投稿者 global-ai-media 
最新の研究によると、大規模言語モデル（LLM）はサイバーセキュリティにおける「攻撃経路」の特定には優れた能力を発揮する一方で、その「影響度」の評価には課題を残していることが明らかになりました。セキュリティ人材の不足が深刻な日本企業において、この特性を理解した上でどのようにAIを実務に組み込むべきか、その現実的な解を考察します。
セキュリティ運用の自動化とLLMへの期待
サイバー攻撃の高度化とサプライチェーンの複雑化に伴い、企業が対処すべき脆弱性の数（CVE）は爆発的に増加しています。限られたセキュリティ担当者が、日々公開される膨大な脆弱性情報のすべてを手動で精査し、自社への影響を判断することは、もはや物理的に不可能に近い状況です。
こうした中、ChatGPTをはじめとする大規模言語モデル（LLM）をセキュリティ運用（SecOps）に活用しようという動きが世界的に加速しています。特に期待されているのが「脆弱性評価の自動化」です。LLMの高度な自然言語処理能力を用いて、脆弱性レポートを読み解き、CVSS（共通脆弱性評価システム）のスコアリングや対応優先度の判断を支援させるというものです。
「攻撃経路」は正確だが「影響度」は見えない
しかし、最新の研究や実証実験の結果から、LLMによる脆弱性評価の明確な「限界」が見え始めています。それは、LLMは技術的な「攻撃経路（Attack Routes）」の理解には優れているものの、ビジネスへの「影響度（Impact）」の評価においては、人間ほどの精度が出せないという点です。
具体的には、LLMは脆弱性の記述から「どのような手順で攻撃が可能か」「ネットワーク経由かローカルか」「認証が必要か」といった技術的なベクタを抽出する作業は得意です。これはLLMが学習データとして大量の技術文書やコードを持っているためです。
一方で、「その脆弱性が悪用された場合、自社のビジネスにどれだけの損害を与えるか」という文脈（コンテキスト）の理解は苦手とします。例えば、同じ「リモートコード実行」の脆弱性であっても、それが「インターネットに公開された基幹システム」にあるのか、「外部から隔離された検証環境」にあるのかによって、リスクの深刻度は天と地ほど異なります。LLMは通常、企業の内部ネットワーク構成や資産の重要度（Business Criticality）までは把握していないため、一般的な回答しかできず、結果として過大評価や過小評価を引き起こすリスクがあるのです。
日本企業における「AI×セキュリティ」の現実解
日本企業、特に多くの組織では、セキュリティ専門人材（セキュリティエンジニアやCISO）の不足が深刻な経営課題となっています。そのため、「AIに任せれば人材不足が解消する」という安易な期待を持ちがちですが、前述の通り「丸投げ」は危険です。
日本の商習慣や組織文化において重要なのは、AIを「判断者」ではなく「優秀な下読み担当」として位置づけることです。
例えば、以下のようなワークフローが現実的かつ効果的です。
1. 一次フィルタリング：日々届く数百件の脆弱性情報に対し、LLMを用いて「自社の技術スタックに関連するもの」かつ「攻撃経路が容易なもの」を抽出させる。
2. ドラフト作成：抽出された脆弱性について、LLMに要約と推奨される対応策のドラフトを作成させる。
3. 人間の判断：セキュリティ担当者は、LLMが整理した情報をもとに、自社のシステム構成図やデータの重要度と照らし合わせて、最終的な対応優先度を決定する。
コンテキスト不足を補うRAGとガバナンス
さらに進んだ活用として、社内のシステム構成情報や過去のインシデント対応履歴をデータベース化し、RAG（検索拡張生成）技術を用いてLLMに「社内の文脈」を与えるアプローチも有効です。これにより、LLMは「このサーバーは個人情報を扱っているため、影響度はHighとすべき」といった推論が可能になります。
ただし、ここでもガバナンスが重要です。AIが「リスクなし」と判断したものが誤検知（False Negative）だった場合、取り返しのつかない事態になります。日本では説明責任（Accountability）が厳しく問われるため、AIの判断根拠をログとして残し、定期的に人間が監査するプロセスを組み込むことが、コンプライアンスの観点からも不可欠です。
日本企業のAI活用への示唆
今回の事例から得られる、日本企業の意思決定者・実務者への示唆は以下の通りです。
- 「不得意」を見極めて分業する：LLMは技術情報の整理（攻撃経路の特定）は得意ですが、ビジネス判断（影響度の評価）は苦手です。AIには「情報の構造化」を任せ、人間は「文脈に基づく意思決定」に集中するという役割分担を明確にしてください。
- 人材不足の特効薬ではなく「増幅器」：AIはセキュリティ人材を不要にするものではなく、少人数の専門家が大量のタスクを処理できるようにするためのツールです。ジュニアレベルのエンジニアがAIの支援を受けて、シニアレベルの判断を行えるようにする教育・支援ツールとしての活用も有効です。
- 内部情報の連携（Context Awareness）：精度の高い自動化を目指すなら、AIモデルそのものの性能だけでなく、社内の資産管理台帳やネットワーク構成図などのデータをAIが参照できる形（デジタル化・構造化）に整備することが急務です。DXの一環として、データ基盤の整備を進めることが、結果としてAIセキュリティの精度向上につながります。