KISTIのAIホワイトハット構想、人間頼みのサイバー防衛に挑む
KISTIは、韓国の国家研究インフラに攻撃が到達する前にテストする、5年間・472億ウォン規模のAIサイバーセキュリティプログラムを開始した。このプロジェクトは、孤立したセキュリティツールに代えて、シミュレーション、脆弱性の発見、インシデント分析をつなぐ統合システムを構築する。
この韓国の研究機関は、このプロジェクトをAIホワイトハット型の「Hacking Zero」システムと呼ぶ。その中核にある考えは明確だ。自動化された防御システムは、人間のアナリストが各アラートを精査するのを待つのではなく、攻撃者の視点から継続的にインフラを調査すべきだという。
この構想には、プロジェクト最大の緊張関係もある。自律テストは防御のカバー範囲を広げられる一方で、その自律性自体が新たな運用上・監督上のリスクをもたらす。KISTIは、重要な研究サービスを妨げたり、新たな機微な攻撃面を生んだりせずに、意味のある弱点を見つけられることを証明しなければならない。
タイミングも重要である。DARPAのAI Cyber Challengeは、自律型の脆弱性調査で測定可能な成果を示している。一方、セキュリティ機関は、AIが防御業務と敵対的活動の双方を拡大し得ると警告する。KISTIは、この競争を統制されたソフトウェア課題から、国家研究ネットワーク、データシステム、コンピューティングインフラへと移そうとしている。
KISTIは3つのAIシステムから1つのセキュリティループを構築する
このプロジェクトを特徴付ける変化は、防止、攻撃検証、インシデント調査を1つの運用モデルの中で結び付けることにある。
韓国科学技術情報研究院であるKISTIは、2026年8月3日にこのプログラムを発表した。同研究院は、2026年から2030年まで、総額472億ウォンの資金で運営する計画だ。
産業界、学術界、公共研究機関から12組織が参加する。KISTIは協力機関として、韓国電子通信研究院と韓国科学技術院を挙げた。
計画されているシステムは、相互に接続された3つのコンポーネントで構成される。それぞれが防御サイクルの異なる段階に対応する。
第1のコンポーネントは、AIサイバーツインだ。実環境にあるシステム、資産、接続、ネットワーク構造を分析し、関連する振る舞いを仮想テスト環境内で再現する。
サイバーツインは、運用インフラをデジタルで表現したものだ。防御側は、すべての実験を本番機器に向けることなく、システムの振る舞いを研究できる。
KISTIは、自らの仕組みをハイブリッド型のリビングラボと説明する。セキュリティチームは、モデルが表すサービスを停止せずに、そこで攻撃シナリオを実行できるようになるはずだ。
第2のコンポーネントは、AIホワイトハットシステムである。攻撃者の視点からシミュレーション環境を調べ、弱点を探索し、想定される攻撃経路を特定し、複数のシナリオにまたがってテストを繰り返す。
この作業は、自動化されたレッドチーミングに似ている。レッドチームは、敵対者に悪用される前に弱点を見つけるため、攻撃者を模倣する。
第3のコンポーネントは、インシデント後の対応に用いるAIプロファイラーだ。別々のシステムからログとデジタル証拠を収集・接続し、攻撃者の行動、侵入経路、手法を再構築する。
従来のセキュリティプログラムでは、これらの機能は異なる製品やチームに分かれていることが多い。脆弱性スキャナーは既知の露出を特定し、レッドチームは定期的な演習を実施し、インシデント対応担当者は検知後に侵害を再構築する。
KISTIは、これらの活動でコンテキストを共有させたい考えだ。ツイン内部で発見された弱点は監視ルールに反映でき、実際のインシデントから得られた証拠は新たなシミュレーション攻撃シナリオを生み出せる。
このフィードバックループは、個々のモデルよりも重要である。単独の脆弱性スキャナーは検出結果を出す。接続されたシステムなら、その結果を検証し、影響を観察し、その後の調査を改善できる。
このプロジェクトは、ハッキングを文字どおり排除すると約束しているわけではない。「Hacking Zero」は検証済みのセキュリティ成果ではなく、プログラムの名称と志向を表すものだ。
複雑なネットワークで、脆弱性や侵入が存在しないことを保証できるものはない。重要なのは、KISTIが運用リスクを増やさずに、露出、検知遅延、調査時間を減らせるかどうかである。
