MicrosoftはChatGPTを開発したOpenAIの強力なサポーターであり、これまでに110億ドル以上を投資した。

　だがOpenAIはMicrosoftだけのものではない。Recorded Futureは2023年4月11日に（注3）OpenAIの大規模な言語モデルを使用して、侵害の指標や脆弱（ぜいじゃく）性、設定ミスを特定することで顧客によるリアルタイムの自動的な脅威検出を支援するツールをリリースした。

　この技術はまだ初期段階だが、テクノロジーベンダーが生成型AIを導入する競争に加わるにつれて、サイバーセキュリティベンダーも同様に対応するだろう。ChatGPTや生成型AIはサイバーセキュリティの全てのレイヤーに適用されるわけではないが、製品開発はもちろん、断片化したデータストリームを統合して組織が行動を起こすために必要な洞察の提供など、重要な領域に大きな影響を与えると期待されている。

　(ISC)2のジョン・フランス氏（CISO《最高情報セキュリティ責任者》）は次のように述べた。

　「私たちはセキュリティの分野における生成型AIの利用を始めようとしている。セキュリティベンダーは何十年も前から人工知能（AI）や機械学習を製品や脅威検出プロセスに組み込んできてきた。与えられたデータの信号対雑音比を改善して、人間にはできない異常やパターンを大規模に特定することに対して大きな成功を収めてきた」

　ChatGPTや生成型AIはセキュアなコーディングを支援し、最も重大な脆弱性や設定ミスについて組織に警告することで、防御能力を強化すると期待されている。

　もちろん裏を返すと、攻撃側もこの技術を使用して（注4）本物そっくりのフィッシングメールのわなを作り出したり、マルウェアのコードを書く能力をテストしたりしている。

　ChatGPTがサイバーセキュリティ分野で実現し得る画期的な技術は、まだ大部分が開発中だ。Darktraceのジャスティン・フィアー氏（レッドチームオペレーションを担当するシニア・バイスプレジデント）は、「ChatGPTと生成型AIがネガティブな結果よりもポジティブな結果をもたらすと期待している。だが、具体的にどういったもので、どのように実現されるのかを判断するにはまだ早過ぎる」と述べた。

　「市場全体がAIに支配されると見ているのだろうか？　いや、違う。6カ月後、12カ月後には状況が変わっているだろうか？　絶対にそうだ。私たちは状況が落ち着くのを待っているのだ」（フィアー氏）

ChatGPTは専門家と置き換わるのか、それとも違うのか

　ChatGPTはサイバーセキュリティの防御基盤を完全に作り変えることはできないかもしれないが、生成型AIはセキュリティにおいて存在感を示すだろうと多くの人が期待している。

　アクセス管理ソリューションを提供するKeeper Securityのダーレン・グッチオン氏（CEO兼共同創業者）は、「ChatGPTのような製品が新しいセキュリティ製品やプロセスの開発を加速させる」と期待する。

　「機能としては始めから終わりまで変わらないだろうが、生成型AIの技術が製品開発のライフサイクルに組み込まれることで物事が活性化され、迅速さが増すだろう」（グッチオン氏）

　脅威や脆弱性の自律的な検出など、サイバーセキュリティのツールや実行手順に組み込まれたこれまでのAIの進歩は、これから起こることの前兆かもしれない。

　「サイバーセキュリティの専門家の中には、ChatGPTに質問をしたり、コードを書かせたりしている人もいる。これは生成型AIがより広い活用方法を整理するための適切な指標になることを示唆している」（フランス氏）

　データの概念化と理解はChatGPTの最大の成果の一つだ。「専門家はいまのところ適切な質問をする必要がある」とフィアー氏は述べる（注5）。ChatGPTのようなツールの価値を引き出すには、その技術を用いて何ができて何ができないかを技術者が理解する必要があるのだ。

　「ChatGPTは自己意識を持った存在ではない。あなたの代わりにセキュリティオペレーションセンターを運営し、あなたの代わりに意思決定をしてくれるわけではないのだ」（フィアー氏）

人の処理能力を超えたサイバー業務

　多くの専門家によれば、AIがサイバーセキュリティで輝くのは人間にはできない仕事を引き受ける時だという。

　「私たち人間の力では、効率的な作業や運用を続けるために必要なレベルでサイバーセキュリティの業務をこなすことはもはやできない」（フィアー氏）

　そうした部分でこそ、ChatGPTのような生成型AIツールを生かすことができ、サイバーディフェンスにおける単調かつ膨大な業務の処理を滞りなく処理できる。

　「サイバー環境において物事は急速に変化しており、私たち人間はそのようなタスクに対応できない。私たちに責任があるわけではなく、単に私たちにはそうした業務を行うための演算能力が備わっていないというだけなのだ」（フィアー氏）