半年くらい前は「MythosレベルのAIの登場でゼロデイ攻撃が激増する」的な予測をして世間を煽った個人やメディアが結構ありましたよね。 しかしあれから半年ほど経って各社の商用AIの性能がさらに向上し、未知の脆弱性発見能力がどんどん高まっているにも関わらず、ゼロデイ攻撃の激増は今のところ観測されていないというのが現状です。 その代わりに増えたのが「既知の脆弱性を悪用したと思われる攻撃とデータ漏洩」です。これはAIがかなり寄与していると考えてよさそうです。 この現象は考えてみると当然で、「AIを活用したゼロデイ脆弱性の発見とそれを活用した攻撃手法の考案と実行」というのは「不確実性が高い」つまり攻撃者にとって「コスパが悪い」わけです。 そんなことに工数や時間を使うよりも、既知の脆弱性が大量に放置されている「世界最悪のセキュリティレベル」の日本のITサービスを狙った方が換金しやすいですし、AIによって攻撃作業もかなり簡単になっているはずなので、そりゃ攻撃者もそっちを優先しますよね😅 なので企業の皆さんはゼロデイ脆弱性への対応をどうするかみたいなことを考えるよりも、ちゃんとエンジニアの指摘に耳を傾けて、自社サービスに大量に存在する初歩的な既知の脆弱性の解消にお金と時間を投下するという基本的なことからしっかりやった方がよいと思います。