アラート疲弊からの脱却へーSOC業務における_AI_エージェント活用の実践_v2.pdf

Transcript

1. S EC U R I T Y / G EN E R A T I V E A I アラート疲弊からの脱却へ ~ SOC 業務における AI エージェント活用の実践 ~ マシンスピードの攻撃に、マシンスピードで応じるために。 開発の経緯と、コンテキストウィンドウと戦うための設計ナレッジ KINTO テクノロジーズ株式会社 プラットフォーム開発部 クラウドセキュリティ グループ 大高 一輝 2026/08/05
2. 自己紹介 所属 KINTO テクノロジーズ株式会社 プラットフォーム開発部 クラウドセキュリティグループ 経歴 前職ではオンプレミス中心の IT インフラ構築に従事。 2025 年 6 月から現職にて、クラウドセキュリティを担当。 現在 大高 一輝 マルチクラウド環境の ガードレール整備・運用とカイゼン活動 に携わりながら 、クラウドセキュリティのイロハを勉強中。 Otaka Kazuki C ER TIF IC AT IO N ／ 資格 クラウドセキュリティ G KINTO Technologies Corporation 02
3. AGENDA 本日お話しすること 01 02 03 生成 AI と セキュリティの現 状 SOC AI エージェントの 仕組 み まとめ • 生成 AI の発展とセキュリティへの影響 • AWS アーキテクチャ全体像 • これからの SOC のかたち • なぜ「自社で」作るのか • SOC エージェントを作る時のポイント • 得られた効果 • チューニングの技術ポイント×3 03
4. 01 生成 AI とセキュリティの現状 攻撃側はすでに速い。防御側はまだ人間の時間で動いている。 04
5. 脅威の現在地 生成 AI が攻撃側の能力を別次元に引き上げている 01 ／ AI が自律的に侵入する 02 ／ 人間が見つけられなかった脆弱性 GTG-1002 — 国家支援型の AI 主導キャンペーン OpenBSD — 27 年潜んでいたゼロデイ Claude Code を悪用し、偵察から権限奪取・横展開・データ 最もセキュリティに厳しい OS の一つで、数十年の人手によ 持ち出しまでを自律実行。標的 約30組織、人間の関与は各キ る監査と自動ファジングをすり抜けた不具合を Mythos ャンペーン 4〜6 回の承認のみ。 Preview が自律発見。FFmpeg・Linux・Firefox でも同種の発 Anthropic 公表・2025年11月 見。 Claude Mythos Preview・2026年4月 ExploitGym — 評価環境からの脱出と実害 主要 OS・ブラウザ全域で数千件を発見 GPT-5.6 Sol と未公開モデルがサンドボックスをゼロデイで 発見だけでなく実際に動くエクスプロイトまで自律生成。公 突破。外部ネットに到達し Hugging Face の本番基盤を侵害 表時点で 99% 以上が未修正のまま、重大度の判定は専門家と 、17,000 件超の操作を記録。 89% 一致。 OpenAI・Hugging Face 公表・2026年7月 Claude Mythos Preview システムカード * 出典：Anthropic「Disrupting the first reported AI-orchestrated cyber espionage campaign」（2025年11月）／ Anthropic Claude Mythos Preview システムカード・Project Glasswing ／ OpenAI・ Hugging Face 公表（2026年7月） 05
6. M-TRENDS 2026 ／ 202 5年の 500 ,00 0 時間超のインシデント対応より 攻撃側の時間単位は、すでに「秒」になっている Time-to-Exploit（平均・推定） 侵入からランサム展開まで（実例） -7 70分 2018年は +63日 → 2025年 FAKEUPDATES 感染 → 対話的活動開始 初期侵入役と実行役の分業が調査の 9%（ 平均すると パッチ公開より前に悪用が始ま 最終的にバックアップを破壊し、Windows 2022年は 4%）。受け渡しはほぼ自動化さ る 。2025年の頻出脆弱性トップ3はすべて と仮想化基盤にランサムを展開。 れている。 ゼロデイ。 アクセス権の引き渡しまでの時間（中 央値） 22 秒 2022年は 8時間超 → 2025年 日 * 出典：Mandiant M-Trends 2026（Google Threat Intelligence Group） 06
7. 課題 ／ M-TRENDS 2026 攻撃者と防御者の間には、速度の非対称性がある 攻撃側 秒・分のスケール 22秒 で権限受け渡し 70分 でランサム展開 1m 1h 1W 1D 1M 内部検知 9日 侵入から発見まで 外部通知 25日 時間・日のスケール 諜報・内部脅威は 122日 サイバー攻撃はより高度かつ高速に 正規の管理作業に擬態し痕跡を消す手口が検 知を遅らせる原因に。標準の 90日ログ保持で は追跡できない可能性も。 より高度化が進むサイバー攻撃が、生成 AI の力でより高度に。 さらに圧倒的なマシンスピードで、攻撃・侵入から展開までが高速化している。 防衛側もマシンスピードでの対応を進める必要がある。 * 出典：Mandiant M-Trends 2026（2025年の 500,000 時間超のインシデント対応）。「対応完了までの時間」は remediated の定義差で報告値が 200〜300% 変動するため、業界横断のベンチマー クとしては扱わない。 07
