CleverHansの適応型AIワーム、拡散しながら学習し従来のサイバー防御に挑む

CleverHansの研究者は、単一の固定エクスプロイトに依存せず、異なるデバイスを侵害する適応型AIワームを構築した。これは、既存のサイバー防御に一石を投じる初の事例だ。プロトタイプは各標的を調査し、攻撃戦略を選び、コードを生成し、失敗後には手法を調整した。そして、侵害に成功したマシンへ自身を複製した。

システムは33ホストから成る隔離済み仮想ネットワーク内にとどまり、研究者によれば、実環境で稼働したことはない。それでも15回の管理された実験で、Linuxサーバー、Windowsシステム、インターネット接続デバイスに拡散した。代表的な実行では、5世代の複製を経て27ホストに到達した。

この違いは重要だ。WannaCryは単一の脆弱性を悪用して広範に拡散したため、防御側はその特定経路を閉じることに集中できた。一方、CleverHansの適応型AIワームは、AIエージェントを用いてマシンごとに異なる弱点を探した。その重要性は生の速度よりも、配備後も戦術的判断を続けられる点にある。

この研究は、止められないマルウェアや、未知の脆弱性を自在に発見するワームを示したものではない。自動偵察、言語モデルによる推論、ツール利用、エクスプロイト生成、自己複製を組み合わせた、実用的ではあるものの不完全なシステムを示している。この組み合わせにより、従来は人間のオペレーターが担っていた作業の一部がマルウェア自体へ移される。

CleverHansの適応型AIワームはホストごとに攻撃を変えた

中心的な変化は、ワームが拡散を始める前に攻撃ロジックを完全に書き上げる必要がなくなったことだ。

従来のコンピューターワームは、すべての感染を人間が指示しなくてもネットワーク接続されたマシン間を移動する自己複製型マルウェアである。通常、その開発者は1つのエクスプロイト、または限られた事前定義済み手法の組み合わせを与える。ワームは互換性のある標的をスキャンし、そのコードを実行して、同じ処理を繰り返す。

6月2日に公開された適応型ワームの論文で説明されたプロトタイプは異なる動作をした。研究者らは、オープンウェイトの大規模言語モデルをエージェント型フレームワークに接続した。これは、状況を観察し、ツールを使い、作業中のコンテキストを保持し、次の行動を選択できるソフトウェアを意味する。モデルはシステムの意思決定コンポーネントとして機能した。

ワームが標的に遭遇すると、マシンに関する情報を集め、利用可能な弱点を評価した。続いて攻撃戦略を立案し、必要なコマンドやコードを生成して、侵害を試みた。試行が失敗すれば、さらに分析を行い、方針を修正することもできた。

この設計により、ワームは同一のマシンだけを探すのではなく、異種環境に対処できた。テストネットワークにはLinux、Windows、Internet of Thingsデバイスが含まれていた。研究者らはそれらのホストに、企業環境で見られる一般的な脆弱性やセキュリティ上の弱点を意図的に配置した。

その弱点には、公開済みのソフトウェア脆弱性と、より広範な設定上の問題が含まれた。使い回された認証情報、公開されたサービス、弱いアクセス制御は、必ずしも単一のパッケージ化されたエクスプロイトにきれいに対応するわけではない。実行可能な経路を見つけるには複数の観察結果を組み合わせる必要があり、その点でエージェントの推論ループが重要になった。

研究者らは、システムが試行の82％で脆弱性を特定したと報告した。検出は侵害成功を保証しない。適切な手法を選択した後の失敗の大半は不正なペイロードによるもので、エクスプロイトの成功率は試行の44％だった。

この差は、AIマルウェアに関するより劇的な説明を検証するうえで有用だ。モデルは試すべき手法を理解していることが多かったものの、実際に機能するコードを生成できなかった。そのため、脆弱そうな点を認識する能力ではなく、コーディングの信頼性が主なボトルネックになった。

それでもワームには、繰り返し行動する機会があった。実験全体で、約74％のホストで特権アクセスを取得し、およそ62％に複製したとされる。プロトタイプは約5日間でテストネットワークの半数に到達した。

