【ITニュース解説】AIが攻撃スクリプトをリアルタイム自動生成するランサムウェア「PromptLock」が出現

最近、サイバーセキュリティの分野で非常に注目すべき新たな脅威が登場した。それが「PromptLock」という種類のランサムウェアである。これは従来のランサムウェアとは一線を画す、生成AI（ジェネレーティブAI）の技術を利用した全く新しいタイプの攻撃手法であり、サイバー攻撃のあり方そのものを大きく変える可能性がある。システムエンジニアを目指す初心者にとっても、この進化は将来の仕事に直結する重要な知識となるだろう。

まず、ランサムウェアとは何かを簡単に説明する。ランサムウェアとは、標的となるコンピューターやネットワークに侵入し、そこにあるファイルやデータを暗号化したり、システムをロックしたりして使用不能にする悪質なプログラムのことだ。そして、その解除と引き換えに身代金（ランサム）を要求するため、ランサムウェアと呼ばれている。企業や組織が標的になった場合、業務が完全に停止し、甚大な被害が発生する。

このPromptLockがなぜ特別なのか。それは、一般的なランサムウェアが事前に作成された攻撃スクリプトや既知の脆弱性（システム上の弱点）を利用して攻撃するのに対し、PromptLockは「生成AI」を駆使して「リアルタイム」で攻撃スクリプトを「自動生成」し、「自律的」に標的を判別して攻撃を実行する点にある。

生成AIとは、大量のデータから学習し、新しいテキスト、画像、音声、さらにはプログラムコードなどを生み出すことができる人工知能のことだ。PromptLockはこの生成AIの能力を悪用し、攻撃の現場でその状況に合わせた最適な攻撃方法をAI自身に考えさせ、それに基づいて実行するスクリプトを即座に作り出す。これは、まるで攻撃者がその場にいて、標的の環境を分析しながら最適な攻撃ツールをその場で開発し、実行しているようなものだ。

例えば、PromptLockが企業のネットワークに侵入したとする。従来のランサムウェアであれば、事前に用意された攻撃コードを次々と試すか、特定の種類のサーバーやOS（オペレーティングシステム）を狙うことが多かった。しかし、PromptLockの場合、生成AIがネットワーク内のシステム構成、稼働しているソフトウェアの種類、セキュリティ対策の状況などを自律的に分析する。そして、「このWindowsサーバーにはこの脆弱性が存在する可能性が高い」「このデータベースにはこういったアクセス方法がある」といった情報を基に、AIがその標的に特化した、これまで見たことのないような新しい攻撃スクリプトを生成するのだ。

この「リアルタイム生成」と「自律的な判別・実行」という特徴は、防御側にとって極めて厄介な問題を引き起こす。従来のセキュリティ対策は、既知の攻撃パターンを検出したり、あらかじめ存在する脆弱性に対応したりすることで、脅威を防ぐことに主眼を置いてきた。しかしPromptLockは、その場で新しい攻撃パターンを生成するため、従来のパターンマッチング型のセキュリティシステムでは検出しにくい。また、自律的に判断して行動するため、攻撃の速度が非常に速く、人間の介入なしに多角的な攻撃を展開できる。これは、まるで自動運転車が道路状況に応じて最適な運転ルートをリアルタイムで判断するように、PromptLockが攻撃状況に応じて最適な攻撃戦略を立て、実行するのと似ている。

ESETが指摘するように、これはサイバー攻撃の「転換点」を示している。これまで人間のスキルと労力に依存していた攻撃準備のプロセスが、AIによって劇的に効率化・自動化されることになる。攻撃者は、PromptLockのようなツールを使えば、個々の標的に合わせて複雑な攻撃コードを開発する手間を省き、より多くの標的に、より巧妙な攻撃を仕掛けることが可能になるだろう。

システムエンジニアを目指す初心者にとって、このニュースは、ITセキュリティに対する考え方を根本から見直すきっかけとなるはずだ。もはや、システムを構築するだけで十分という時代ではない。構築されたシステムが、PromptLockのようなAIを搭載した自律的な攻撃にどのように耐えうるか、あるいはAIを活用してどのように防御するか、という視点が不可欠となる。

これからのシステムエンジニアには、単にプログラミングやシステム設計のスキルだけでなく、最新のサイバー脅威の動向を常に把握し、セキュリティに対する深い知識と意識を持つことが強く求められる。AIの進化は、良い面だけでなく、このように悪用される危険性もはらんでいる。そのため、AI技術そのものへの理解と、それを悪用する攻撃手法、そしてそれに対する防御策の両方を学ぶ必要がある。

将来、あなたが関わるシステムは、PromptLockのようなAIを活用した脅威に常にさらされる可能性がある。そのため、システム開発の初期段階からセキュリティを考慮する「セキュリティ・バイ・デザイン」の考え方が一層重要になる。安全なシステムを設計し、実装し、運用するためには、AIがどのように機能し、どのように悪用されうるかを理解した上で、多層的な防御策を講じる知識が不可欠となるだろう。AIが進化すればするほど、その技術を正しく理解し、制御する人間の役割がより一層重要になるのである。