8. 意思決定 ベンダー AI がある時代に、なぜ自社で作るのか 理由 01 理由 02 理由 03 対応方針は 組織ごとに違う コンテキストが 分散している ナレッジが 自社に残る 守るデータの重要度、組織の規模、エス 検知は GuardDuty、行動は CloudTrail、 分析手順とプロンプトが資産になり、モ カレーション先、許容リスク。 「何を重 Entra ID サインインログは Splunk、シス デルの進化にすぐ追随できる。 トリアー 大と見なすか」の基準は自社固有 で、製 テム情報は Confluence。ベンダー AI は ジの暗黙知を明文化する プロセス自体に 品の中には埋め込めない。 自社製品の中しか見えない 。横断の文脈 価値がある。 は自分で繋ぐしかない。 住み分けの結論：製品内の深い分析はベンダー AI に任せ、サービスを横断して文脈をつなぐレイヤー を自社で持つ。置き換えではなく、上 に載せる。 08
9. 02 SOC AI エージェントの仕組み アーキテクチャと、コンテキストウィンドウを巡る3つのチューニング 09
10. ARCHITECTURE 全体アーキテクチャ AWS Cloud Secrets Manager — クレデンシャルを一元管理 Amazon Bedrock AgentCore Runtime 4 1 DynamoDB — Slack スレッド等の状態管理 Lambda 1 ワークロード内でマルチエージェントを実行 Orchestrator サブエージェントに調査を委譲し、結果を統合する 2 GuardDuty アラート通知 EventBridge Slack アラート受信 ／ スレッドに結果返却 3 λ プリンシパル特定 行動ログ分析 サインインログ分析 GuardDuty 起点 CloudTrail 認証イベント Lambda Proxy 6 分析結果 AWS Cloud 5 静的ツール ＋ MCP Server GuardDuty 詳細 脅威レベル再判定 レポート生成 自社基準で評価 標準フォーマット AWS Cloud CloudTrail 検索 Splunk MCP Atlassian MCP 10
11. Sample アラート通知の Slack 投稿のスレッドに分析レポートを出力。 再トリアージの結果やその判断根拠、推奨アクションなど、人間がわかりやすい形にまとめます。 11
12. SOC AI エー ジェン ト開発 の肝 SOC エージェント開発は コンテキストウィンドウの制約と 分析精度の勝負 なぜ制約になるのか セキュリティのログは 「長くて、多い」 よくある誤解 「1M トークン入るなら、 全部入れれ ばいい」 • GuardDuty Finding は 1 件で数千トークン規模 • CloudTrail は 1 プリンシパルの数時間分でも数万行 入りきるかどうかは問題ではない。 入っていても、長く • Splunk は「素直に検索」すると容易に溢れる なるほど精度は落ちる。 だからチューニングの対象は、 • 調査は反復的：仮説 → 検索 → 追加検索の連鎖 モデルではなく 何を読ませるかになる。 12
13. EVIDENCE ／ Context Rot ウィンドウが埋まる前に、精度は先に落ちる Context Rot Lost in the Middle 検証したフロンティアモデルすべて で、入力長の増加に伴い性 コンテキストの中央に置かれた情報 の精度低下。 能が低下（GPT-4.1 / Claude / Gemini / Qwen 系を含む） 先頭と末尾は保たれる。 Chroma「Context Rot」2025 Liu et al., Stanford / TACL 2024 劣化は「上限に近づいたとき」ではなく、 数万トークンの段階から始まる。 コンテキスト消費を削ることは、コスト対策だけでなく精度対策 でもある。 13
14. 01 データ取得の入口で、消費量を決める 技術ポイント MCP は「ソフトに」制限する 決定論的ツールは自作する そのまま繋ぐと LLM は「とりあえず全部取得」に走る可能性があ 毎回同じ手順で確実に実行すべき処理は、LLM に考えさせない。 る。ハードに禁止すると調査能力ごと殺してしまうため、3点で緩 CLI / SDK を使って自前のツールとして固定し、無駄な情報取得の やかに誘導する。 可能性を減らす。 a 公開ツールを絞る Splunk MCP のうち必要なツールを指定 b クエリを明示的に例示 期待する検索の形をプロンプトで具体的に示す GuardDuty 詳細取得 Finding ID から必要フィールドだけを整形して返す CloudTrail ログ検索 Master アカウントの CloudWatch Logs を簡単な定型クエリで 検索 c 実行回数に制約 検索の反復に上限を設け、暴走を防ぐ 効果：同じ入力なら同じ結果 が返り、返却トークン量が設計 値に収まる。再現性と消費量が同時に手に入る。 14