国家研究インフラがリスクの大きさを変える理由
KISTIは、ダウンタイム、データ漏えい、信頼の毀損が1つの組織を超えて研究に影響し得るシステムに、自律型セキュリティを適用している。
国家研究インフラには、非常に集中した価値が存在する。スーパーコンピューター、科学データセット、研究ネットワーク、共有デジタルサービスは、一度に多くの機関を支えている。
攻撃が成功すれば、進行中の実験が中断したり、限られたコンピューティング能力へのアクセスが妨げられたりする可能性がある。未発表の研究成果、認証情報、知的財産、機微な共同研究記録が露出する恐れもある。
共有インフラには別の問題もある。接続された1つのサービスの弱点が、より大きな研究環境への侵入口になり得る。
攻撃者は、すべての制御を直接突破する必要はない。見落とされたアカウント、公開されたサービス、ソフトウェア依存関係、信頼された接続を標的にできる。
KISTIによれば、既存の防御はなお、既知の攻撃の検知と、インシデント後の対応に大きく依存している。また、専門家が脆弱性や攻撃経路を手作業で分析することも多いとしている。
このアプローチは、スケーリングの問題に直面する。人間の専門家が使える時間は限られる一方、現代の研究インフラは絶えず変化している。
新しいサービスが登場し、ソフトウェアは更新され、権限は変わり、共同研究によって新たな接続が生まれる。セキュリティ評価は、次の定期レビューの前に古くなり得る。
自動探索は、その可能な答えとなる。AIホワイトハットシステムは、人間のチームが手作業で実行できるより多くのシナリオを実行できる。また、インフラの変更後に以前のテストを繰り返すこともできる。
しかし、カバー範囲だけでセキュリティが実現するわけではない。弱い検出結果を何千件も生成するシステムは、アナリストの負担を減らすどころか増やしかねない。
そのためKISTIは、両側から圧力を受ける。攻撃者は自動化の恩恵を受けるが、防御側は制御されない自動化で安全に対抗することはできない。
同研究院は、人間のセキュリティ専門家が提供する判断を維持しなければならない。アナリストは、ミッションの優先順位、保守時間帯、通常とは異なる研究ワークフロー、許容できる運用リスクを理解している。
この人間的なコンテキストが重要なのは、研究システムが交換可能な企業向けサーバーではないためだ。一部のワークロードは長期間稼働し、希少な機器を伴い、直ちには変更できない構成に依存している。
技術的に妥当な是正策であっても、研究運用を損なう可能性がある。サービスの停止、認証情報の更新、誤ったタイミングでのパッチ適用は、価値ある作業を中断させかねない。
プロジェクトの長期的な価値は、優先順位付けにかかっている。理論上の弱点と、重要資産を脅かす攻撃経路を区別しなければならない。
また、推奨される対応がなぜ注目に値するのかも説明する必要がある。影響を受けるインフラが国家研究を支えている場合、セキュリティチームは不透明なスコアだけを根拠に責任を持って行動することはできない。
その結果、KISTIの取り組みは従来のセキュリティ運用に圧力をかける。新たなプラットフォームが継続的かつ証拠に基づくテストを実現すれば、定期的な評価やアラート主導の調査はますます限定的に見えるだろう。
その圧力はセキュリティベンダーにも及ぶ。顧客は、スキャナー、監視プラットフォーム、インシデント対応ツールが別々のキューを生むのではなく、より豊かなコンテキストを交換することを期待するようになる。
韓国以外の研究機関も、この展開を注視すべきだ。多くの機関が、似た制約の下で共有コンピューティング、ID、ストレージ、ネットワークサービスを運用している。
問われるのは、すべての機関がKISTIとまったく同じアーキテクチャを必要とするかどうかではない。複雑な公共インフラにとって、継続的な防御シミュレーションが標準要件になるかどうかだ。
真のトレードオフは自律的な到達範囲と運用上の制御にある
KISTIには、攻撃者のように考えながらも、攻撃者より強く制約され、説明可能で、説明責任を果たせるAI防御システムが必要だ。
サイバーツインは、このプロジェクトにおける最初の安全境界を提供する。KISTIは、破壊的または通常とは異なる挙動を、稼働中の国家サービスではなく、その表現モデルでテストできる。
