OpenAI と、AI が引き継ぐ環境

私は休みの日にペンシルベニアにある自分の農場で過ごし、藪を刈り、道を切り開き、牧草地で作業をしています。そこで早々に学ぶことのひとつは、自然界では何ひとつ思い描いたとおりには育たないということです（こちらがどれだけ手を尽くしても、です）。森というのは、根を張れたもの、鹿が食べ残したもの、嵐に倒されずに済んだもの、あるいは前の所有者がホルスタイン牛を放牧していた場所など、数十年分のあらゆる出来事が積み重なってできあがった結果です。森にはたしかに回復力がありますが、私たちが設計したものではありません。先週末、私はワイヤーを完全に飲み込むほど成長した木から、古いフェンスを取り除く作業をしていました。最初の計画にはなかったことですが、木は障害物に逆らうようにして、ただひたすら育ってきたのです。

組織もこれと同じように進化していきます。多くの企業は、目の前の課題を解決しながら、自社のシステムを少しずつ組み上げてきました。チームはスピードを上げるためにアクセス権を共有し、従業員は役割が変わっても権限を持ち続け、新しいコラボレーションツールは古いものが消えていくスピードを上回って次々に登場しました。時間が経つにつれて、アクセス関係は、ほとんどの組織が継続的にガバナンスを利かせられる速度を超えて積み重なっていきました。

長年、こうした無秩序な広がりはリスクを抱えていましたが、同時に偶然の恩恵もありました。機密データのガバナンスを難しくしていた複雑さが、データを見つけ出すこと自体も難しくしていたのです。攻撃者もまた、人間と同じ制約の中で動いていました。整理されていない環境を渡り歩くには、時間と技術と忍耐が必要でした。私たちはこれまで、「曖昧さはセキュリティではない」と言い続けてきました。しかし、ふたを開けてみれば、少なくとも多少はセキュリティとして機能していたのです。

新しいAIモデルは、その曖昧さの多くを取り払ってしまいます。この変化こそが、NetwrixがOpenAIのDaybreakプログラムに参加した理由です。Daybreakは、少数のセキュリティディフェンダーに、汎用的な展開で課されるガードレールに縛られることなく、フロンティアモデルへの早期アクセスを提供するプログラムです。Daybreakのようなプログラムに参加することの意味は、単により良いモデルにアクセスできることにとどまりません。これらのシステムを実際の環境に向けたときに何が起きるのかを、市場全体に先んじて理解できる機会でもあります。

AIが前提を変える

AIは、人と同じ制約のもとで動いているわけではありません。それはすでにCopilotのようなツールに表れています。誰かが単純な質問を投げかけただけで、給与データ、古いプロジェクトファイル、誰も再び表に出てくるとは思っていなかった社内レポートが浮かび上がってきます。情報は技術的にはアクセス可能だったものの、ほとんどの人は自力でそこにたどり着くことはなかったでしょう。権限は最初からそこにあり、AIはそれをただ届きやすくしただけです。いま、ほぼすべてのCISOから聞こえてくる懸念は、これらのモデルが誤った振る舞いをすることではありません。むしろ正しく振る舞った結果、環境がすでにアクセスを認めていた報酬データ、社内レポート、機密プロジェクト情報を浮かび上がらせてしまうことなのです。

ClaudeやGPT-5.5のようなフロンティアモデルは、さらにその先を行きます。大量の情報を横断して推論し、パターンを見つけ出し、コードを生成してテストし、人間の指示をその都度待つことなく複数の操作を連鎖的に実行します。セキュリティの文脈で言えば、適切に展開されたフロンティアモデルは、コードベースを分析して脆弱性を洗い出し、見つかった内容が悪用可能かを検証し、修正案を起草することまでこなします。かつて熟練したアナリストと数日の時間を要した作業を、わずか数分に圧縮してしまうのです。