このペースは、数分から数時間でネットワークを横断した歴史的なワームと比べれば遅い。各標的には、偵察、計画、ペイロード生成のために数百回のモデル推論呼び出しが必要だった。同じ遅延により、防御側にはスキャン、失敗した攻撃、想定外の認証活動、複製を特定する時間がより多く与えられた。

ただし、速度は研究者らの主張の中心ではなかった。研究概要は、ワームが固定されたエクスプロイトコードを目標指向の推論に置き換えられると論じている。モデル推論がより安価で高速、かつ信頼性を高めれば、遅いプロトタイプであっても重要性を持つ。

最も重大な実証は、モデルの学習カットオフ後に開示された脆弱性を扱ったものだった。ワームは実行中に公開セキュリティアドバイザリーを取り込み、2026年に公開された3件の脆弱性を悪用した。その詳細を元のモデルの重みに埋め込んでおく必要はなかった。

この結果は、システムが未知の欠陥を独自に3件発見したことを意味しない。防御側と攻撃側がすでに読める情報を利用しただけだ。変化したのは、人間のオペレーターがワームを書き直すのを待たずに、最新情報を攻撃行動へ変換できる能力である。

このため、システムを「学習する」マルウェアと表現するには注意が必要だ。マシンごとに基盤モデルを再学習したわけではない。実行時の推論、観察、メモリ、反復的なツール利用によって適応した。変化する攻撃行動に直面する防御側にとって、この違いはほとんど慰めにならない。

小規模なローカルモデルがクラウドの安全性チェックポイントをなくす

このプロトタイプは、AIプロバイダーが中央サービスで悪意あるリクエストを阻止できるとするセキュリティ戦略に圧力をかける。

AIを利用したサイバー攻撃を巡る公開討論では、OpenAI、Anthropic、Googleのような企業が運用する最先端システムに焦点が当たりがちだ。こうしたプロバイダーは利用状況を監視し、特定のリクエストを拒否し、アカウントを停止し、レート制限を課すことができる。また、ユーザーによる何らかのインストールを待たず、サーバー側の安全対策を更新することも可能だ。

CleverHansの適応型AIワームは、そうしたサービスに依存していなかった。単一GPUでローカル実行できる、名称非公開のオープンウェイトモデルを使用した。オープンウェイトモデルでは、開発者のサーバー外にあるハードウェアで稼働させるために必要なパラメーターをユーザーがダウンロードできる。

この配備モデルは、誰がシステムを制御するかを変える。クラウドプロバイダーは、侵害されたネットワーク内だけで送信されるリクエストを検査できない。アカウントが存在しなければ、攻撃者のアカウントを無効化することもできない。攻撃者の制御下で動くモデルに対して、サービスによる拒否を強制することもできない。

研究者らは、モデルの識別情報、推論グラフ、ツールハーネス、その他の運用上の詳細を意図的に非公開とした。また、実装を公開することも控えた。適格な防御研究者は将来、University of Torontoとともに設けた審査プロセスを通じてアクセスを申請できる可能性がある。

こうした詳細がなくても、この実験はモデルの安全性とシステムセキュリティの間にある隔たりを示している。商用チャットボットはマルウェア作成の依頼を拒否するかもしれない。ダウンロード可能なモデルウェイトは、目的、利用可能なツール、コマンド実行能力を周辺ソフトウェアが決めるエージェントに組み込める。

ワームは階層型アーキテクチャも採用した。GPUを備えた侵害済みマシンはモデルを実行し、推論サービスを提供できる。性能の低いデバイスは、質問をGPU搭載ノードへ転送する軽量エージェントをホストできる。

つまり、セキュリティカメラ、ワークステーション、小型サーバーには、完全なモデルを動かすほどの計算能力は不要だ。侵害されたGPU搭載システムへのネットワークアクセスさえあればよい。新たな感染は、意味のある推論能力を追加しなくても、ワームの到達範囲を拡大できる。

研究者らは、ワームが被害者のリソースを利用して自らを維持するため、この仕組みを寄生的と表現している。侵害に成功すれば、ネットワーク上の足場、計算資源、またはその両方を得られる。攻撃者は推論の新たなラウンドごとに商用AIプロバイダーへ料金を支払う必要がない。

