WAFを89％すり抜ける事例も──AIが休みなく仕掛けるWeb攻撃、予防策はあるか

AIの進化により巧妙化するWeb攻撃について、WAFを89%すり抜ける事例を挙げながら解説しています。Akamai Technologiesの中西一博氏が、攻撃の傾向、対策、そしてその落とし穴について説明しています。

• AnthropicやOpenAIなどが開発するフロンティアAIの登場により、サイバー攻撃の脆弱性探索能力が飛躍的に向上している。
• AIは未知の脆弱性を大量に発見し、エクスプロイトコードを瞬時に生成する能力を持ち、人力では数週間かかる作業を数分に短縮可能である。
• AIは単体では深刻でない脆弱性を組み合わせ、実システムへの攻撃を試行することで、WAF (Web Application Firewall) の検知ルールをすり抜けるパターンを大量生成・試行する。
• 研究によると、AIが生成したSQLインジェクションやクロスサイトスクリプティングの派生パターン攻撃は、ModSecurityで89%、AWS WAFで41%が検知を回避される事例が報告されている。
• AIによるWeb攻撃の脅威に対抗するため、検知ルールを回避する難読化された攻撃パターンへの対策強化や、APIセキュリティの向上、ゼロデイ攻撃への予防的対策が求められている。