その同じ能力は、アクセス権が一度も整理されていない環境では、リスクを膨らませる要因になります。3度の合併を経てもなお権限が残っているサービスアカウントや、何かが壊れるのが怖くて誰も触れたがらない共有管理者アカウントなどです。これらは現実によくある問題ですが、フロンティアAIはほかのあらゆる対象と同じやり方で、これらを処理します。速く、大規模に、かつてはエクスポージャーの広がりを遅らせていた摩擦をともなわずに、です。AnthropicのGlasswingプロジェクトは、それが実際にどう現れるかを示しました。Cloudflareは数週間で重要経路上のシステム全体から2,000件のバグを発見し、そのうち400件は深刻度が高または重大で、誤検知率は自社の人間のテスターよりも低い水準でした。MozillaはFirefox 150において271件の脆弱性を発見し修正しました。これは前バージョンで見つかった数の10倍を超える規模です。Glasswingのパートナー各社は、1か月のあいだに合計で1万件を超える高または重大深刻度の脆弱性を明るみに出しました。

セキュリティリーダーにとっての意味

答えは、何かを接続する前に、その環境にガバナンスを利かせることです。問うべきことは昔ながらのものです。誰がアクセス権を持っているのか、なぜ持っているのか、そしてそれは今もなお妥当なのか、ということです。新しいのは、その問いに答えなければならない切迫感のほうです。手をつけるべきポイントを以下にまとめます。

• AIエージェントは、特権ID（アイデンティティ）として扱ってください。 フロンティアモデルがAPIやオーケストレーション層を介して環境に接続された瞬間から、そのモデルは権限を継承し、その権限のもとで動き出します。特権を持つ人間のアカウントに適用しているのと同じコントロールを、AIエージェントにも適用してください。スコープを絞り、アクティビティを記録し、役割が変わるたびにアクセス権を見直すことが必要です。
• まずは最もリスクの高い面から優先的に対処してください。 大規模な組織で全面的なアクセスレビューを行うには、AIツールが稼働を始めるまでに確保できない量の時間が必要になるかもしれません。露出が最も大きいアカウントとデータストアに集中してください。管理者用の資格情報、機密データのリポジトリ、スコープが広く所有者の不明確なサービスアカウントなどです。
• AIに特化したアクセス監査を、今すぐ実施してください。 AI連携を拡大する前に、そのシステムが実際にどこまで到達できるのかをマッピングしてください。本来到達するはずだった範囲ではありません。現在の権限で到達しうる範囲です。両者のギャップは、ほぼ常に想定よりも大きくなります。
• データ分類を待たないでください。 AIは、広くアクセスされることを意図したデータと、時間とともにアクセス権が積み重なってきただけのデータとを区別しません。機密情報がどこに存在し、そこに誰が到達できるのかを把握しておくことは、安全なAI導入のための前提作業であって、導入のあとに付け足す“あれば便利”な要素ではありません。

この先に見えてくるもの

フロンティアAIの分野で最も先を行く組織は、適切なモデルを選ぶことと同じくらい、環境のガバナンスが重要であることをすでに理解しているように見えます。Anthropicは、自社で最も高い能力を持つモデルClaude Mythosへのアクセスを、ごく一部のGlasswingパートナーに限定しました。OpenAIも同じ原則に基づいてDaybreakを設計しています。Netwrixがその一員に名を連ねているのは、Daybreakが答えようとしている問い、すなわちAIがどこまで到達でき、その到達先が重要なのかという問いが、私たちが20年にわたって取り組んできた問いそのものだからです。

これらのプログラムが展開前に求めるアクセス制御とガバナンスの作業は、これらの組織が早い段階で学んだ、ある事実を映し出しています。フロンティアAIの価値は、それが動作する環境の質に応じて広がっていくということです。広範な推論能力を備えたモデルが、適切にガバナンスされたIDとデータの基盤の上で動作するとき、そのモデルはセキュリティチームにとって真の戦力倍増要因となります。一方、同じモデルが、何年も積み重なり一度も見直されていないアクセス権の上で動作する場合は、事後に封じ込めることが難しい速度と規模で、露出を生み出すことになります。