追加の感染にかかる限界費用がゼロになるという主張は、サイバー犯罪の完全な会計ではなく、経済モデルである。攻撃者は依然として、開発、配備、インフラ、回避、運用のコストに直面する。侵害されたマシンが故障、切断、あるいは注目を集める可能性もある。

しかしプロトタイプは、盗用された計算資源を通じて被害者が推論コストの一部を負担し得ることを示した。これは攻撃の個別最適化に関する経済性を変える。歴史的に、攻撃者は熟練労働を安価に拡張できなかったため、価値の高い標的にのみ広範な手作業を割り当ててきた。

自律システムは、人間のオペレーターなら見過ごす標的にも時間を費やせる。1台のマシンを調査し、何度も失敗し、それでも作成者の継続的な注意を必要とせず次の標的へ移れる。これにより、到達可能な一般的システムも踏み台としてより有用になる。

この設計は、知能と物理的な存在を分離する。低消費電力デバイスがワームの足場となり、別のホストが推論を提供できる。この分業は正当な分散コンピューティングに似ているが、その目的は不正アクセスと拡散である。

研究者らは、議論のある前提を検証するために小規模モデルを選んだ。安全性に関する議論では、最も高性能な最先端システムが深刻なサイバーリスクの主な源と見なされることが多かった。この実験は、エージェント型の設計が、再試行、ツール、蓄積した観察を通じ、能力の低いモデルからも危険な有用性を引き出し得ることを示している。

これは、ダウンロード可能なすべてのモデルが同じ程度に危険だという意味ではない。モデルのコーディング能力は依然としてプロトタイプの制約であり、テストベッドも有利な環境だった。しかし政策立案者は、少数の商用インターフェースを制御することを、AI支援型攻撃能力を制御することと見なすことはできない。

中央集権的な安全対策は、それらが管理するサービスにとって引き続き有用だ。悪用を阻止し、新たな攻撃パターンに関するインテリジェンスを生み、未熟な利用者のコストを引き上げることができる。しかし、そうしたサービスに一切接続しないローカル運用ソフトウェアに対するネットワーク防御ではない。

したがって、AIガバナンスと従来のセキュリティプログラムの双方に圧力がかかる。モデル開発者は、リリース前にエージェント型のサイバー能力を評価しなければならない。企業は、敵対的な自動化の一部がモデルプロバイダーのモデレーションシステムの届かない場所で動くことを前提にする必要がある。

適応型AIマルウェアにより、パッチ適用は防御の全てではなく一層となる

パッチ適用は依然として不可欠だが、防御側は単一の脆弱性を塞ぐだけで適応型AIマルウェアを無力化することはできない。

標準的なワーム対応は、悪用された欠陥の特定から始まる。セキュリティチームはパッチを適用し、関連トラフィックを遮断し、脆弱な資産を見つけ、感染したシステムを隔離する。ワームがその欠陥に完全に依存している場合、それを取り除けばさらなる拡散を止められる。

2017年のWannaCryの発生はこのモデルを示している。このランサムウェアワームは、MicrosoftのServer Message Blockプロトコルの脆弱性を利用し、150カ国以上の組織に影響を与えた。緊急パッチ適用とネットワーク制御は、その拡散を可能にした経路を標的とした。

CleverHansの適応型AIワームには、これに相当する単一の依存関係はなかった。あるホストではサービスのエクスプロイトを試し、別のホストでは認証情報攻撃を行い、さらに別の場所では権限昇格を試みることができた。1つの経路を閉じても、エージェントは残る攻撃対象領域を調査するよう促される可能性がある。

同論文は、ローカルの権限昇格の脆弱性で最高の検出率となる94.1％を報告した。サービスへのエクスプロイトは87.1％、認証情報を使った攻撃は81.2％に達した。一方、WebエクスプロイトとWindowsの権限昇格では検出率が低かった。