15. 02 Agent as Tools — コンテキストを分割する 技術ポイント BEFORE ／ 単一エージェント AFTER ／ サブエージェントへ委譲 単一のコンテキストに生ログが直接流入する 親に返るのは要約された所見のみ オーケストレーターのコンテキストウィンドウ 生ログ オーケストレーターのコンテキストウィンドウ 判断 所見 判断に使える余白が残らず、脅威レベル判定とレポートの質が落ちる。 判断に使える余白 生ログはサブエージェント側で消費・破棄され、親には積まれない。 責務分割（AgentCore Runtime 内・単一ワークロード） プリンシパル 特定 行動ログ （CloudTrail）分析 サインイン ログ分析 脅威レベル 再判定 レポート 生成 15
16. 03 Observability と LLM Ops サイクル 技術ポイント ／ 構築中 課題：チューニングが 勘に頼っていた Work in progress 回し続ける前提の運用へ どのツールが何トークン消費しているのか、どの工程が遅いの かが見えないまま調整していた。 計測できないものは改善でき 1 計測 — メトリクスとトレースを取得 2 特定 — 消費と遅延のボトルネックを絞る 3 改善 — ツール分割・プロンプト・委譲範囲を調整 4 再計測 — モデル更新・ログ形式変更にも追随 ない。 AgentCore Observability で見る指標 • ツールの利用状況・呼び出し回数 • 工程ごとの処理時間 • トークン消費の内訳 • 失敗・リトライの発生箇所 生成 AI を使ったシステムは「作って終わり」にならない。 継続的なコンテキスト消費チューニング を運用に組み込む。 16
17. RESULT 速さと、ばらつきのなさ BEFORE 1〜2時間 担当者により精度もばらつき AFTER 15分以内 標準フォーマットで一定の精度 人の役割はどう変わったか 「調べる」から 「判断する」へ。 Slack にアラートが届いた時点で調査が始まり、人が席に戻る前に一次 人はエージェントの所見をレビューし、本当に判断が必 所見がスレッドに返っている。 「気づいてから着手するまで」の時間 要な部分に時間を使う。置き換えではなく、 判断のため がゼロになった。 の時間を作る自動化 。 17
18. 03 まとめ マシンスピードの防御を、自分たちの文脈で組み立てる 18
19. TAKEAWAYS 持ち帰っていただきたい3点 01 攻撃は「秒」、防御は「時間」。このズレは人員では埋まらない 02 自社の判断基準と、分散した文脈をつなぐレイヤーは自分で持つ 03 これはモデルの賢さの勝負ではなく、コンテキスト設計の勝負 22秒の権限受け渡し、パッチ前に始まる悪用。マシンスピードでの対応は、もう前提条件になっている。 ベンダー AI の置き換えではなく上に載せる。結果、トリアージは 1〜2時間 → 15分以内、精度も標準化された。 取得の入口を絞る／コンテキストを分割する／計測して回し続ける。この3点が精度をつくる。 19
20. REFERENCES 出典 Mandiant M-Trends 2026 Anthropic — GTG-1002 ／ Claude Mythos Preview Google Threat Intelligence Group ／ 2025年の 500,000 時間超のインシ 「Disrupting the first reported AI-orchestrated cyber espionage campaign デント対応。権限受け渡し 22秒、TTE -7日、滞在時間の中央値 14日（ 」（2025年11月）。および Mythos Preview システムカード（OpenBSD 内部検知 9日／外部通知 25日）、内部検知率 52%。 の 27 年潜伏ゼロデイ、初回試行 83%、Project Glasswing）。 cloud.google.com/blog/topics/threat-intelligence/m-trends-2026 anthropic.com/news/disrupting-AI-espionage ／ anthropic.com/glasswing Chroma — Context Rot（2025） OpenAI ／ Hugging Face（2026年7月） 18 のフロンティアモデルにおける入力長と性能低下の関係。 ExploitGym 評価中のサンドボックス脱出と Hugging Face 本番環境の侵 research.trychroma.com/context-rot 害、17,000 件超の記録イベント。 openai.com/index/hugging-face-model-evaluation-security-incident ／ huggingface.co/blog/security-incident-july-2026 Lost in the Middle / CL-bench Liu et al.（Stanford, TACL 2024）による中央位置での 30% 以上の精度 低下、および長文コンテキストでの正答率低下のベンチマーク。 aclanthology.org/2024.tacl-1.9 * 本資料に記載の数値は各公開レポートの公表値に基づく。 20
21. Thank you ! ご質問・ご意見をお待ちしています！ 21