中国のオープンウェイトAIモデルがサイバーセキュリティ企業のHackerOneハッキングコンテスト優勝に貢献

中国の人工知能モデルはサイバーセキュリティにおいて高い能力を発揮しており、米国のセキュリティ企業が中国のAI開発企業Z.aiのオープンウェイトモデルを使用してHackerOneの脆弱性発見コンテストでトップに立った。

サイバーセキュリティ企業Tenzaiは、同社の自律型AIハッカーがHackerOneの脆弱性開示プログラムで2四半期連続で1位を獲得したと発表した。

今回、Tenzaiは中国のAI企業Z.aiが開発したオープンウェイトモデルGLM 5.2とGLM 5.3を使用した。これらのモデルは、Tenzaiの自動システムの一部として、実際のソフトウェアやインフラストラクチャにおけるセキュリティ脆弱性の探索に使用されました。

AIが実際のシステムにおける脆弱性を発見

HackerOneは、組織がセキュリティ研究者と協力してシス​​テムの脆弱性を特定し報告するプラットフォームです。

Tenzaiは、自社のAIハッカーにプラットフォームへのアクセス権を与え、セキュリティ上の弱点を探索させました。

Tenzaiによると、このシステムは、誤検出率を約3.5%に抑えながら脆弱性を特定することができました。

30%コストが削減されたと述べた。

Tenzaiの以前のテストでは、自律型AIシステムが複雑な脆弱性を特定し、複数の弱点を組み合わせて攻撃チェーンを作成できることが示された。同社はこれまで、ソフトウェアの脆弱性からリモートコード実行、データベースアクセス問題に至るまで、さまざまな調査結果を報告してきました。

オープンウェイトモデルがサイバーセキュリティ上の問題になりつつあります

Tenzaiが使用しているモデルはオープンウェイトであるため、この結果は重要です。

多くの商用AIシステムとは異なり、オープンウェイトモデルは、モデルプロバイダーのオンラインサービスに完全に依存することなく、開発者や組織がダウンロードして実行できます。

これにより、さまざまな目的に合わせてカスタマイズおよび展開が容易になります。

また、同じテクノロジーが潜在的に次の目的で使用できることを意味します。防御側と攻撃側の両方。

TenzaiのCEOであるPavel Gurvich氏は、中国製のオープンウェイトモデルはすでに高度な攻撃的なサイバーセキュリティタスクを実行できると主張しています。同社は、このモデルはサイバーセキュリティ関連の機能において米国の主要システムにそれほど劣っていないと述べた。

モデルはシステムの一部にすぎない

天西は、HackerOneの結果は、あるAIモデルが単に別のAIモデルよりも優れていることを必ずしも意味するものではないと述べた。

同社のシステムは、AIモデルとエージェントセキュリティフレームワークを組み合わせたもので、これによりAIは脆弱性を検索し、潜在的な弱点をテストし、レポートを作成することができる。

天西のCEOは、この結果はシステム、つまり「ツール」の重要性を示していると述べた。基となる AI モデル自体だけでなく、モデルを取り巻く環境も重要です。

この区別は、サイバーセキュリティのパフォーマンスが、モデルのコード理解能力だけにとどまらないため重要です。 AI がアクセスできるツール、攻撃の計画方法、発見の検証方法、ターゲット システムとのやり取り方法など、すべてが最終結果に影響を与える可能性があります。

オープン AI モデルがサイバー セキュリティに重要な理由

この開発はセキュリティ チームに新たな課題をもたらします。

管理された商用環境外でダウンロードして実行できる強力な AI モデルにより、組織は独自のサイバー セキュリティ ツールを構築できるようになります。

同時に、同じ機能が悪意のある目的に悪用される可能性もあります。

最近の研究と業界のテストでは、ますます高性能な AI エージェントが脆弱性を発見し、コードを記述し、サイバー攻撃。Tenzai自身も、同社のAIハッカーがアプリケーションを継続的にテストし、複数の脆弱性を連鎖させることができると報告している。

これは、防御側がAIをセキュリティツールとしてだけでなく、変化する脅威の状況の一部としても考慮する必要があるかもしれないことを意味する。

競争はモデル開発を超えて進んでいる

HackerOneの結果は、AIシステム間の競争が、ライティング、推論、コーディングを測定するベンチマークに限定されなくなったことも示している。

サイバーセキュリティは、AIが実際の環境でどれだけうまく機能できるかの、もう1つの実践的なテストになりつつある。

防御側にとって、この開発には2つの側面がある。 AIは、セキュリティチームがより多くのシステムをテストし、脆弱性をより迅速に特定し、セキュリティテストのコストを削減するのに役立ちます。

しかし、同様のツールが攻撃者にも利用可能になると、脆弱性が発見され悪用される速度も速くなる可能性があります。

オープンウェイトAIモデルの性能が向上し、広く利用可能になるにつれて、組織は、攻撃者がセキュリティ上の弱点を発見する前に防御者が弱点を発見できるように、継続的な脆弱性テスト、アクセス制御、および監視を強化する必要があるかもしれません。