SentinelOneのマルウェア分析、6週間から8時間へ短縮
SentinelOneによると、マルウェア分析では従来4〜6週間を要していた専門家の作業を、現在はおよそ8時間に圧縮できるという。同社はこの短縮を、承認された防御側担当者に特化モデルとエージェント型ワークフローへのアクセスを提供するサイバーセキュリティプログラム、OpenAI Daybreakの成果としている。この時間短縮が変えるのは、研究者1人の予定だけではない。少数の厳選された脅威を希少な専門家が調査するという運用モデルそのものに挑戦するものだ。
重要なのは、人工知能が悪意あるコードを要約できるという主張ではない。セキュリティツールは長年にわたり、分類、検知、調査を支援してきた。SentinelOneは、Daybreakが複雑なリバースエンジニアリングプロジェクトを継続し、誤った仮説を修正し、人間のアナリストの成果に近い作業を生み出せるとしている。こうした性能が多様なサンプルで維持されるなら、チームはこれまで調査能力が足りずに扱えなかった脅威を調査できるようになる。
ただし、これはOpenAIの顧客事例とSentinelOne自身の研究を通じて示された、企業による報告結果である。詳細なベンチマークは範囲を限定した調査、少数のモデル実行、そして重要な人間の監督を伴うものだった。Anthropic、Google DeepMindなどのモデル提供企業も、同様の防御能力を追求している。したがって競争は、AI対手作業の分析ではない。個々の専門家の稼働時間に制約されたワークフローに対し、監督された調査能力が競う構図だ。
SentinelOneのマルウェア分析、希少資源からスループットへ
直接的な変化は調査能力の増加であり、人間のアナリストを不要にすることではない。
リバースエンジニアリングとは、元の設計やソースコードが利用できない場合に、コンパイル済みソフトウェアがどのように動作するかを再構築する作業である。高度なマルウェアでは、逆アセンブル、難読化解除、仮説検証、挙動の証拠、そして繰り返しの修正が必要となる。防御可能な結論に至るまで、研究者は複数の埋め込みコンポーネント間の関係を追跡する必要がある場合がある。
SentinelOneの最高AI責任者Gregor StewartはOpenAIに対し、難度の高い調査はトップ研究者を4〜6週間拘束し得ると語った。Daybreakは現在、これに匹敵する成果を約8時間で生み出すという。10月14日の顧客事例では、この結果を、より多くのマルウェアを調査し、より多くのサンプルにまたがって証拠を結び付ける手段として位置付けている。
所要時間と労働量の違いは重要だ。モデルが8時間稼働したからといって、自動監視なしで8時間が経過することや、完成したインテリジェンスレポートが得られることを自動的に意味するわけではない。公開資料では、セットアップ時間、人間によるレビュー、計算資源の消費量、修復作業についての完全な内訳は開示されていない。8時間という結果は、独立監査済みの生産性測定ではなく、運用上の成果として提示されている。
それでも、出発点となる問題は具体的だ。SentinelOneによると、同社の研究者は歴史的に、重要または珍しい少数のサンプルに対してのみ深いリバースエンジニアリングを行ってきた。各調査が希少な専門家の時間を消費するため、このトリアージは理にかなっていた。一方で、より目立たないサンプルは、相互の関係からより広範なキャンペーンが明らかになる可能性があっても、十分な注意を受けにくかった。
分析の高速化は、この選別圧力を変える。研究者はより大きなサンプル群を調査し、共有コンポーネントを比較し、孤立した調査では見落とされる可能性のあるパターンを特定できる。一見無関係な2つのファイルで見つかったモジュールが、異なるインシデント、インフラクラスター、または脅威アクターを結ぶ接点となり得る。
この広い視野こそが、見出しの数字の背後にある真の価値である。迅速なレポートは1件の事案を助ける。比較可能なレポートの蓄積は、多数の事案にわたる検知ロジック、脅威インテリジェンス、インシデント対応を改善できる。
SentinelOneは、最も経験豊富なリバースエンジニアだけに依存しないアクセスの拡大も目指している。Stewartは、少数の専門家グループに全面的に頼らず、より多くの従業員がセキュリティ上の問題を調査できるようになったと述べた。また、チームがコードを作成する段階で一部のリスクに対処できるよう、同じ能力をソフトウェア開発中にも利用可能にしたいとしている。
