インタビュー結果

開発者・その他

AIによる攻撃の自動化・高度化

LLMは日常業務で利用しており、この水準になると攻撃はできるだろうなと考えていたが、その感覚とタイミングが一致している。 とにかくAIエージェントは試行錯誤が得意で、攻撃は一つでも成立すればいいので、AIエージェントのユースケースとして適合しすぎていると感じる。

一つに絞れない

国かな

インセンティブや仕組み、基本方針などの策定。 まず訴訟は不毛だと思います。訴訟で一人いくらもらっても、企業側はただの損失、個人としては端金にしかなりません。 それならばサイバー対策費を目的とした税金や基金として納めたほうが、よっぽど有益な投資に繋がります。また被害が増えるほど対策費が潤沢になるという、自動調節も働きます。 このようなインセンティブや構造設計は、法令とうまく組み合わせると非常に効果的だと考えます。 また一方で、ビジネス的に中立性の高い国が示せることもあると考えます。 いわゆるJTCのような会社ほど、国の方針ならとりあえず従っておけば名目も保てるし…となるでしょうし、コンサルなどに頼る力やIT人材が弱い中小企業などは、国の方針には一定の信頼をおけます。 とにかく情報を持たない、ネットワークを遮断する、不必要に残ってしまっている情報を捨てる、といった根本的な基本方針を示すことは効果があると考えます。 一方で、既存のシステムをAIエージェントなどに調べさせても効果は限定的と考えます。そのような予算を対策費として積むのはあまり意味がないと思います。 さらには、今後個人情報が流出することを前提とした社会設計が求められると思います。ここは具体的なイメージがありませんが、法令だけでなく総合的アプローチが求められると思います。

それはサイバーセキュリティに関する政策で、ということでしょうか？

それは難しい質問ですね。 ただ、サイバーセキュリティは民間企業だと投資されづらい領域であり、その背後には資本主義や経済合理性によるインセンティブが働きにくいことがある。だからこそ、国ができることもあるだろうと考えています。 そして国は法令や税金によって適切なインセンティブを作り出すことができます。 例えば情報流出に罰金を設ければ、罰金が発生しないようにサイバーセキュリティ投資を促すことができるかもしれません。（同時に、事例を隠そうとするインセンティブも働くので、この方式がよいと言うつもりもありません） 抽象的な主張にはなりますが、民間企業では担保されないようなインセンティブを適切に設計して社会実装することだと考えます。