています。

Figure 2. 検出エンジニアリング向けにデフォルトのエージェント・ハネスを特化させる

防御用ハネスには、以下の 6 つの仕組みが組み込まれています。

• スキーマ知識ベース。エージェントがサポートされている Falcon センサーのスキーマ、フィールド、クエリ構文を一覧表示できるツールを提供し、架空のフィールドや無効なクエリの作成を防ぎます。

• テレメトリによる根拠付け。レッド・アジェントのトレース、Falcon のテレメトリデータ、そして広範な攻撃コンテキストを組み合わせることで、ワークフローを実際に観測されたイベントと関係性に結びつけます。これにより、根拠のない接続や幻覚的な関連付けを減らします。

• 特化型検出作成。カスタマイズした Nemotron 3 Super を、検出の生成と修復に特化した専門的なエキスパートとして活用します。これにより、この専門タスクを、より広範なオーケストレーションの文脈から切り離して処理できます。

• アーティファクトのリンティング。構文エラーやサポートされていないフィールド、特定の IP アドレス・ホスト・ユーザー・サブネットに紐付いた検出ルールは、自動チェックで即座に却下されます。エラーが発生した場合は、環境固有の文字列ではなく、行動パターンに基づく信号を軸に再作成するためのガイダンスが返されます。

• 検出の再生。各候補検出は、記録された攻撃テレメトリに対して実際に再生されます。一致する結果が出なかった検出は却下され、修正のために戻されます。一見有効に見えても、実際の記録された活動を検知できていない候補を確実に捕捉できます。

独立したレビュープロセスでは、別の評価者が新しい文脈で各検出結果を評価し、行動の整合性、堅牢性、複数のシグナルの適切な活用を確認しました。これにより、自動チェック（linting）や再生実行では見逃された品質上の課題を発見することができました。

チェックに失敗した場合は、構造化されたフィードバックが「blue-agent」ワークフローへ返され、修正と再試行が行われます。これらの仕組みを組み合わせることで、従来は手動の検出エンジン設計レビューを通じて適用されていたプラクティスを自動化し、検出生成を単なる推測ではなく、実証可能で修正可能なものとして確立しました。

防御オーケストレーションと検出生成のためのNemotronのカスタマイズ

Nemotronのようなオープンモデルは、ドメイン固有データによるポストトレーニングが可能であり、制御された環境で独自コンテキストを付与して展開し、コストとスケーラビリティの観点から最適化できます。今回の評価で使用したオープンモデル構成では、Nemotron 3 Ultra が攻撃シーケンスの再構築や検出エンジニアリング手順の計画、およびツールの呼び出しを行いました。一方、検出ロジックの記述や修正が必要な場面では、カスタマイズされたNemotron 3 Super が限定された専門エクスパートとして機能しました。この役割分担により、ワークフローのオーケストレーションと専門的な検出作成を明確に分離しています。

この専門的なエキスパートモデルを構築するため、CrowdStrike は「Nemotron 3 Super」をベースに NL2LogScale モデルを開発しました。その後、サイバーセキュリティ分野の知識を用いた継続的事前学習（continual pretraining）、教師あり微調整（supervised fine-tuning）、検証可能な報酬に基づく強化学習（reinforcement learning with verifiable rewards）を施しています。

微調整には、59 種類のプログラム生成されたエラータイプにまたがる 9,349 の検出生成例と多段階の修復例が使用されました。学習データは、Nemotron 3 Super からのリクエスト言い換え文、実際の Falcon LogScale 実行時のエラーログ、そして Nemotron 3 Ultra から品質レビュー済みの推論トレースを組み合わせたものです。

強化学習では、生成されたクエリの検証と Falcon LogScale 内での実行に NVIDIA NeMo Gym を活用しました。不正なクエリには実際のエンジンエラーが返され、最大 5 回の修復試行が行われます。それでも解決しなかった場合は報酬はゼロとなります。一方、生成された正当なクエリと参照クエリは同じ合成ログに対して実行され、両者が返すイベントの F1 スコア（重なり度合い）を報酬として算出しました。モデルの更新には NVIDIA NeMo RL を用い、グループ相対ポリシー最適化（Group Relative Policy Optimization）を実現しています。

バックテストから実運用まで、エージェントシステム全体を評価する

検出システムが、作成に使用された既知の攻撃を認識できても、同じ挙動を実行する新たなケースでは失敗することがあります。そのため、各システムの評価は2段階で行いました。まず記録された攻撃に対するバックテストを行い、その後、同一シナリオファミリーからの8つの新しい攻撃を用いたライブファイアテストを実施します。すべての検出結果は、生きた検出エンジンにそのままデプロイされました。