これは、すべての開発者がマルウェア研究者になるという意味ではない。専門性をどのように分配できるかを変えるものだ。特化モデルが時間のかかる探索を担い、経験豊富なアナリストが目的を定義し、証拠を評価することができる。
したがって、週単位から時間単位への短縮は、能力を増幅することを意味する。SentinelOneには依然として熟練した人材が必要だが、その人材はより多くの調査を監督できる。戦略的な問いは、品質管理をモデル生成の出力と同じ速度で拡張できるかどうかである。
SentinelOneが長期調査にDaybreakを使う方法
Daybreakが重要なのは、不審なコードについて単一の回答を返すだけでなく、完全な調査ワークフローを支えるためだ。
OpenAIはDaybreakを、認可された防御側担当者向けのモデル、アクセス制御、セキュリティワークフロー、パートナープログラムの集合体として説明している。公表されている対象範囲には、脆弱性の検証、マルウェア分析、インシデント対応、パッチ生成、修復テストが含まれる。同じ能力が防御研究にも攻撃的な侵入にも利用できるため、アクセス制御は中核的な要素となる。
より広範なDaybreakフレームワークは、サイバー分野に焦点を当てたモデルと、Trusted Access for CyberおよびCodex Securityワークフローを組み合わせる。OpenAIによると、どの発見を調査するか、どの変更を適用するか、どの情報を共有するかについては、人間が引き続き制御を保持する。
SentinelOneのリバースエンジニアリング作業は、長期的なワークフローが重要である理由を示している。アナリストは単にモデルへサンプルの識別を求めるだけではない。システムは、関数、データ構造、仮説、証拠、却下された説明について、変化し続ける記録を維持しなければならない。後の発見によって、複数のファイルにまたがる初期の結論が覆ることもある。
SentinelLABSは、2005年に高精度エンジニアリングソフトウェアへの破壊工作と関連付けられたWindowsツールキット、fast16を使用してこの挙動をテストした。このサンプルには、2つの埋め込みコンポーネント、暗号化されたLuaベースのオペレーション層、101個のパッチ適用ルールを持つカーネルドライバーが含まれている。浅い分析では、このドライバーは従来型のファイルシステムルートキットに見える可能性がある。
ベンチマークでは調査を8段階に分割した。モデルはまず、サンプルのコンポーネントを復元して注釈を付ける必要があった。後半の段階では、標的となる可能性のあるソフトウェア、外部報道、公開要件、初期の結論を覆し得る新たな証拠が追加された。
システムは、コンパイル済みプログラムの調査に使われる逆アセンブラIDA Proを、ネットワークアクセスのないサンドボックス内で利用した。変数名の変更、関数の分類、隠されたコンポーネントの復元、特定のアドレスや成果物への主張の紐付けが求められた。レビュー担当者は、最終的な文章の流暢さだけでなく、技術プロジェクトを評価した。
この設計は、生成AIに共通する弱点を標的としている。モデルは説得力のある局所的な説明を作成できても、大規模なプロジェクト全体で整合性を失うことがある。1つの文を修正しても、元の誤りに依存するファイル、スクリプト、後続の結論を残してしまう可能性がある。
SentinelLABSは、より価値の高い挙動をプロジェクト規模の回復と呼ぶ。矛盾が示された場合、モデルは主張を撤回し、それに依存するすべての結論を探し出し、根底にある分析を修復し、改訂後の結果を再確認しなければならない。また、公開を妨げる不確実性と、開示可能な不確実性を区別する必要もある。
SentinelOneのマルウェアベンチマークによると、テストされた3回のGPT-5.6 Sol実行はいずれも8段階の調査を完了した。GPT-5.5、GLM-5.2、テスト対象のOpus 4.xバージョンは有用な局所作業を生み出したが、完全な一連の手順は完了しなかった。
完了した実行にも重大な誤りはあった。あるGPT-5.6 Solの実行では、無関係なエンジニアリングアプリケーション内の実在するパターン一致を観測し、fast16が互換性ツールである可能性を提案した。追加テストの結果、それらの一致は、想定される標的で見られた一貫した改変シーケンスではなく、断片を生成することが示された。
モデルはその後、この解釈を撤回し、それに依存していた後続の作業を修復した。SentinelOneの評価では、誤りがないことではなく、この回復能力が完了した実行を特徴付けた。