これらの数値は、研究者が用意したテストベッドに関するものであり、一般的な企業ネットワークの平均的な状況を示すものではない。それでも、適応型システムが組織化できる行動の幅を示している。このワームの優位性は、特別に高度なエクスプロイトを持つことではなく、複数の手法から選択できる点にある。

これは、ベンダーにも知られていない、あるいは修正プログラムが存在しない欠陥であるゼロデイ脆弱性の発見とは別の話だ。独立した専門家らは、このモデルが主として、既知の脆弱性や弱点を観測された条件と照合していたにすぎないと強調した。その知性は、攻撃の選択と順序付けにあった。

この違いを踏まえることで、脅威を現実的に捉えられる。人間のペネトレーションテスターはすでに、システムをスキャンし、結果を解釈し、認証情報を試し、勧告を参照し、失敗後に方針を調整している。このプロトタイプは、そのワークフローの一部を自動化し、自己複製と結び付けた。

危険なのは、各判断が不完全であっても、マシン速度で持続的に動作する点にある。自動化された攻撃者は、再試行し、ツールを切り替え、複数のアクティブな攻撃経路を維持できるなら、完璧な成功率を必要としない。信頼性は、完璧な推論ではなく反復から生まれ得る。

防御側は依然として迅速にパッチを適用すべきだ。取り除かれる脆弱性の一つひとつが、エージェントの選択肢を減らすためである。研究者らによれば、プロトタイプは新たに公開された脆弱性を数時間以内に取り込める。このため、公開から自動化された悪用の試みまでの時間が圧縮される。

資産の可視性も同様に重要になる。組織は、存在を把握していないサーバー、カメラ、開発マシン、放置されたアプリケーションに迅速なパッチ適用はできない。混在ネットワークは、異なるOS、アクセス規則、保守スケジュールを含むため、研究環境に似ている。

適応型マルウェアはアイデンティティを別の侵入経路として扱えるため、認証情報の衛生管理も重要だ。使い回されたパスワードにより、侵害された一つのアカウントから複数のシステムが開かれる。多要素認証は盗まれたパスワードの有用性を下げ、特権アクセス制御は単一のアイデンティティで生じ得る被害を抑える。

ネットワークセグメンテーションは、最初の侵害後の拡散を制限できる。セグメンテーションはネットワークを制御されたゾーンに分割し、侵害された1台のホストから到達可能なシステムを減らす。研究者らは、フラットなテストネットワークを最悪の環境と説明し、基本的なセグメンテーションだけでもワームの到達範囲は縮小したはずだと認めた。

ゼロトラスト・アーキテクチャも、ネットワーク内部から発信されたというだけでトラフィックを信頼するのではなく、アクセス要求ごとに認可を求めるという関連した原則を適用する。完全な防御を保証するわけではないが、ワームがしばしば悪用する広範な内部アクセスを排除する。

組織は、GPU搭載システムを攻撃者のインフラとなり得るものとしても見直すべきだ。開発用ワークステーションやAIサーバーは、価値あるデータの標的であるだけではない。この脅威モデルでは、ネットワーク上の別の場所で感染したデバイスを支援する推論サービスになり得る。

監視では、ホストをまたぐ行動を結び付ける必要がある。あるマシンがサブネットをスキャンし、別のマシンが認証を繰り返し試み、さらに別のマシンが未知の推論プロセスを起動していても、個別に見れば無関係に見えるかもしれない。しかし、それらを組み合わせると、分散型の自律攻撃キャンペーンが明らかになる可能性がある。

現在のプロトタイプには、直接的な検知の機会がいくつかあった。非標準ポートでビーコンのコールバックを行い、SSH公開鍵を自動的に注入し、認証情報を体系的に再利用していた。活動を隠したり証拠を消去したりするようには指示されていなかった。

セキュリティチームは今すぐこうした挙動を検索できるが、それをすべてのAIワームに対する恒久的なシグネチャにすべきではない。研究者らは、これらのパターンが限定的な概念実証に起因するものだと警告した。悪意ある開発者は、将来のシステムに対し、ポートを変化させ、行動を遅らせ、回避を優先するよう指示できる。