モデルはすでに目の前にあります。それらがどこまで到達できるかを決めるのは、あなた次第です。

参考資料

1. OpenAI、「Daybreak」

2. OpenAI、"Introducing Trusted Access for Cybersecurity"

3. Microsoft, “Microsoft 365 Copilot のための安全で管理された基盤を構成する”

余暇は、ペンシルベニアの私たちの農場で働くことに費やしています。藪を払ったり、小道を切り開いたり、牧草地で作業したり。すぐに分かることのひとつは、そこにあるものは何であっても（どれだけ私が頑張っても）完璧に「立てた計画どおり」に育つわけではない、ということです。森は、何十年もの間にたまたま根づいたもの、鹿が食べなかったもの、嵐が倒せなかったもの、あるいは前の持ち主がホルスタインを放牧していた場所などが積み重なった結果です。しぶとく生き残りますが、私たちが設計したわけではありません。今週末は、ワイヤーの周りに完全に巻き込まれて育ってしまった木から、古いフェンスを切り取っていました。あれは計画の一部ではありませんでした。でも木は障害物にぶつかりながらも、そのまま育ち続けたのです。

組織も同じように変化していきます。ほとんどの企業は、目の前の課題を解決しながらシステムを段階的に構築してきました。チームはより速く進めるためにアクセスを共有し、従業員は役割を変えても権限は維持し、新しいコラボレーションツールは古いものが消えるよりも速く登場します。時間の経過とともに、アクセス関係は、多くの組織がそれを継続的に統制できるスピードよりも速く蓄積されていきました。

長年にわたり、その“拡がり”はリスクももたらしていましたが、同時に偶然のメリットもありました。つまり、機微なデータを統制しにくくしていた複雑さが、そのデータを見つけにくくもしていたのです。攻撃者が抱えていた制約は、人間と同じでした。散らかった環境を手探りで進むには、時間、スキル、そして忍耐が必要でした。私たちはいつも「不明瞭さはセキュリティではない」と言ってきました。ところが、少なくとも少しは、それが本当にセキュリティになっていたようです。

より新しい AI モデルは、その曖昧さの大部分を解消します。この変化が、Netwrix が OpenAI's Daybreak program に参加した理由です。これは、汎用的な導入を縛るのと同じガードレールなしに、少人数のセキュリティ防御担当者が最先端のモデルに早期アクセスできるようにするものです。Daybreak のようなプログラムに参加する意義は、より良いモデルへのアクセス以上のものがあります。より広い市場に先んじて、これらのシステムを実際の環境に向けたときに何が起きるのかを理解する機会を得ること――それがポイントです。

AIが前提を変える

AI は、人が受けるのと同じ制約のもとで動いていません。これはすでに Copilot のようなツール に現れています。人は単純な質問を投げるだけで、誰も再び現れるとは思っていなかった給与データ、古いプロジェクトファイル、社内レポートなどを引き出してしまえるのです。情報自体は技術的には到達可能でしたが、ほとんどの人は自分一人では見つけられなかったはずです。権限は最初からそこにあり、AI によってそれらに到達することがより簡単になりました。いまほぼすべての CISO から聞こえてくる懸念は、これらのモデルが誤って振る舞うことではありません。むしろ、正しく振る舞い、環境がすでにアクセスを許可していた報酬データ、社内レポート、そして機微なプロジェクト情報を表に出してしまうことです。

Claude や GPT-5.5 のようなフロンティアモデルは、さらに一歩進みます。大規模な情報を横断して推論し、パターンを特定し、コードを生成してテストし、各ステップで毎回人のプロンプトを待つことなく複数のアクションを連鎖させることができます。セキュリティの文脈では、適切に導入されたフロンティアモデルがコードベースを脆弱性の観点で分析し、発見事項が悪用可能かどうかを検証し、是正（リメディエーション）案を作成できます。これにより、かつては熟練したアナリストと数日を要した作業を、数分へ圧縮できます。