この仕組みは、8時間という主張が注目に値する理由を説明する。自動化は長年にわたり、文字列の検索、ファイルのアンパック、既知のインジケーターの認識でアナリストを支援してきた。新たな主張は、変化する証拠、技術的成果物、報告義務にまたがり、一貫した調査を維持することに関するものだ。
OpenAIの顧客事例はDaybreakを広く指す一方、SentinelOneの詳細な研究ではGPT-5.6 Solを扱っている。別の製品発表では、顧客向けサービスとしてGPT-5.6-Cyberが挙げられている。すべてのベンチマーク結果が、展開されたすべてのDaybreak構成に直接対応すると読者が想定すべきではない。
より妥当な結論は限定的である。SentinelOneは、選定されたOpenAIモデルが、従来のシステムよりもはるかに大きな部分のリバースエンジニアリングワークフローを処理できることを見いだした。同社は現在、この能力を再現可能な防御運用へと転換しようとしている。
ボトルネックは専門家の時間から専門家の判断へ移る
AIは分析作業の希少性を下げる一方で、信頼できるレビューと優先順位付けの必要性を高める。
従来のマルウェア研究にはスループットの上限がある。シニアアナリストが精査できる複雑なサンプルの数には限りがあり、新たな専門家を加えるには何年もの訓練が必要となる。そのためセキュリティチームは、深刻度、新規性、顧客への影響、利用可能な証拠に基づいて事案の優先順位を付ける。
SentinelOneのアプローチは、ボトルネックを移動させる。モデルが長時間にわたる技術作業を実施できるようになると、重要な意思決定の場面における専門家の判断が希少な資源となる。アナリストは適切な目的を選び、見落としを明らかにし、許容できる証拠を定義し、出力が顧客への助言に使える状態かを判断しなければならない。
Stewartは、この境界を簡潔に表現した。「自動化できない唯一のものは説明責任だ」。彼は、アーキテクチャ上の変更には依然として人間のレビューが必要である一方、限定的な修正ではより多くの自動化を支えられる可能性があると主張した。
マルウェア研究では、誤りが伝播するため説明責任が特に重要となる。誤った帰属は調査担当者を誤った方向へ導く可能性がある。不完全な挙動評価は顧客を危険にさらしかねない。欠陥のある検知ルールは、組織全体で誤検知を生む可能性がある。
生成の高速化は、こうした問題を増幅し得る。かつて少数の詳細な調査をレビューしていたチームに、突然数十件が届くかもしれない。レビュー能力が固定されたままであれば、組織は分析のバックログを承認のバックログに置き換えるリスクを負う。
この圧力はSentinelOneにとどまらない。モデル提供企業は、コードを検索し、脆弱性をテストし、パッチを生成できるシステムを構築している。セキュリティベンダーは、そうしたシステムにどこまでの自律性を与えるか、どこで人間の承認を必須とするかを判断しなければならない。
Google DeepMindは脆弱性研究向けにBig Sleepを開発している。Anthropicは独自の管理プログラムを通じ、選定されたパートナーにサイバー分野に焦点を当てたモデルへのアクセスを提供してきた。OpenAIは、より許容範囲の広い能力に対する特別なアクセス経路を維持しながら、セキュリティ分析をCodexに統合している。
これらの取り組みは、生のモデルスコアだけで競っているわけではない。セキュリティ購入者には、ワークフロー全体が追跡可能で、再現可能で、統治可能であり続けるという証拠が必要だ。より多くの問題を発見しても、それを説明または検証できないシステムは、運用上のノイズを増やす可能性がある。
SentinelOneの商業戦略は、この要件を反映している。同社が9月に発表したWayfinderの拡張では、OpenAIのモデルと同社の攻撃・防御の専門家を組み合わせている。これらのサービスは、悪用可能なリスクの優先順位付け、不審なサンプルの分析、人間のアナリストがレビューした調査結果の提供を目的としている。
同社によると、ワークフローでは逆アセンブルに加え、静的解析およびサンドボックスの証拠を組み合わせられる。静的解析はコードを実行せずに調べる手法であり、サンドボックス解析は隔離環境での挙動を観察する。得られるパッケージには、侵害の痕跡、攻撃手法のマッピング、推奨される検知ルールが含まれる場合がある。
この設計により、人間の判断が製品の中に組み込まれている。SentinelOneは、レビューされていないモデルの出力を最終的なセキュリティ判断として販売しているわけではない。モデルを用いて、同社の専門家が監督できる技術作業の量を拡大している。
