Microsoft、AnthropicのClaude Mythosが発見したバグの修正に苦戦

AnthropicのClaude Mythosは、Microsoft製品全体で数百件のセキュリティ脆弱性を発見したと報じられています。4月だけで231件の深刻なSharePointの脆弱性が含まれていました。

これらの発見は、人工知能（AI）がいかにバグ検出を加速できるかを示しています。しかし同時に、Microsoftのエンジニアリング チームが脆弱性を迅速に調査・修正しなければならないというプレッシャーが増していることも浮き彫りにしています。

Microsoftの従業員がClaude Mythosを称賛

ProPublicaの記事によると、Microsoftの従業員は5月に開催された内部会議で、AnthropicのClaude Mythos Previewを称賛しました。

Anthropicは、Microsoft、Google、Apple、Amazonを含む約40社のパートナーに早期アクセスを提供したと報じられています。同社はその後、米国政府の承認を得て、Mythos 5へのアクセスを復旧しました。

同会議では、従業員が、このモデルがいかに大規模なコードベースを効率的に調査し、潜在的なセキュリティ上の弱点を特定できるかについて議論しました。

Claude Mythosが231件の深刻なSharePointの脆弱性を発見

Claude Mythosは、4月中に、90件の「緊急」および141件の「重要」に分類されるSharePointの脆弱性を特定したと伝えられています。

これらの数字はSharePointのみを対象としたものです。その他のMicrosoft製品やサービスでは、さらに数百件の脆弱性が発見されたと報じられています。

Microsoftの管理職は、エンジニアリング チームに対し、緊急および重要の問題を優先するよう指示しました。開発者は、すべての検出結果に即座に対処するだけのリソースが不足していたため、深刻度「警告」の脆弱性については後日対応することになりました。

「警告」の脆弱性も依然として深刻なリスクを生む可能性がある

深刻度「警告」の脆弱性は、個別に確認すると緊急度が低く見えるかもしれません。しかし、攻撃者は複数の深刻度の低い弱点を組み合わせて、より危険なエクスプロイト チェーンを作り出す可能性があります。

これにより、修正の遅延はリスクが高まります。特に、AIツールによってセキュリティ研究者や攻撃者のソフトウェア分析速度が向上している状況ではなおさらです。

Microsoftはすでに、AIによってWindows更新プログラムの遅延がより危険になることを警告しています。脆弱性の発見が速くなると、欠陥の特定から悪用されるまでの期間が短縮される可能性があります。

AIがMicrosoftのセキュリティプロセスを変えている

Microsoftは、開発、テスト、およびセキュリティのパイプラインにAIツールを導入することで、AI主導のWindowsセキュリティ戦略を拡大しています。

同社は最近、自動化されたセキュリティ調査のコストを削減するために設計されたサイバーセキュリティ モデル「MAI-Cyber-1-Flash」も発表しました。Microsoftは、このモデルをMDASHに統合する計画です。

これらのシステムは、従来のセキュリティチームが手動で特定できるよりも多くのコードをレビューし、より多くの弱点を検出できます。しかし、脆弱性がより多く発見されることで、修正すべきバックログも増大します。

Microsoftのレガシーコードが作業負荷を増大させる

Windows、SharePoint、Microsoft 365などのMicrosoft製品には、数十年にわたって開発されたコードが含まれています。

古いコンポーネントの中には、最新のセキュリティ標準や開発手法に準拠していないものもあります。これらのシステムを見直し、置き換え、最新化するには、多大なエンジニアリング リソースが必要です。

AIはこうした大規模なコードベース全体の弱点を特定するのに役立ちますが、Microsoftは引き続き、開発者が調査結果を検証し、修正プログラムを作成し、更新プログラムをテストし、顧客に影響を与えずにパッチを展開する必要があります。

Microsoft、人員配置とセキュリティ投資を見直し

MicrosoftはProPublicaに対し、自社のチームが脆弱性をどのように分類し優先順位付けしているかについて、引き続き見直しを行っていると述べました。

同社はまた、AIによって発見される問題の数が増加する中で、人員配置レベル、セキュリティ投資、開発ツールも評価しています。

課題はもはや脆弱性の発見だけではありません。Microsoftは、エンジニアリング チームがそれらを迅速に処理し修復できることも確実にしなければなりません。

同社のより広範なAI戦略は、各タスクに最適なモデルを選択する助けとなるでしょう。MicrosoftはOpenAIとAnthropicに対抗しています。単一のAIプロバイダーに依存することを避け、コスト、パフォーマンス、セキュリティ要件に基づいてさまざまなモデルにチームがアクセスできるようにしているのです。

AIを活用したバグ検出は、ソフトウェアのセキュリティを大幅に向上させる可能性があります。また、エンジニアリング チームがすぐに対処できる以上の脆弱性を露呈させる可能性もあり、人員配置、優先順位付け、より迅速なパッチ開発の重要性が高まります。