GoogleのGemini AIエージェントがダークウェブを巡回し、1日に1,000万件超の投稿をふるいにかけて、特定の組織に関連する“いくつかの脅威”を見つけ出します。

現在パブリックプレビューとして利用可能な、Google Threat Intelligenceに組み込まれたダークウェブ・インテリジェンスのサービスは、Geminiのモデルを使ってユーザーの組織のプロファイルを作成します。その後、その組織が直面するセキュリティ上のリスクを特定するためにダークウェブを精査します。

Googleの脅威ハンターはThe Registerに対し、社内テストでは、1日に発生する数百万件の外部イベントを98%の精度で分析できることを示していると伝えました。

「私たちは今、Geminiを使ってダークウェブのあらゆる投稿を処理し、そこから“実際に重要な脅威”へと絞り込んでいます」と、Google Threat IntelligenceのプロダクトマネージャーBrandon Woodは私たちに語りました。さらに、それには初期アクセス・ブローカーの活動、データ漏えい、インサイダー脅威、その他のインテリジェンスも含まれると付け加えています。

「1日に8〜10百万件のイベントを見ていて、その結果を、非常に短い処理時間で絞り込むことができています」彼はそう述べました。

比較のために言うと、従来のダークウェブ監視ツールの多くは、主にキーワードをスクレイピングし、regexでそれらの語にマッチさせます。その場合、Woodによれば、80%〜90%もの誤検知（フォールスポジティブ）が発生します。「脅威インテリジェンスのチームにとっては、ほとんどノイズを作っているだけです」と彼は言いました。

新しいサービスがどう動くのかを説明します。顧客（たとえばAcme Bank）が、ダークウェブ監視モジュールを初めて開きます。彼らは自分たちがAcme Bankであることを確認し、Geminiが顧客プロファイルを構築します。

「数分以内に、顧客、その環境、そのビジネス運用、VIP、ブランド、テクノロジーに対する深い理解を持ったプロファイルを返します」とWoodは述べました。「それらは、オープンソースで、公開されているものですし、私たちはその内容の引用（クレジット）もすべて提供します。AIやLLMのブラックボックスを小さくしていくことを目指しているのです」

Googleのツールは次に自動的にアラートを生成し、7日前までさかのぼって潜在的な脅威を分類します。AIエージェントはダークウェブのデータにタグを付け、その後、ベクトル比較を行って、盗まれたデータや組織に影響し得る悪意ある活動を検知します。

「ここ数分で、過去1週間分のアラートが次々と流れ込んできて、それぞれを本当に、本当にシンプルな形で優先順位付けします」とウッド氏は述べました。「これらのアラートのそれぞれについて、関連性を見ます。脅威の実行者は、私の組織プロファイルにある要素について具体的に話しているのか。あるいは、私のプロファイルの要素について話している可能性があるのか。これは、もう少し曖昧になります」

たとえば、ダークウェブ上の犯罪者が、従業員5万人超、運用資産500億ドルの大手北米銀行へのアクセスを販売していると主張した場合、GeminiはAcme Bankのプロファイルと攻撃者の主張の間に関連性を引き出し、これを高深刻度の脅威として特定します。

• Google：中国のAPT31がGeminiを使って米国の組織に対するサイバー攻撃を計画
• 暴走したエージェント！ 企業が信頼できないボットに王国の鍵を渡す
• 不正なAIエージェントは連携してシステムをハックし、秘密を盗める
• AWS、セキュリティAIエージェント競争でMicrosoft、Googleに加わる

Geminiはまた、脅威インテリジェンス・グループの人間のアナリストからの知識も取り込みます。彼らは627の脅威グループを追跡しています。

「この初期アクセス用の構築物はどれほど深刻なのか？ そして、このデータ漏えいはどれほど深刻なのか？ さらに、背景として私たちが入力した文脈をGeminiで読み取り、そのうえでアラートを生成します」とウッド氏は言います。「私たちの目標は、数百、数千という、ほとんどが誤検知であるアラートから離れることです」

Googleは、顧客が重要な脅威を説明するAI生成の推奨を信頼してくれることを期待しています。

ただし、ダークウェブのインテリジェンス・エージェントであるGeminiに対して付与されるアクセスのレベル次第では、AIツールがサイバー犯罪者が悪用するまた別の攻撃経路を生み出し得るようにも見えます。

「私たちは主に、一般公開されている情報と、ユーザーがプラットフォームに入力する文脈に注目しています」とウッド氏は述べました。「Googleはユーザー情報の保護を深く重視しています。私たちは、そこにますます多くの洞察や機能を統合していく方法を慎重に検討していますが、情報をどのように交換したいのかについて、きわめて透明性が担保されるよう、私たちは本当にユーザーや顧客と協力して取り組んでいます」

しかし、まだ終わりではありません（AIエージェント）

ダークウェブのインテリジェンス・ツールに加えて、Googleは（プレビューとして）Google Security OperationsにAIエージェントも追加し、脅威への対応を自動化しました。顧客は、Googleのトリアージおよび調査エージェントを含むエージェントを、ワークフローに直接埋め込むことができます。これにより、アラートを自律的に調査し、分析のための証拠を収集し、推定結果を提示できます。さらに、その推論の根拠に関する説明も併せて提供します。

また、Google Security Operationsの顧客は、リモート・モデル・コンテキスト・プロトコル（MCP）サーバーのサポートにより、自社のエンタープライズ・セキュリティ・エージェントを構築できるようになりました。この機能は現在、一般提供（一般に利用可能）となっており、顧客は自前のSecurity Operations MCPサーバー・クライアントをホストする必要がありません。さらに、顧客がGoogle Security Operations上で構築するセキュリティ・エージェントに対して、Google Security Operations内で統一的なガバナンスと制御を実現することも可能になります。 ®

関連記事

• AI
• サイバー犯罪
• Google AI

これに近い内容