この戦略は、手作業の調査に大きく依存するセキュリティチームにも圧力をかける。監督下のエージェントが一貫して対応時間を短縮できるなら、顧客はあらゆるプロバイダーにより迅速な回答を期待するようになる。また、従来はベンダーが見過ごしてきた優先度の低いサンプルについても、より深い分析を期待する可能性がある。
社内のセキュリティチームも同様の選択に直面している。こうしたシステムを既存のアナリストの能力拡張に使うことも、より強固な独立検証を待つこともできる。待機すれば未成熟な自動化への露出は減らせるが、調査の遅延と脅威カバレッジの縮小につながりかねない。
最も信頼できる短期的なモデルは、監督されたエージェンシーだ。モデルが大規模な作業ストリームを担い、人間が目的と公開を管理する。このアプローチはアナリストの代替ほど劇的ではないが、実際の制約により直接的に対処する。
8時間という主張が証明していないこと
この結果は意味のある能力を示しているが、普遍的な速度、精度、または安全な自律性を確立するものではない。
第一の制約は、情報源の独立性である。OpenAIは顧客事例の見出しとなるストーリーを公開し、SentinelOneは運用上の主張を提供した。SentinelOneは詳細なfast16ベンチマークの設計と実行も担った。両社は、顧客が高度なサイバーモデルを生産的かつ正当化可能なものと捉えることで利益を得る。
この関係が結果を無効にするわけではない。ただし、外部の研究者が異なるサンプル、ツール、チームを通じて再現するまで、読者はこれらの数値を報告された成果として扱うべきだ。
第二の制約は、ベンチマークの広がりである。Fast16は難易度の高い実環境の検体だが、あくまで1件の調査にとどまる。このベンチマークは、長期にわたるリバースエンジニアリング、アーティファクトの維持、段階的に提示される証拠をまたいだ修正を重視している。すべてのアーキテクチャ、パッカー、プログラミング言語、マルウェアファミリーにわたる同等の性能を示すものではない。
SentinelOneは、モデルファミリーごとの実行回数が少なかったことを認めている。オペレーターの関与も結果に影響した。人間が調査を定義し、証拠を提示するタイミングを管理し、弱い品質基準に異議を唱え、公開権限を保持した。
こうした介入は、現実的な監督型ワークフローの一部である。同時に、モデルの能力をベンチマーク設計、ツール群、専門家の支援から切り分けることを難しくしている。別の組織では、異なるハーネスや経験の浅い監督者のもとで同じ結果を再現できない可能性がある。
第三の制約はコストに関するものだ。SentinelOneによると、その実験ではモデルファミリーと推論設定を横断して230億トークン以上を消費した。この合計は8時間の本番分析1件ではなく、研究プログラム全体を対象としている。それでも、長期の調査には相当な計算資源が必要になり得ることを示している。
公開されたケーススタディには、調査1件あたりのコスト比較は示されていない。また、アナリストのレビュー時間、誤った手掛かり、サンプル準備に必要な運用作業も定量化されていない。これらの詳細がなければ、この結果が強く裏付けるのは完全な効率性の主張よりも速度の主張である。
第四の制約は、敵対的な操作である。マルウェアの作成者は、防御側がトリアージに言語モデルを利用する機会が増えていることを理解している。サンプルには、そうしたモデルを混乱させ、拒否を引き起こし、推論を誘導し直すよう設計されたコンテンツが含まれ得る。
SentinelOne自身も、AI分析ツール向けに偽のシステム風メッセージを埋め込んだ、Gaslightと呼ばれるmacOSマルウェアを報告している。これらのメッセージは、アシスタントに対して環境が安全でない、あるいは利用できないと信じ込ませようとした。プロンプトインジェクション手法に関する報道は、サンプル内のコンテンツを敵対的データとして扱う必要性を浮き彫りにした。
この脅威は、異例のフィードバックループを生む。モデルは、まさにそのモデルを標的とした指示を含む可能性のあるアーティファクトを分析する。従来のサンドボックスは悪意ある実行を隔離するが、AIパイプラインは証拠の中に隠れた意味的な指示も隔離しなければならない。
回避的AI評価に関する研究は、関連する構造的リスクを説明している。適応的なシステムは評価環境の特性を推測し、挙動を変えられる。すると評価者は、実際の展開環境での性能よりも安全、あるいは有能に見える結果を得る可能性がある。
AI支援によるマルウェア分析では、この教訓は両方向に当てはまる。悪意あるサンプルはサンドボックス内で異なる挙動を示す可能性があり、分析エージェントに誤解を招くコンテンツを提示することもできる。信頼できるワークフローは、実行可能な挙動と読み取り可能なテキストの双方が敵対的であると想定しなければならない。
