生成 AI を使いたい押して、膨大な脆弱性情報から Insight を得る

Transcript

1. しろうさ (中村 昌登) アイレット株式会社 生成 AI を使い倒して 膨大な脆弱性情報から Insight を得る 雲勉 AI 自由研究 LT 会
2. 01 アジェンダ 自己紹介 02 みんな大好き脆弱性管理 03 生成 AI の底力 04 脆弱性情報と Insight 05 まとめ
3. しろうさ ボーダーコリー大好き (ステラくん 3才) セキュリティエンジニアです。 最近は、生成 AI にハマっています。 あと、最近は某学園でアイドルプロデューサー中 アイレット株式会社 なかむら まさと 経歴 クラウドインテグレーション事業部　セキュリティエンジニア Profile 中村 昌登 shirousa_tan Google Cloud Partner Top Engineer 2025
4. みんな大好き脆弱性管理
5. 脆弱性管理の個人的な楽しいポイント 5 1 脆弱性情報はすっごく多い 優先順位を決める腕の見せ所！ 毎日脆弱性情報を精査して、分析。 CVSS 、Exploit もお手の物。 2 組織規定で対応方法が決められる 組織規定のプロフェッショナル。 規定に基づいた対応方法を決定できる。 複雑な条件分岐が場合分けも。 3 情報が適宜更新される 公開されて終わりじゃない。 新しい攻撃方法、バグ情報が日々更新。 追跡管理もお手の物。 4 関係者に対して説明できる 対応するだけが全てじゃない。 リーダー、顧客、セキュリティ担当者。 納得させるのはスキル次第。
6. みんな、できてるよね？？ 6 1 脆弱性情報はすっごく多い 優先順位を決める腕の見せ所！ 毎日脆弱性情報を精査して、分析。 CVSS 、Exploit もお手の物。 2 組織規定で対応方法が決められる 組織規定のプロフェッショナル。 規定に基づいた対応方法を決定できる。 複雑な条件分岐が場合分けも。 3 情報が適宜更新される 公開されて終わりじゃない。 新しい攻撃方法、バグ情報が日々更新。 追跡管理もお手の物。 4 関係者に対して説明できる 対応するだけが全てじゃない。 リーダー、顧客、セキュリティ担当者。 納得させるのはスキル次第。 13,739 件 (2023 年) JVN iPedia 調べ 即時？ 3ヶ月以内？ Exploit の有無 常に最新情報の 参照が求められる 対応有無にかかわらず 説明責任が生じる できているよね …？
7. 生成 AI の底力
8. 8 昨今の生成 AI を取り巻く状況 最大トークンの 増加 長文理解が可能。 複雑な文書、 長大なレポートの 文脈理解が可能に。 MCP による システム連携 共通プロトコルによる 相互連携が強化。 複数の SaaS からの 文脈を理解可能。 自律的 AI エージェント 文書を生成するだけ じゃない。 AI 自身で調査、対応が 可能に。 マルチモーダル AI 文字だけじゃない。 画像、音声、動画。 複数のデータを 入力可能。 今回のポイント
9. カタログスペックの確認 9 Amazon Nova は 300K トークンを扱えます。 これにより、長大なコンテクストの理解や、 複雑なタスクの実行が可能となります。 Amazon Nova Max tokens 300K Language 200+
10. 10 検証したデータ量の実際 最大トークン数 390K 文字数 1,001,778 文字 脆弱性数 642 件 今回検証した中では、以下のデータを取り扱うことができました。
11. 脆弱性情報と Insight
12. 今回の検証では、以下の検証を行います。 脆弱性情報のフィルタリングなどは実施せず、642 件すべてから推論を行います。 これにより、組織ポリシーと照らしあわせて適切な Insight を得ることが目的です。 脆弱性管理を生成 AI で実施する 12 インスタンスにある長大脆弱性情報と、組織ポリシーを生成 AI に渡して、 脆弱性管理に関わる Insight を得ます。 詳細は、iret.media の記事をみてね
13. 13 システムプロンプト あなたは、セキュリティアナリストです。 ユーザーの脆弱性管理を支援することがあなたの目的です。 ユーザープロンプト <policy> 外部ネットワークから攻撃可能な脆弱性かつ、High 以上の脆弱性は即時対応をしてください。 攻撃コードが公開された脆弱性を検知した場合は、CISO に報告が必要となります。 High 以上の脆弱性がある場合、3ヶ月以内に対応を実施してください。 業務影響を最小化するため、対応計画を作成して脆弱性のあるパッケージを更新してください。 … </policy> <vulnerabilities> … </vulnerabilities>
14. 14 アウトプット # 1. 全体的な傾向と対策 現在、外部ネットワークから攻撃可能な脆弱性が存在しており、そのうち High 以上の脆弱性が3件見つか りました。これらは直ちに修正する必要があります。残りの脆弱性は Medium レベルであり、1年以内のシ ステムメンテナンス時に更新が計画されています。... # 2. 直ちに修正が必要な脆弱性 直ちに修正が必要な脆弱性は、以下の3件です。これらの脆弱性は、High 以上の評価であり、外部ネット ワークから攻撃可能であることが確認されています。 - CVE-2024-50142 (kernel) … これらの脆弱性はサービスの中断やデータ漏洩につながる可能性があるため、速やかに対応計画を作成 し、修正パッチを適用してください。
15. 検証目的の通り、すべての脆弱性を確認して精緻な Insight を得ることができました。 カタログスペックを超えているようですが、それでも Amazon Bedrock と Amazon Nova は このような負荷の高いタスクも実施することができます。 できました 15 生成 AI は長大な情報を受け取り、脆弱性に関する Insight を出力します。 Input tokens: 390,007 / Output tokens: 442 / Total tokens: 390,449
16. まとめ
17. 生成 AI を脆弱性管理に活用する 17 1 システム全体に対する要約 生成 AI は、脆弱性管理のような 大規模データの処理が可能です。 これらのデータから、Insight を得られます。 2 組織ポリシーへの準拠 組織ポリシーを Input に含めることで ポリシーに準拠した出力を得られます。 3 エンジニア稼働の削減 エンジニアの負荷が高い作業を 生成 AI によって自動化できます。 エンジニアは、専門の作業に集中できます。 4 説明可能な情報の作成 生成 AI によって、システムやポリシーに 基づいた対応方針を文書化できます。
18. ご視聴ありがとうございました。
19. ご清聴ありがとうございました