この設計は、より広範な実験を支える。ホワイトハットシステムは、本番インフラを訓練対象として扱うことなく、代替的な攻撃経路を探り、行動を繰り返し、結果を比較できる。
ただし、デジタルツインには限界もある。モデルは、稼働中のネットワークに存在するあらゆる依存関係、タイミング条件、ユーザーの行動、設定ミスを再現できるわけではない。
NISTのデジタルツインに関するガイダンスは、この技術が独自のサイバーセキュリティおよび信頼に関する考慮事項を生むと指摘している。ツインはテスト手段であると同時に、実環境を表す機微な表現でもある。
表現が不完全なら、テストは重要な弱点を見逃す可能性がある。不正確であれば、存在しない条件に基づく変更を推奨しかねない。
古いツインは誤った安心感を生む。モデルは、資産、ソフトウェア、ID、ネットワーク経路、セキュリティ制御に関する最新情報を適時に受け取らなければならない。
一方、忠実度が高いほど、機微性も高まる。詳細な地図は、それが表すインフラに関する価値ある情報を明らかにし得る。
したがってKISTIには、モデルへのアクセス、データ保持、ログ記録、管理者権限を厳格に管理することが求められる。ツインが侵害されれば、攻撃者が実際のネットワークを理解する助けになり得る。
AIホワイトハットコンポーネントは、第2の制御上の問題を生む。予期しない攻撃経路を発見するには十分な自由が必要だが、無制限の権限を与えるべきではない。
最も安全な設計は、発見と実行を分離する。モデルはテストを提案し、ポリシーエンジンはその行動が承認済みの対象と手法に適合するかを確認できる。
高リスクの行動には人間の承認を求めるべきだ。システムはまた、調査担当者が確認できる形式で、プロンプト、ツール呼び出し、証拠、決定を記録すべきである。
これらの安全策が重要なのは、自律エージェントが悪意なしに誤った挙動を示す可能性があるからだ。標的を誤解したり、汚染されたデータに従ったり、誤った成功指標を最適化したりすることがある。
NISTは、AIエージェントに関して同様の懸念を示している。エージェントシステムのセキュリティに関する同機関の取り組みは、間接的なプロンプトインジェクション、汚染されたモデル、安全でないコンポーネント、仕様ゲームを取り上げている。
仕様ゲームとは、システムが形式的な目的を満たしながら、運用者の実際の意図に反する状態を指す。セキュリティテストでは、運用上の重要性を尊重せずに、検出された脆弱性の数を最大化することがこれに当たり得る。
モデルは、検証が容易であるため低価値の検出結果を繰り返し報告するかもしれない。また、より明確な証拠を生むという理由で、攻撃的なテストを選ぶ可能性もある。
KISTIのプロファイラーは、関連する証拠上の課題も生む。自動再構築は人間より速くログを結び付けられるが、相関関係だけで因果関係が確立されるわけではない。
ログは不完全、重複、誤ったタイムスタンプを含む可能性があり、侵入者によって操作されることもある。共有アカウントや自動化サービスは、帰属の判断をさらに複雑にする。
したがってプロファイラーは、不確実性を表現すべきである。観測された証拠と、推論された手順、提案された説明を区別しなければならない。
人間の調査担当者は、開示、復旧、法的措置、帰属に影響する結論について、引き続き責任を負わなければならない。自動化は証拠基準を置き換えることなく、その作業を加速できる。
このバランスが、プロジェクトの中心的なトレードオフを形作る。自律性を高めれば、システムのカバー範囲と速度は向上する。統制を強めれば、防御活動そのものがインシデントを引き起こす可能性を下げられる。
KISTIが成功するには、これらの目標を相反するものとして扱わないことが不可欠だ。アーキテクチャは、制約された自律性をセキュリティ設計の一部に組み込まなければならない。
DARPAは可能性を示したが、KISTIはより厳しい環境に直面する
自律型脆弱性調査は重要な技術試験を通過しているが、国家インフラにはコンペティションでの成績を超える証拠が求められる。
DARPAのAI Cyber Challengeは、直近の比較対象として最も明確だ。同コンテストのファイナリストは、重要インフラに関連するソフトウェアの脆弱性を発見・修正するサイバー推論システムを構築した。