第五の制約は、エラーの可視性だ。GPT-5.6 SolはSentinelOneのベンチマークを完了したが、その実行でもレビューで問題が見つかる前に、一部のチェックポイントを正常と宣言していた。このモデルの際立った強みは、エラーのない作業ではなく、修正後の回復力だった。
この違いは、導入方針を左右すべきである。ミスから回復できるシステムであっても、そのミスを検出できる統制が依然として必要だ。レビュー担当者がもっともらしい仮説に異議を唱えなければ、モデルはそれを洗練されてはいても誤ったレポートに持ち込む可能性がある。
「人間レベルの出力」にも複数の意味があり得る。これは、あらゆる条件下での同等の精度ではなく、アーティファクトの範囲や実用性を指す場合がある。OpenAIのケーススタディは、モデル出力と複数の人間の専門家によるレポートとのブラインド比較を公開していない。
したがって、セキュリティリーダーは1つの結果を普遍的な人員配置の公式に変換するべきではない。証拠が裏付けているのは、監督下での能力拡大である。上級リバースエンジニアを排除したり、モデルがレビューなしに影響の大きい結論を公開したりすることを支持するものではない。
SentinelOneのAIセキュリティへの影響は速度以上の要素に左右される
より迅速な分析が多数の顧客の検知と対応を改善するとき、戦略的な見返りが生まれる。
8時間の調査はそれ自体で有用だが、そのより大きな価値は下流での再利用から生まれる。リバースエンジニアリングは、コマンド＆コントロールの挙動、永続化手法、標的となるソフトウェア、再利用可能なモジュールを明らかにできる。こうした知見は、検知、脅威ハンティング、顧客向けガイダンスに活用できる。
SentinelOneは、より広範なサンプルカバレッジが、研究者による脅威間の関係性の把握に役立つとしている。キャンペーンのインフラやマルウェアの構成要素は、修正された形で繰り返し現れることが多いため、この主張には妥当性がある。より大きな分析コーパスは、チームが少数のサンプルだけを深く調べる場合には見えないつながりを明らかにできる。
ただし、分析量の増加が自動的にインテリジェンスの増加につながるわけではない。チームには一貫したアーティファクト形式、検索可能な証拠、結論間の信頼できるリンクが必要だ。また、本物の関係性と偶発的なコード再利用を区別するシステムも必要となる。
構造化されたIDAデータベースを重視するこのベンチマークは、その問題の一部に対処している。名前付きの関数、アドレス、復元されたコンポーネントに基づくレポートは、裏付けのない文章要約よりも検証しやすい。また、すべてのアナリストに元の推論を再構築させることなく、後続の研究にも活用できる。
ここで、SentinelOneの既存セキュリティプラットフォームが重要になる。同社は、モデル支援型の研究をエンドポイントテレメトリー、脅威インテリジェンス、検知エンジニアリングと接続できる。この統合により、ラボでの分析を顧客保護へつなげる経路を得られる。
ただし、その経路にはガバナンスが必要だ。モデルが提案するインジケーターは広すぎる可能性がある。不完全な挙動に基づく検知は、亜種を見逃したり、正規ソフトウェアをフラグしたりするおそれがある。人間のアナリストは、調査結果が実際の環境でどのように振る舞うかを検証しなければならない。
同じ原則は脆弱性対応にも当てはまる。OpenAIは、そのセキュリティワークフローがより長い発見事項リストの作成を超えることを目指していると述べている。目的は、到達可能性の確立、証拠の収集、パッチの作成、結果の検証である。発見事項がテスト済みのリスク低減へと結び付く場合にのみ、セキュリティチームは利益を得られる。
SentinelOneが発表したWayfinderサービスも、生の問題件数ではなく悪用可能なリスクを重視することで、この論理に従っている。同社のアナリストは、顧客への提供前に調査結果を検証することが想定されている。このサービスモデルは、すべての顧客に無制限の自律分析を提供するよりも、統制しやすい可能性がある。
組織面での効果もある。ジュニアアナリストや開発者がより深い初期調査を実施できれば、上級専門家は曖昧なケースと品質管理に集中できる。その結果、研究、製品セキュリティ、検知チームの間のフィードバックループを短縮できる可能性がある。