同じ能力は、アクセスの棚卸しが一度も行われていない環境ではリスクをさらに増幅します。たとえば、3 回前の合併の際から引き継がれた権限を持つサービスアカウント、あるいは、何かが壊れるかもしれないから誰も触りたくない共有の管理者アカウントなどです。これらは現実に起こる、よくある問題であり、フロンティア AI はそれらを他のすべてと同じように処理します。つまり、暴露を遅らせていた従来の“摩擦”がないまま、速く、スケールしながら、処理してしまうのです。Anthropic の Project Glasswing は、実際にそれがどのように見えるかを示しました。Cloudflare は、数週間で重要経路システム全体にまたがる 2,000 件のバグを見つけ、そのうち 400 件が高または重大な深刻度でした。また、誤検知率は自社の人間テスターよりも良いものでした。Mozilla は Firefox 150 で 271 件の脆弱性を発見して修正し、前回リリースで見つけた数の 10 倍以上を上回りました。Glasswing のパートナーは、1 か月の間に合計で 1 万件を超える高または重大な深刻度の脆弱性を明らかにしました。

それがセキュリティリーダーにとって意味するもの

対応策は、何かを接続する前に環境を統制（ガバナンス）することです。中心となる問いは昔からのものです。誰がアクセス権を持っているのか、なぜ持っているのか、そしてそれは今も妥当なのか。これらに答える必要性の切迫度は新しくなっています。まずはここから始めましょう：

• AI エージェントは特権IDとして扱う. フロンティアモデルが API やオーケストレーション層を通じて環境に接続すると、権限を継承し、その権限に基づいて行動します。特権を持つ人間のアカウントに対して行うのと同じ統制を適用してください。範囲を絞り、アクティビティをログに記録し、役割が変わるたびにアクセスを見直します。
• リスクが最も高い領域から優先的に取り組みましょう. 大規模な組織全体でのアクセス確認を徹底的に行うには時間がかかり、AIツールが本番稼働する前に確保できない場合があります。露出（リスク）が最も大きいアカウントとデータストアに注目してください。管理者（管理用）の認証情報、機密データのリポジトリ、権限範囲が広いにもかかわらず所有者が不明確なサービスアカウントです。
• AI専用のアクセス監査を今すぐ実施しましょう. いかなるAI連携も拡張する前に、システムが実際に到達できる範囲（アクセスできる範囲）を地図のように整理してください。意図していた範囲ではありません。現在の権限で到達できる範囲です。このギャップは、ほぼ常に想定よりも大きくなります。
• データ分類を待たないでください. AIは、広くアクセス可能であることを想定していたデータと、時間の経過とともにアクセス権が蓄積されてきたデータとを区別しません。機密情報がどこに存在し、誰がそれに到達（アクセス）できるのかを把握しておくことは、安全なAI導入のための前提となる作業であり、導入後に“あると便利”として後回しにできるものではありません。

これからどう進むか

最先端のAIで最も素早く動いている組織は、すでに「適切なモデルを選ぶこと」と同じくらい「環境（運用範囲）を統治・管理すること」が重要だということを理解しているようです。Anthropic は、最も能力の高いモデルである Claude Mythos へのアクセスを、ごく少数の Glasswing パートナーに限定しました。OpenAI も同じ原則に基づいて Daybreak を構築しています。Netwrix がこのグループに入っているのは、Daybreak が答えようとしている問い、つまり「AI がどこまで到達できるか」「到達できるものが本当に重要か」といったテーマが、私たちが 20 年間取り組んできた問いそのものだからです。

これらのプログラムが展開（デプロイ）前に必要とするアクセス制御とガバナンスは、これらの組織が早い段階で学んだある事実を反映しています。すなわち、フロンティアAIの価値は、そのAIが動作する環境の品質に応じて大きくなります。適切にガバナンスされた Identity とデータ基盤を通じて動作する、幅広い推論能力を備えたモデルは、セキュリティチームにとって真のフォースマルチプライヤーです。同じモデルでも、長年蓄積されてきたものの未レビューのアクセスを通じて動作すると、後から封じ込めるのが難しい速度と規模で露出（エクスポージャー）が生じます。

モデルはすでに揃っています。彼らが到達できる範囲を決めるのは、あなた次第です。

参考文献