2025年の最終競技では、5,400万行超のコードが対象となった。competition resultsによると、各システムは63件の人工的に埋め込まれた脆弱性のうち54件を発見し、43件にパッチを適用した。
また、意図的に挿入されたものではない実在の脆弱性も18件発見した。チームはそれら実在の発見について11件のパッチを提供した。
こうした結果は、自律システムが有用なセキュリティ業務を生み出せることを示している。単に起こり得る欠陥を説明する段階を超え、開発者が評価できる成果物を生成できる。
チャレンジ期間中の改善も注目に値した。DARPAによると、最終競技では人工的な脆弱性の86％を発見したのに対し、準決勝時点では37％だった。
最終競技では、特定された人工的な脆弱性の68％にパッチを適用した。準決勝の比較可能な数値は25％だった。
Team Atlantaがコンテストを制した。メンバーはGeorgia Tech、Samsung Research、KAIST、Pohang University of Science and Technologyから集まった。
KAISTの関与は、KISTIの新たなコンソーシアムと直接つながる。韓国は、関連する経験なしに自律型セキュリティ研究を始めるわけではない。
ただし、KISTIの運用環境はDARPAのチャレンジとは異なる。コンペティションでは、対象、ルール、採点、評価期間が定義されている。
国家研究インフラには、レガシーシステム、独自アプリケーション、専門機器、変化するネットワーク関係が含まれる。一部のコンポーネントは、再現や迅速なパッチ適用ができない。
成功の定義も変わる。コンペティションでは、脆弱性の発見、パッチの品質、速度を評価できる。
実際に運用する組織は、回避されたインシデント、安全な修復、サービス継続性、アナリストの負荷、優先順位付けされた発見の正確性を測定しなければならない。これらの成果を確立するには、より長い時間がかかる。
自動テストを通過したパッチでも、本番環境では予期しない挙動を引き起こす可能性がある。科学技術ソフトウェアは、限定的な依存関係や専門的な性能設定に依存することが多い。
そのためKISTIは、修復を発見とは別に検証しなければならない。システムは、生成したすべてのパッチがデプロイ可能だと想定すべきではない。
発見と修正の違いは、組織面でも重要だ。中央プラットフォームが脆弱性を特定できても、影響を受けるサービスの所有者は別チームである場合がある。
そのチームは、研究者、ベンダー、国際パートナーとの調整を必要とする可能性がある。技術的な自動化だけでは、こうした依存関係をなくせない。
KISTIのプロジェクトは、DARPAのコード中心の取り組みより広範だ。資産モデリング、攻撃経路の探索、インシデント後のプロファイリングを組み合わせている。
この広がりは、より強力なフィードバックループを生み出し得る。一方で、エラーがコンポーネント間を移動し得るため、評価は難しくなる。
ツイン内の誤った資産関係は、誤解を招く攻撃経路を生む可能性がある。その経路は監視ルールや、その後のインシデント分析に影響し得る。
コンソーシアムには、各コンポーネントだけでなく、パイプライン全体を対象とするテストが必要だ。ある段階が別の段階に情報を渡す際、不確実性がどのように伝播するかを測定すべきである。
DARPAは、オープンソースでの公開と外部実験も重視した。KISTIは、システム、評価フレームワーク、研究成果のどの程度を公開するかをまだ詳しく示していない。
インフラデータは機密性が高いため、一定の制限は避けられない。それでも、独立評価には主要な主張を再現できるだけの透明性が必要だ。
公開ベンチマーク、匿名化されたテスト環境、文書化された失敗事例が役立つ。外部の研究者がKISTIのアプローチを他の自律型セキュリティシステムと比較することも可能になる。
こうした証拠がなければ、プログラムの評価は困難になりかねない。大規模な予算と野心的なアーキテクチャだけでは、運用上の有効性を証明できない。
AIホワイトハットシステムは、防御側が測定すべきリスクを生む
最も重要な未解決の問いは、システムが脆弱性を発見できるかではなく、運用者がその優先順位付けと行動を信頼できるかだ。