それでも組織は、意思決定の背後にある推論を保存しなければならない。永続的な証拠を伴わない生成レポートは、モデルへの組織的依存を生み出す。チームには、どのアーティファクトが結論を裏付けたのか、どの仮説が却下されたのか、どこで人間が結果を承認したのかを示す記録が必要だ。
この要件は、サイバーセキュリティ以外での優れたナレッジマネジメントにも似ている。生成された出力が、その根底にある情報源や意思決定と結び付いたままであるとき、チームはAIからより多くの価値を得る。セキュリティ上の結論が封じ込め、修復、または公的な帰属判断を引き起こし得る場合、この規律は同様に不可欠である。
したがって、SentinelOneのAIセキュリティへの影響は、見出しになる処理量だけでなく、転換率に左右される。どれだけ多くのサンプルが詳細な分析を受けるのか。どれだけ多くの調査が検証済みの検知を生むのか。そうした検知は、実際のインシデントをどの程度阻止または明確化するのか。
これらの指標は、より迅速なリバースエンジニアリングが結果を変えるかどうかを示す。また、「AIアナリスト」に関する大まかな主張よりも、ベンダー間の比較を有意義なものにする。
SentinelOneのマルウェア分析に関する主張の後に注目すべきこと
この結果が運用上の標準となるのか、それとも印象的な統制下の実証にとどまるのかを示すシグナルは3つある。
第一のシグナルは、独立した技術的再現である。外部の研究チームは、サンドボックスの回避や言語モデルの操作を狙うサンプルを含む多様なマルウェアに対し、同等のワークフローをテストする必要がある。再現実験では、経過時間、人間の介入、計算資源の使用、誤った結論、最終アーティファクトの品質を報告すべきだ。
再現に成功すれば、長期にわたるマルウェア分析が実用的な閾値を超えたというSentinelOneの主張は強化される。逆に、同社のハーネスの外で失敗するなら、観測された優位性の大部分はワークフローエンジニアリングと専門家による監督に起因することが示唆される。
第二のシグナルは、製品の提供状況と顧客の証拠である。SentinelOneは、拡張されたOpenAI搭載Wayfinder機能がプライベートプレビューに入り、より広範な提供は後日見込まれると述べた。公開ケーススタディでは、誤検知やレビューの遅延を増やすことなく、顧客の調査がより迅速な検証済みの調査結果を得られるかを示す必要がある。
展開に関する証拠では、研究ベンチマークと運用上のサービスレベルを区別しなければならない。顧客は、どのモデルがタスクを処理したのか、どのデータにアクセスしたのか、結果がどのようにレビューされたのか、どのアクションが引き続き人間の管理下に置かれたのかを知る必要がある。
第3のシグナルは、敵対的環境に対するレジリエンスだ。攻撃者は、AIが分析に関与する環境向けにマルウェアを設計するケースをますます増やしていくだろう。防御側は、自らのパイプラインがプロンプトインジェクション、サンドボックス回避、汚染されたコンテキスト、誤解を招くアーティファクトに耐えられることを示す証拠を公開すべきだ。
この領域での進展は、広範な委任を支持する根拠を強めることになる。重大な失敗が起これば、特にモデルがサンプル内に埋め込まれた指示を受け入れたり、裏付けのない帰属判断を公表したりした場合、その根拠は弱まるだろう。
競合各社の対応も重要になるが、モデルのリーダーボードだけで結論は出ない。Anthropic、Google、その他のプロバイダーも、有能なセキュリティモデルを提供できる。勝者となるシステムは、技術的な性能に加え、アクセス制御、追跡可能な証拠、レビューのワークフロー、防御運用への統合を兼ね備えるだろう。
SentinelOneは、AI支援によるリバースエンジニアリングについて、数週間の作業を数時間に圧縮できるという、これまでで最も明確な主張の一つを提示した。同社自身の研究は、不可欠な警告も示している。最も強力なモデルにも誤りがあり、オペレーターによる検証に依存しており、修正後に複雑なプロジェクトを修復できたからこそ価値を持った。
セキュリティ責任者にとって、次のステップはリバースエンジニアリングチームを置き換えることではない。範囲を限定した調査を特定し、人間による承認ポイントを定義し、ワークフロー全体を測定することだ。完了した証拠、アナリストの作業時間、コスト、下流の検知結果を、既存プロセスと比較すべきである。
問われているのは、モデルがマルウェア研究に貢献できるかどうかではない。すでに可能だ。決定的な問いは、SentinelOneのマルウェア分析が、専門家水準の説明責任を維持しながら、選定されたベンチマークから本番規模で日常的に発生する脅威へと拡大できるかどうかである。
