(c)NEWSIS
(c)NEWSIS

【11月09日 KOREA WAVE】サイバー攻撃の兆候を検知するために主に使われてきた人工知能（AI）を、国家機関同士の情報共有にも活用すべきだとの提案が韓国で出た。北朝鮮とつながるハッカー集団が、おとり文書の作成から攻撃ツールの開発までAIを幅広く使う一方、韓国の防御側では活用が検知段階に偏っているという。

祥明大学ヒューマンAI工学専攻のユ・ジヨン教授が5日、ソウルで開かれた韓国サイバー安保学会の学術大会で研究結果を発表した。2024年から2026年10月までに国内外で公開された主な攻撃・対応事例12件を分析した。

ユ・ジヨン氏によると、防御過程でAIの貢献が最も明確だったのは、攻撃の兆候を検知する段階だった。手口の分析や攻撃主体の追跡、関係機関への情報共有にも一部使われているが、依然として人の作業が必要だという。攻撃を素早く見つけても、関係機関への情報共有や令状審査、サーバーの押収など、その後の手続きには時間がかかると指摘した。

例えば、ある機関が攻撃に使われたIPアドレスを他の機関へ伝えれば、受け手はそのアドレスとの通信履歴を調べ、必要に応じて接続を遮断できる。ユ・ジヨン氏は、一つの機関が得た手掛かりを、別の機関の点検に迅速につなげるため、情報共有の自動化を提案した。一方、共有過程では民間企業のデータやシステムを扱うため、それらを保護する法的な仕組みも必要だとした。

韓国では既に、韓国インターネット振興院（KISA）のサイバー脅威情報分析・共有システム「C-TAS」に接続した企業や機関が、攻撃に使われたIPアドレスやマルウェア情報をリアルタイムで交換できる。ユ・ジヨン氏は、これに加え、攻撃者がAIを使った際に残す痕跡も共有すべきだと指摘した。AIによる文書作成や翻訳を経ると、文体や語彙から作成者を推定することが難しくなる。そのため、文書の作成過程を示すファイル属性や、AIツールの利用記録にも注目する必要があるという。実際、セキュリティー企業ジニアンズは、北朝鮮系ハッカー集団「キムスキー」が攻撃に使った一部のおとりPDFで、作成ツール欄にAIコーディングツール「オープンコード」の名前が記録されていたことを確認した。

ユ・ジヨン氏は、商用AIサービスのアカウント停止だけでは対処できない例として、キムスキーの「ギットパワー」攻撃も挙げた。GitHubなどのコード共有サービスを、悪意あるファイルの配布や攻撃指令の伝達に使ったものだ。攻撃用サーバーでは、商用AIサービスに接続せず、公開AIモデルを動かして保有文書を検索できる環境が確認されたという。この場合、攻撃者は資料を外部サービスに送らず、自分の機器で検索できる。商用AI企業が不正利用アカウントを停止しても、攻撃者が独自に動かすモデルには効果が及ばない。

ユ・ジヨン氏は、攻撃に使われたAIの痕跡を分析するため、セキュリティー機関とAI基盤モデルの開発企業との協力も必要だと述べた。

(c)NEWSIS/KOREA WAVE/AFPBB News