最初の懸念は偽陽性である。自動システムは、すでに運用上の統制によってリスクが抑えられているにもかかわらず、危険な挙動として報告する可能性がある。
不適切なアラートは一件ごとにアナリストの時間を消費する。十分な規模になれば、ノイズの多い自動化は、セキュリティ運用がすでに直面しているのと同じ過負荷を再現する。
偽陰性は反対の危険をもたらす。モデルは、訓練データ、ツール、シミュレーション環境が関連する攻撃を表現していないために、脆弱性を見落とす可能性がある。
既知の脆弱性クラスで成功を繰り返しても、まれな条件や新規の条件に対する性能の低さは隠れ得る。平均的な検出率では、システムが一貫して失敗する箇所を示せない。
KISTIは、深刻度、悪用可能性、新規性、影響を受ける資産クラスごとに発見を評価すべきだ。単一の総合精度指標では、多くを覆い隠してしまう。
プログラムは、テストシステムを敵対的な影響からも保護しなければならない。攻撃者は、テレメトリーを汚染したり、ログを操作したり、エージェントが処理する場所に誤解を招くコンテンツを配置したりする可能性がある。
間接的なプロンプトインジェクションは、通常のデータ内に潜み、AIエージェントの挙動に影響を及ぼし得る。セキュリティツールは日常的に信頼できないコンテンツを検査するため、特に露出しやすい。
アーキテクチャは、観測されるすべてのデータを敵対的なものとして扱うべきだ。モデルは、ログ、ファイル、Webコンテンツに含まれる指示を、直接的に認可済みのアクションへ変換してはならない。
ツール権限には、独立した強制機構が必要だ。ある行動が安全かどうかを決める唯一の統制が言語モデルであってはならない。
モデル更新も、別の不確実性を生み出す。周辺のワークフローが変わらなくても、新バージョンはツール使用、優先順位付け、説明を変える可能性がある。
KISTIには、重要なモデル、プロンプト、ポリシー、統合の変更ごとに回帰テストが必要となる。運用者は、どのバージョンが各結果を生成したかを把握できるべきだ。
サプライチェーンセキュリティも重要である。システムは、モデル、ソフトウェアライブラリ、オーケストレーションコンポーネント、データパイプライン、そして場合によっては外部サービスに依存する。
ENISAのAI threat landscapeは、AIサプライチェーンを中心的なセキュリティ上の懸念として扱っている。KISTIは、防御の中核に不透明な依存関係を持ち込んで国家インフラを保護することはできない。
調達要件では、モデルの来歴、更新管理、脆弱性開示、ログ、インシデント対応支援を扱うべきだ。機密データは、明確に定義された境界内にとどめるべきである。
プロジェクトには、新たに発見された脆弱性の開示プロセスも必要だ。一部の発見は、KISTIをはるかに超えて使われている製品に影響する可能性がある。
修正が存在する前の早すぎる開示は、利用者を危険にさらす可能性がある。開示が遅れれば、他の組織が知らないまま脆弱な状態に置かれる可能性がある。
協調的脆弱性開示には、検証、ベンダーへの連絡、スケジュール、慎重な公表が必要だ。自律的な発見は発見件数を増やすが、これらの責任をなくすものではない。
説明責任は、明確に特定可能でなければならない。モデルが有害な行動を推奨した場合、運用者は誰がポリシー、デプロイ、実行を承認したのかを把握する必要がある。
「AIが判断した」は、許容されるインシデント説明ではない。ガバナンスは、重大な結果をもたらすすべての行動を、責任を負う人間の役割に結び付けなければならない。
Secure-by-designの原則は、有用な基準線を提供する。CISAは、テクノロジー製造者が顧客のセキュリティにより大きな責任を負い、透明性のある開発慣行を採用すべきだと主張している。
同じ原則がここにも当てはまる。KISTIのシステムは、研究チームに隠れたリスクを移転することなく、その負担を軽減すべきだ。
こうした懸念のいずれも、プログラムを無効にするものではない。それらは、研究プラットフォームを信頼できるインフラへ変えるために必要な作業を定義する。
最も望ましい結果は、無制限の機械的自律性ではない。反復可能な分析を自動化しつつ、曖昧で重大な判断をエスカレーションするシステムである。
KISTIの賭けが機能しているかを示す3つのシグナル
次に必要な証拠は、運用テスト、測定されたアナリスト成果、失敗への透明な対応から得られるべきだ。