したがって、単一のファイルハッシュやネットワーク指標よりも、振る舞いの監視が重要になる。防御側は、許可されていないプロセスがシステムデータを収集し、攻撃ツールを呼び出し、アクセスを変更し、追加のホストへ拡大していくことを認識する必要がある。各行動には前例があるが、それらの自律的な連携こそが新たな圧力点となる。

実践的な対応は、特別な「アンチAI」製品ではなく、引き続き多層防御である。迅速なパッチ適用は機会を取り除く。強固なアイデンティティ制御は利用可能な認証情報を制限する。セグメンテーションは移動を抑える。エンドポイント監視は実行を捉え、集中テレメトリーは連携した挙動を可視化する。

ラボ結果が示すのは可能性であり、直ちにデバイスの流行が起きるわけではない

最も強い結論は、適応的な自己複製が管理された条件下で機能するということであり、消費者向けデバイスが活発なCleverHansの感染拡大に直面しているということではない。

この研究は、学術的なピアレビューの対象となっているプレプリントだ。その結果は、査読付き学術誌での掲載に伴う十分な精査をまだ経ていない。研究者らがコード、モデルの識別情報、運用フレームワークを公開していないため、独立した再現も制約されている。

この選択は、現実的なデュアルユースのジレンマを反映している。十分な詳細を公開すれば、科学的評価と防御研究を支援できる。一方、完全な実装を公開すれば、悪意ある開発者に自己拡散型マルウェアの検証済み出発点を与えかねない。

公開前に、チームは大学の担当部署およびカナダ政府の組織と協議したとしている。こうした協議が、封じ込め、アクセス制御、論文に含める情報の内容に影響したという。実装は、審査を受けた研究者にのみ提供される可能性がある。

テスト環境は、ハイパーバイザーによって強制された制御と、外部からの干渉を遮断する受信・送信通信のブロックにより隔離されていた。研究者らは、このプロトタイプがその環境外で動作したことはないとしている。また、検知や除去を妨げることを目的とした従来型マルウェアの機能も省いた。

こうした安全策は当面のリスクを低減するが、外部による検証を複雑にする。他の研究者は、再現に必要なすべての構成要素を見ることなく、報告された手法と結果を調べることになる。したがって、この論文は可能性を示す信頼できる証拠ではあるものの、実世界での性能を最終的に測定したものではない。

33台のホストは意図的に脆弱な状態にされ、成熟した企業に期待される完全な防御を備えていなかった。この研究に関与していない情報技術教授のMichael Ageeは、この環境を標的が豊富だと表現した。彼は、この研究は通常の防御が施されたネットワークに対する信頼できる性能を確立していないと主張した。

この懐疑論は、プロトタイプの挙動によっても裏付けられる。拡散は遅く、大量のネットワーク活動を発生させ、エクスプロイトの試みの半数以上で失敗した。監視された企業環境であれば、スキャン、繰り返される失敗、権限昇格の試み、予期しない複製を検知できる可能性がある。

モデルは脆弱性をハルシネーションし、ときには無害なサービスに固執した。他のケースでは、正しい弱点を特定したものの、不正な形式のペイロードを生成した。こうしたエラーは、本番環境では時間を浪費し、アラートを発生させるだろう。

7日間の実験は、能力のあるセキュリティ運用センターが目立つ行動を調査するには十分な長さだ。エンドポイント検知ツールはコマンドをブロックしたり、影響を受けたマシンを隔離したりできる。ネットワーク制御は、軽量エージェントと侵害されたGPUノード間の通信を遮断できる可能性がある。

消費者向けデバイスについても、別の留保が必要だ。ワームのアーキテクチャは理論上、脆弱なデバイスへ拡張できるが、デバイス側には依然として悪用可能な脆弱性または設定上の問題が存在しなければならない。「あらゆるオンラインデバイス」が、パッチ済みのすべてのスマートフォン、ノートPC、カメラが即座に脆弱であることを意味するわけではない。

研究者ら自身の証拠も、重要な防御上の非対称性を示している。適応型マルウェアには観測と実行の機会が必要だ。管理ツールを制限し、インストール済みソフトウェアを最小化し、アウトバウンドトラフィックを抑え、不要なサービスを減らせば、エージェントから選択肢を奪える。

