バグを見つけるのに Mythos が必要だというのは神話です：オープンソースのモデルでも同様にできる
OpenAI初のセキュリティ採用者、Ari Herbert-Vossは「より自動化されたバグ発見」が雇用を犠牲にすることなくセキュリティを高めると考えている
Black Hat Asia オープンソースのモデルは、OpenAI初のセキュリティ採用者であり、AI搭載セキュリティ・スタートアップRunSybilのCEOであるAri Herbert-Vossによれば、AnthropicのMythosと同じくらい効果的にバグを見つけられるという。
Herbert-Vossは本日、シンガポールで開催中のBlack Hat Asiaカンファレンスで、Mythosは「浅い」バグ、つまり十分に説明されていて検証も容易な欠陥だけでなく、より複雑な脆弱性の発見にも優れていると述べた。
講演の中で同氏は、この点を「超線形スケーリング（supralinear scaling）」によるものだと説明した。研究者たちは、LLMの能力は直線的に向上すると考えていたが、現在の証拠では、データ、計算（compute）、時間を2倍にして学習したモデルは、能力が4倍にまで高まるような何かを生み出すことが示唆されている。
同氏は、超線形スケーリングによってさらに優れた乗数効果（multipliers）が得られる可能性をほのめかしたが、秘密保持契約（NDA）のためそれ以上は明かせなかった。
Anthropicは、悪用の懸念を挙げ、Mythosへのアクセスを厳しく制限し続けている。
だがHerbert-Vossは、攻撃者も防御側も、いくつかのモデルを「足場（scaffolding）」で束ねて動かすことで、オープンソースのモデルでも同等の結果を達成できると主張する。さらにその手法は、異なるモデルは異なる欠陥を見つけやすいため、ディフェンス・イン・ディプス（多層防御）も強化する。これは、単一のモデルの見落としに対する有用なヘッジにもなる。
コストももう一つの要因です。Mythosの構築と運用には費用がかかり、一般公開されない可能性もあるため、多くの組織にとってはオープンソースの代替手段が単に「選択肢」ではなく、必要不可欠になります。
- セキュリティが弱いと、攻撃者は市内の公共用EV充電器をすべて無効化できてしまう
- EV充電器事業ELECQが身代金要求型ウイルスで攻撃される、顧客の連絡先データが盗まれる
- ハイブリッドクラウドには2つの攻撃面があるのに、どちらにも十分な注意を払っていない
- Mythosが271件のFirefoxの脆弱性を見つけた――ただし、人間なら誰でも見抜けるものばかり
Herbert-Vossは、人間の専門知識は依然として必要だと感じています。オープンソースのモデルを連携させて、合わせてMythos級の性能を提供するようオーケストレーションすること、そしてAIが生成するバグ報告を評価することです。
そのうえで、ソフトウェアにランダム、あるいはそれに近いデータを注入してバグが生まれるかどうかを確認するテスト手法であるfuzzingもまた、警告があまりに大量に出るため、人間にとって追加の作業を増やしてしまう、と指摘しました。
AIのバグハンターもすでに同じ問題を引き起こしており、それは今後も続くだろうと彼は見ています。
したがってHerbert-Vossは、情報セキュリティ（infosec）の仕事に従事する人々は、当面の間ずっとやるべきことが山積みになると考えています。そして、AIを使う経済的なインセンティブ――その人間以外では、これらのGPUやデータセンターすべてを賄うために支払いをするサービスを誰かが利用しなければならない――が、強制力のように働いて、infosecチームがAIを導入し、その結果として、先回りした防御的な取り組みを改善することになるでしょう。®
