OpenAI Daybreakは、防御側がサイバーセキュリティ業務でOpenAIのモデルを利用できるようにするものです。SentinelOneは、ソフトウェアを調べて挙動を理解することであるマルウェアのリバースエンジニアリングにこの機能を活用しており、数週間かかっていた解析を数時間に短縮することで、より多くの脅威を調査できる余力を生み出しています。
解析時間が4〜6週間から約8時間に
高度なマルウェアのリバースエンジニアリングは、トップクラスのセキュリティ研究者でも4〜6週間かかることがあります。これはソフトウェアを分解して挙動を理解する骨の折れる作業で、新しい情報が見つかるたびに手順をたどり直すことも多いです。SentinelOneの最高AI責任者(Chief AI Officer)であるGregor Stewartによれば、OpenAI Daybreakは人間レベルのリバースエンジニアリング成果を約8時間で出せるようになっており、SentinelOneでは従来の4〜6週間から約8時間に短縮されました。深い解析に要する時間が減ることで、SentinelOneの研究者はより多くのマルウェアを調べ、検体間で知見を関連付ける余裕を得ます。こうした広い視野によって、個別の調査では見落とされかねない関係が明らかになることが多くあります。この機会をStewartは「これまで我々には賄えなかった種類のインテリジェンス」と表現しています。
自動化できない説明責任と人の役割
SentinelOneの最高AI責任者であるGregor Stewartは、結果に対する責任はチームが負い続けると強調し、自動化できない唯一のものは説明責任(accountability)だと述べています。
アーキテクチャを変更する判断のようなものには、なお人間の目を置きたい考えです。一方で、局所的な修正やソフトウェアの動作を根本的には変えないものは、自動化により適している可能性があるとしています。
調査できる検体が増えることの意味
かつてSentinelOneの研究チームは、深い調査を、発見した脅威のうち最も興味深いもの、または重要なものに限らざるを得ませんでした。Stewart氏は、リバースエンジニアリングできたソフトウェアはごく少数に限られていたと述べています。比較できる検体(サンプル)が少なく、脅威間のつながりを見つける機会も少なくなっていました。
リバースエンジニアリングが速くなることで、SentinelOneはマルウェアの状況のはるかに大きな部分をマッピングし、その変化に歩調を合わせられるようになります。これにより、研究者は脅威同士のつながりとその関係の変化をより明確に把握できるようになるとStewart氏は述べています。
Daybreakによる解析が速くなると、研究者はより多くのマルウェア検体(サンプル)を比較し、共通のコンポーネントを探す機会が増えます。例えば、一見無関係な2つの検体(サンプル)に共通するコンポーネントが見つかれば、顧客の調査の際にたどる手がかりになりうるとされています。より多くの検体(サンプル)にわたって知見を比較すると、脅威間のより広い関係性も明らかになります。Stewart氏は、そうした関係性を見ることが、より先まで防御し、防御をより先手で行う助けになると述べています。
社内の専門知識とコード作成への展開
SentinelOne社内では、OpenAIのサイバー関連の能力(cyber capabilities)にアクセスできることで、より多くの人がセキュリティ業務の責任を担えるようになっているとStewartは述べています。Stewartは、ほぼ全員が、もしかすると数か月前まで非常に不足していた種類の専門知識を使えるようになったと述べており、より多くのチームメンバーが少数の専門家に頼らず自分で問題を調査できるようになっています。
Stewartは、OpenAIのサイバー関連の能力をコード作成の工程に取り入れたいと考えています。SentinelOneの開発者が開発しながらセキュリティ上の問題に対処できるようにすることを目指しています。OpenAIは開発チームの全員に専門家レベルのサイバー関連の能力を提供することで、優位性を防御側(defenders)に移しつつあるとStewartは述べています。