それでも、最初のプロトタイプが目立つからという理由でこの研究を退けることは、よくあるセキュリティ上の過ちを繰り返すことになる。初期の攻撃ツールは、しばしば低速で検知可能な実証から始まる。開発者がモデル、オーケストレーション、ハードウェア効率を改善するにつれ、その手法は容易に運用できるようになる。

重要な比較対象は、このプロトタイプと既存の最速ワームとの比較ではない。人間主導の適応と、リリース後も適応し続けられるソフトウェアとの比較だ。後者は、すべての標的に熟練したオペレーターを必要とせず、多数の平凡な試行を拡大できる。

独立した専門家は、外部分析で警戒と懸念の両方を示した。この研究を、自律的な攻撃判断への重要な転換と呼ぶ者もいた。一方で、ほぼあらゆるデバイスを標的にできるという主張は、証拠が裏付ける範囲より広いように聞こえると警告する者もいた。

研究を知っていたものの関与していないトロント大学教授のDavid Lieは、科学報道でこれを警鐘と呼んだ。彼はAIのデュアルユースという性質も強調した。同様の推論システムは、防御側が弱点を見つけて修復する助けにもなり得る。

この防御上の鏡像は重要だ。セキュリティチームは、資産の発見、ペネトレーションテスト、脆弱性の優先順位付け、パッチ検証にエージェントを利用できる。この競争は、単にAIマルウェア対従来型ソフトウェアという構図ではない。自律化が進む攻撃システムと、自動化が進む防御の対決になりつつある。

ただし、防御エージェントはより厳格な制約の下で動作する。本番環境を妨害せず、アクセス境界を尊重し、行動を記録し、人が監査できる結果を生成しなければならない。攻撃者は、試行のごく一部でも成功すれば、より多くのエラーを許容できる。

その結果、不快なトレードオフが生じる。より優れたエージェント型AIは、防御側が圧倒的なセキュリティ業務を処理する助けになる。同じ進歩が、不正な形式のエクスプロイトを減らし、偵察を加速させ、適応型マルウェアを正当な管理活動と見分けにくくする可能性もある。

適応型AIワームが現実の脅威となるかを示す3つのシグナル

次の段階は、独立した再現、犯罪者による採用、防御検知における測定可能な改善に左右される。

第1のシグナルは、審査を受けた研究者が、より現実的なネットワークで中核的な結果を再現できるかどうかだ。有益な追試には、最新のエンドポイント保護、セグメント化されたインフラ、より強力なアイデンティティ制御、通常のユーザー行動、実験後に単純にリセットできないワークロードを含めるべきだ。

なお意味のある拡散が再現されるなら、論文の中心的な警告はより強まる。基本的な防御に対して失敗するなら、制御されたテストが示唆するほど適応的推論は攻撃面での価値を付加しないことが分かり、主張の範囲は狭まる。どちらの結果も、別の扇情的な見出しより意思決定を改善する。

研究者は運用上のトレードオフも測定すべきだ。各標的には何回の推論呼び出しが必要なのか。推論アーキテクチャはどれほどのネットワークトラフィックを生成するのか。失敗したエクスプロイトはどの程度の頻度で検知可能なイベントを引き起こし、システムはどれほどのGPU容量を確保しなければならないのか。

第2のシグナルは、犯罪組織や国家支援を受けたオペレーターが、研究室の外でローカルモデルと自律的な伝播を組み合わせている証拠だ。セキュリティベンダーはすでに、攻撃者がスクリプト作成、偵察、ソーシャルエンジニアリング、脆弱性調査に生成AIを利用していると報告している。こうした活動は、自己維持型ワームとは同じではない。

確認済みのキャンペーンと断定するには、より強い兆候が必要になる。調査担当者は、異なる攻撃経路を自律的に選択し、標的ごとのコードを生成し、自らの意思決定システムを複製し、コントローラーから頻繁に指示を受けずに動作を続けるマルウェアを探すことになる。