独立した第三者モデルが、各一致が意図した攻撃挙動を正しく表しているかを判定し、その結果は独立してシードされた作成セッション全体で平均化しました。

記録された攻撃に対するバックテスト

Nemotron 3 Ultra とデフォルトのハネス（枠組み）を使用した場合、8 つの独立したシードセッションを通じて生成された検出のうち、記録された攻撃を検出した割合は平均 16.5% でした。Ultra モデルを維持しつつ、チューニング済みのハネス、カスタマイズされた Nemotron 3 Super、ドメインコンテキスト、ツール、検証機能を追加すると、6 つのセッションでの平均値は 41.9% に向上し、2.5 倍の改善となりました。

最適化された構成ではハネスとモデルスタックの両方が変更されているため、この向上は特定のモデルを単独で評価した結果ではなく、オープンなパイプライン全体の効果を示しています。

ライブファイアテストによる一般化能力の評価

Nemotron を活用した最適化されたオープンパイプラインと、完全なフロンティアシステムそれぞれから、11 件と 35 件のバックテスト合格検出を、未知の攻撃 8 つに対して実戦投入しました。その結果、オープン側の検出 11 件中 5 件（45%）が少なくとも 1 つの攻撃を検知した一方、フロンティア側では 10 件（29%）でした。検出数で見ると、オープンパイプラインは検出あたり平均 2.6 件の検出を記録し、フロンティアシステムは 1.1 件でした。

ただし、検知能力そのものだけが最初の品質基準ではありません。ゴールド認定を受けるには、利用可能なテストトラフィック上で静穏を保ちつつ、行動の根拠や複数の信号、環境固有の文字列が含まれていないことを独立したレビューでクリアする必要があります。発火（作動）したオープン側の 5 件中 4 件と、フロンティア側の 10 件中 9 件が静穏を維持し、それぞれ 8 つの攻撃のうち 8 つと 7 つをカバーしました。最終的なレビューを経て、ゴールド認定を獲得したのはオープン側で 3 件、フロンティア側では 0 件でした。しかし、この 3 件の検出は依然として全 8 つの攻撃を網羅しています。

結果の解釈

生成されたフロントエンドシステムは、バックテストで通過する検出をより多く生み出しましたが、最適化されたNemotronオープンモデルパイプラインは、一般化可能な検出の割合が高く、1 回の検出あたりの平均検出数も多くなり、ゴールド検出を生み出した唯一のシステムでした。評価は 1 つのシナリオファミリーと小規模な検出セットに限定されたため、シナリオ間の一般化能力はまだ検証されていません。良性トラフィックが限られていることから、ノイズテストが生産環境での偽陽性性能を完全に代表しているわけではありません。8 回のライブファイア実行のうち 3 回でハッチング（枠組み）の障害が発生しましたが、完全なテレメトリデータを取得できたため結果は保持されました。今回の知見は、方向性を示すシステムレベルのケーススタディであり、一般的なベンチマークではありません。

専門エージェントへのパターンの適用

この評価から、NVIDIA Nemotron を用いた専門エージェント構築におけるより広範なパターンが見えてきました。防御ワークフローをオーケストレーションするのは推論モデル、限定された専門家タスクを担当するのは後学習済みオープンモデル、そしてコンテキスト、ツール、検証を管理するのはエージェントハッチングです。これに基づき、4 つの設計原則が浮かび上がります。

• 測定可能なタスクを定義し、各モデルに明確な責任を割り当てること。

• ドメインデータと検証可能な報酬を用いて専門モデルを後学習すること。

• 権威あるコンテキストに基づき出力を確定させ、決定論的なチェック、現実的なリプレイ、独立したレビューを通じてそれらを検証すること。

セキュリティ専門家がシナリオ、ガードレール、および検証済み出力の活用を統括する現実的な環境下で、ワークフロー全体を評価する必要があります。

CrowdStrike はこのアプローチを「SafeMind」という自律型サイバーセキュリティシステムを通じて推進しています。これは攻撃と防御の AI を継続的な共進化ループに統合したものです。他の限定されたドメイン向けに専門エージェントのカスタマイズや評価を行うには、NVIDIA Nemotron 3、NeMo Megatron Bridge、NeMo Gym、および NeMo RL をご参照ください。