昔から「ソフトウェアのバージョンは最新にすべし」と言われたけど...

今回は Bruce Schneier 氏の記事経由で，以下を起点に話を始めようか。

先週の，いわゆる Patch Tuesday で Microsoft Update による脆弱性の修正が約972件にのぼり，そのうちの112件が深刻なものとして計上されている。 年単位の集計でも，今年の報告数が（現時点で既に）ダントツらしい。

こうした脆弱性報告の急増は，ソフトウェアが急にポンコツになったわけではなく，最近の「AI 支援型攻撃（AI-assisted attacks）」が関係しているようだ。

Two weeks ago, OpenAI, Anthropic, Amazon Web Services, Google, Microsoft, and 100 companies and organizations published an open letter warning of a narrowing window for patching vulnerabilities ahead of an expected tsunami of AI-enabled attacks that actively exploit them first. The industry is taking the threat seriously by pumping out unprecedented numbers of patches in their software.

攻撃される前に穴を塞ぐのは正しい。 問題は発見する穴の数と穴を塞ぐまでの猶予期間だろう。 当然ながら（規模的に）人間の手には負えないので，防御する方も AI による支援を受けて対応する。 これが脆弱性報告が急増した理由らしい。

Bruce Schneier 氏はこれを

This is the result of AI-powered vulnerability finding, and a good example of AI helping the defenders more than the attackers.

と肯定的に評価している。

一方で，攻撃側はパッチ情報を解析して利用できる。 これも AI により効率化されていると思われる。

And Microsoft is right: The window to patch has shrunk to “immediately.” AIs are also good at reverse-engineering exploits from patches, which means that these vulnerabilities will be weaponized as soon as the update is published.

個人ユーザはともかく，組織的に Windows を利用している場合は，パッチが出てもすぐに適用できないことが多い。 しかし，攻撃側が AI 支援型攻撃で迅速に脆弱性を突いてくるのであれば，防御側もそのスピードに対応しなければならない。

Kagi Assistant に件の記事を読み込ませたところ，以下を提言してきた。

情シスな方々は，この状況をどう考えているだろうか。 一朝一夕にはいかないと思うのだけど，先延ばしにできる話でもないだろう。

ここからは余談。

最近 Anthropic 社の CEO が AI 開発スピードを減速すべきとか言ってるらしいが（そして米国の大手 IT 企業が賛同している）

• AI開発「減速」をアンソロピックCEOが提案　アルトマン氏・マスク氏らも賛同

ぶっちゃけ「おまえがゆーな！」という感じである。 Anthropic 社をはじめとする米国大手 AI 企業に対しては，まず自社の AI サービスのやらかしに対してちゃんとペナルティを支払わせろよ。 話はそれからだっちうの。

しかもこの「提案」に対してかの大統領は

一方、トランプ大統領はロイター通信などの取材に対して、「多くの非常に否定的な勢力が、実現しないであろうAIについての事柄を持ち出している」と主張。中国とのAI開発競争を踏まえ、米国が同分野で先行する状況を維持したいとの考えを示した。

などと言ってるらしい。 つまり自国企業の野放図な状況を放置する気満々ということである。

ホンマ，この「ならずもの国家¹」をどうにかしてくれよ！ つか，とっとと AI バブル弾けてくれ！ グラボが100万円とかありえねーよ。

参考