帰属の特定は難しい。多くの構成要素が通常の管理作業や既存のマルウェアに似ているためだ。ネットワークスキャン、認証情報の再利用、エクスプロイト生成、ラテラルムーブメントはいずれも言語モデル以前から存在していた。研究者は、埋め込まれたモデルが拡散の過程で重要な判断を下したことを示さなければならない。

実際のインシデントが起きれば、自律型の生成AI攻撃者を独立した運用カテゴリーとして扱うべきだという根拠は大幅に強まる。こうしたインシデントが引き続き見られないとしても、研究室での結果を否定することにはならないが、信頼性、隠密性、インフラコストが依然として大きな障壁であることを示唆するだろう。

3つ目のシグナルは、防御側が固定的なマルウェアシグネチャではなく、行動と意図を軸にした検知システムを構築するかどうかだ。研究チームは、対策へと注力を移しているとしている。有用な成果には、共有評価環境、検知ベンチマーク、エージェント型攻撃ループを特定するテレメトリーが含まれるだろう。

強力なベンチマークは、悪意ある活動と正当な自動化を区別できなければならない。開発ツール、ITエージェント、脆弱性スキャナー、AIアシスタントも、システムを調査したりコマンドを実行したりする可能性がある。すべての自律プロセスをブロックする検知は、受け入れがたい運用コストを生む。

防御側には、不審な進行を示す証拠の連鎖が必要だ。偵察に続く仮説検証、ペイロードの反復的な改変、認証情報の収集、権限昇格、複製は、単一のコマンドよりも明確な全体像をつくる。これらのイベントを複数のホストにまたがって関連付ければ、より大きな目的を明らかにできる。

モデル開発者にも取り組むべき課題がある。サイバーセキュリティ評価では、エージェントがキャンペーンを継続できるか、失敗後に回復できるか、最近公開されたアドバイザリを利用できるか、追加の計算資源を取得できるかを試験すべきだ。チャットボットのベンチマークでは、メモリー、ツール、再帰的実行が生むリスクを捉えられない。

オープンウェイトとクローズドモデルのエコシステムには、それぞれ異なる管理策が必要となる。ホスト型プロバイダーはリクエストを監視し、アクセス方針を適用できる。オープンウェイトの開発者はリリース後に利用できる手段が少ないため、能力評価、リリース文書、安全な導入に関するガイダンスの重要性がより高い。

政府は難しい政策上の境界に直面している。研究を制限すれば防御側の準備不足につながり得る一方、詳細な実装を公開すれば攻撃者の参入障壁を下げかねない。審査済みアクセス、段階的開示、管理されたテストベッド、防御用指標の共有は、中間的な道筋を提供する。

企業にとって、当面の教訓はそれほど特殊なものではない。到達可能なすべての資産を棚卸しする。公開システムには迅速にパッチを適用する。多要素認証を徹底し、認証情報の使い回しをなくし、社内ネットワークを分割し、GPUワークロードを監視し、異常な自動化ツールの利用を調査する。

個人は、OS、ルーター、カメラ、その他の接続デバイスを最新の状態に保つべきだ。デフォルトのパスワードを変更し、利用していないサービスを無効にする必要がある。この研究は消費者を標的とする脅威が現在活動中であることを示してはいないが、こうした対策は自動化された攻撃者が狙う弱点を減らす。

CleverHans adaptive AI wormが重要なのは、低速で信頼性に欠けるにもかかわらず機能した点にある。多様なテストネットワークへ拡散するのに十分な戦術的意思決定を、ソフトウェアへ移した。その失敗は、防御側に依然として十分な対応の余地があることも示している。

重要なのは、セキュリティチームがその時間を活用するかどうかだ。より高速で静かなバージョンの登場を待つことは、初期研究が生んだ優位性を手放すことになる。組織は、既知のエクスプロイトを持つ攻撃者だけでなく、失敗のたびに戦術を変える攻撃者を自らの統制策が阻止できるかを検証すべきだ。

適応型マルウェアは、既存の防御策を不要にするものではない。それらの連携をより重要にする。あなたの組織は最初にどのシグナルを調べるだろうか。疑わしいAIワークロード、予期しないラテラルムーブメント、それともインベントリから漏れている脆弱なデバイスか。