第1のシグナルは、代表的な研究環境内で文書化されたパイロットである。KISTIはアーキテクチャ、パートナー、スケジュール、資金を説明しているが、完全な導入結果はまだ示していない。
信頼できるパイロットには、不可欠なサービスを不必要なリスクにさらすことなく、実際の資産の複雑さを含めるべきだ。ツインと、それが表現するインフラを比較すべきである。
主要な指標には、資産カバレッジ、構成情報の鮮度、攻撃経路の正確性、本番環境からの隔離を含めるべきだ。プログラムは、モデルがどの程度の頻度で手動修正を必要としたかも報告すべきである。
パイロットが通常のインフラ変更を通じて正確なツインを維持できれば、KISTIの中核メカニズムの信頼性は高まる。モデリングの欠落が続けば、シミュレーションテストが実際の露出を表現しているという主張は弱まる。
第2のシグナルは、AIホワイトハットシステムが人間のセキュリティ業務を改善するという証拠である。生の脆弱性件数では、その問いに答えられない。
KISTIは、アナリストが検証した発見の数、チームがそれらをトリアージする速度、有意義な修復につながる頻度を報告すべきだ。新規の発見と既知の問題を区別すべきである。
品質が許容可能な水準に保たれて初めて、時間短縮に意味がある。精度を下げた高速分析は、総作業量を増やす可能性がある。
システムは、優先順位付けも実証すべきだ。重要資産に至る少数の検証済み攻撃経路は、影響の小さい設定上の発見が数千件あることよりも重要になり得る。
アナリストによるオーバーライド率も、別の有用な指標となる。オーバーライドが頻繁に発生する場合、不適切な推奨、説明の不明瞭さ、または運用に適合しないポリシーを示している可能性がある。
オーバーライド率の低下は、運用者の注意力が単に低下しているのでなければ、システムの価値を裏付け得る。独立したレビューでは、自動化バイアスがないか確認すべきだ。
第3のシグナルは、コンソーシアムがエラーやテスト失敗をどのように扱うかである。複雑なセキュリティシステムはいずれも、誤った結果を生み出す。
透明な失敗報告は、チームが自らの統制を理解しているかを示し得る。トリガー、影響を受けたシステム、封じ込め、証拠、是正措置を説明すべきである。
KISTIは、問題がツイン、ホワイトハットエージェント、プロファイラ、統合レイヤーのどこで発生したかも文書化すべきだ。接続されたコンポーネントはエラーを増幅し得るため、この区別は重要である。
コンソーシアムが実用的な評価手法と失敗からの教訓を公開すれば、信頼は高まるはずだ。後退に関する沈黙は、外部評価を困難にする。
より長期的な指標には、脆弱性の修復、調査遅延の削減、研究サービスの安定した可用性が含まれる。これらの測定には、一貫した定義と比較可能な基準線が必要だ。
観察者は、実演だけでプログラムを評価することを避けるべきだ。台本どおりの攻撃は、コンポーネントが通信できることを示せても、不確実性の下で信頼性高く機能することまでは示せない。
プロジェクトは2030年まで続くため、最終的な評価には時間を要する。主催者が幅広い性能主張を行う前に、第1段階でベースラインを確立すべきだ。
それでも、KISTIのプログラムは今の段階で注目に値する。自律型セキュリティ技術を、国家的な科学研究を支えるインフラと結び付けているからだ。
この取り組みは、求められるエビデンスの基準を引き上げる。システムは攻撃者に対して有効であると同時に、本番環境では抑制的に動作し、各判断に責任を負う専門家が理解できるものでなければならない。
開発者は、生成された検知結果が安全なパッチ適用につながるかを注視すべきだ。企業の購入担当者は、統合性、監査可能性、モデルガバナンスを確認すべきである。
研究機関は、サイバー・ツインが複雑な環境をテストするリスクを低減できるかを検証する必要がある。セキュリティチームは、業務負荷、優先順位付け、調査の品質に重点を置くべきだ。
中心となる問いは実務的である。KISTIは472億ウォンと5年間の研究を、運用担当者が信頼する防御ループへと転換できるのか。
その答えには、また一つのAIセキュリティ実演以上のものが必要になる。最初の代表的なパイロット、分析担当者による測定可能な成果、そしてシステムが何を誤るのかを率直に説明する報告に注目したい。
