の回答・AIによるまとめ
生成AIは、攻撃者の調査、技術、実行の各能力を引き上げていると捉えられている。
生成AIを使うことで、攻撃側の調査能力、技術力、攻撃力などが明らかに向上しました。
Timesの事例では、流出経路が公表されていない一方、古いOSSの利用状況を安全対策上の懸念として挙げている。
Seasar2などの20年以上の前のOSSが使われていることが確認されており、安全対策は不十分であったと考えられます。
利用者が代替しにくい大規模サービスには、政府によるセキュリティ基準が必要だとしている。
政府として、ある程度の大規模サービスに対して、セキュリティ対策の基準を設けるべきだと思います。
基準を作るだけでなく、大規模サービスを直ちに点検する対応を求めている。
可能なら、今すぐにでも大規模サービスに対して点検を実施するべきでしょう。
レポートの構成はインタビューごとの設定により異なります
現時点の分析での分類です。回答が増えると分析は更新され、話題の分け方が変わることがあります。 どの話題にも入らなかった意見も、すべて集計の対象です。
まず、ご専門や現在のお立場に最も近いものを教えていただけますか。
開発者・その他
開発者・その他のお立場からお話しいただきますね。
最近、大規模な情報流出が相次ぐ背景として、何がいちばん大きく変わったと見ていますか。
AIによる攻撃の自動化・高度化
そう感じられた背景には、開発の現場などで具体的にどのような変化や出来事があったのでしょうか。
生成AIを使うことで、攻撃側の調査能力、技術力、攻撃力などが明らかに向上しました。最も大きな要因はAIでしょう。
企業・国・個人のうち、現時点でいちばん手を打つべき主体はどこだと思いますか。
国
国が半年程度など、すぐに着手すべき対策としてはどのようなことが考えられますか。
Timesの個人情報漏洩問題では、具体的な流出経路などは発表はされていませんが、Seasar2などの20年以上の前のOSSが使われていることが確認されており、安全対策は不十分であったと考えられます。攻撃側の能力がAIで向上していることに対して、サービス側が20年以上前の、10年前にメンテナンスが終了しているOSSを使い続けている状況は酷いです。ユーザー側にはサービスを使わないという防衛手段しか残っていません。政府として、ある程度の大規模サービスに対して、セキュリティ対策の基準を設けるべきだと思います。可能なら、今すぐにでも大規模サービスに対して点検を実施するべきでしょう。
基準の設定や点検に加えて、国が1〜3年かけて整えるべき仕組みは何だと思いますか。
政府として、ある程度の大規模サービスに対して、セキュリティ対策の基準を設けるべきだと思います。
国、特に政府の対策について、現状でいちばん足りていないと感じることは何ですか。
ユーザー側に使わないという選択が難しい大規模サービスでありながら、何の規制もなく、10年前にメンテナンスの止まったOSSを使っているようなサービスが存在していることです。政府との癒着さえ感じさせます。
現場の知見を政策に活かすため、今後チームみらいから追加のインタビューをお願いする場合があります。その場合、ご連絡を差し上げてもよろしいでしょうか？
もちろん、お断りいただいてもまったく問題ございません。今回いただいたご回答は、大変貴重なものとして参考にさせていただきます。