今年3月、多くのiPhoneユーザーが通知も手動承認もなく、デバイスのシステムアップデートが密かに完了していることに気づきました。一部からは「計画的陳腐化」ではないかとの憶測も飛び交いましたが、その真相はドラマチックなものではありませんでした。これはAppleが初めて導入した「バックグラウンドセキュリティ改善」メカニズムであり、WebKitブラウザエンジンに存在する深刻な脆弱性を静かに修正し、悪意のあるウェブサイトからの攻撃を防ぐことを目的としていました。
従来のセキュリティアップデートプロセスは、脆弱性の発見からパッチの開発、バージョンリリース、ユーザーによるダウンロード・インストールまで、数週間を要するのが一般的でした。しかし、AI技術が脆弱性の悪用を加速させる現代では、攻撃者と防御者の時間差は劇的に縮まっています。このような状況下で、Appleはどのようにしてデバイスの安全性を確保しようとしているのでしょうか。
AIが変えるセキュリティの常識
過去には、2023年のiOS 16で試みられた「高速セキュリティ対応」が、誤ったコードの配信により一部ウェブサイトの表示異常を引き起こし、最終的に撤回されるという出来事もありました。しかし、今回の「バックグラウンドセキュリティ改善」は、SafariやWebKitのような高リスクなコンポーネントを独立した暗号化ディスクイメージにパッケージ化することで、通常のOTA（Over-The-Air）プロセスを迂回し、リアルタイムでのパッチ配信とサイレントインストールを実現しています。
Appleのセキュリティ防御に対する危機感は、最近の一連の動きからも明らかです。今月、同社はAI大手のAnthropicが立ち上げた「Glasswingプロジェクト」に参加し、その最強モデルである「Mythos」の優先使用権を獲得しました。Mythosはセキュリティ専用に訓練されたモデルではありませんが、その強力なコード生成能力により、テスト中にサンドボックスのルール違反を発見して突破したり、OpenBSDのTCPプロトコルに27年間存在した整数オーバーフローの脆弱性や、FFmpegのH.264デコーダーに16年間未発見だった欠陥を、わずか50ドル未満の計算コストで発見するなど、驚異的な能力を発揮しています。
「万能型」AIモデルの登場
Mythosの攻撃・防御能力は、コードとセキュリティ研究の両面におけるその卓越した知識に由来します。従来のセキュリティチームでは、システムアーキテクチャに詳しいが特定のプログラミング言語に不慣れな専門家と、その逆の専門家が存在するのが一般的でした。しかし、MythosはiOSカーネルエンジニアのようにコードを書き、セキュリティ研究者のように脆弱性を掘り起こすことができる「万能型」の特性を持っています。この能力こそが、AppleがMythosをセキュリティ防御システムの中核に組み入れた主要な理由です。
現在、Mythosはすでに数千もの主要なオペレーティングシステムやブラウザで高リスクの脆弱性を発見しており、その99%はまだ修正されていません。これらはルーターの低レベルシステムからショートビデオアプリの基盤フレームワークまで、広範な領域にわたっています。
セキュリティ業界の転換点
これまでのセキュリティ業界のサイクルは、攻撃者が脆弱性を発見してから悪用コードを構築するまでに数週間から数ヶ月かかり、防御側には比較的十分な修正期間がありました。しかし、MythosはLinuxシステムでの権限昇格攻撃において、偵察、分析、コード構築の全プロセスをわずか半日で完了させ、計算コストはわずか2000ドルでした。これを人間のチームが行う場合、少なくとも1ヶ月分の人件費が必要です。この効率の差が、Appleに「バックグラウンドセキュリティ改善」を通じてパッチ配信期間を短縮するだけでなく、AIモデルの活用によって脆弱性の発見とパッチ生成を加速させることを迫っています。
Anthropicは「Glasswingプロジェクト」に対し、1億ドルのAPIクレジット補助金を提供し、オープンソースのセキュリティ組織を400万ドルで支援しています。Appleは中核メンバーとして、Mythosを利用してiOS、macOS、Safariのコード脆弱性をスキャンし、デバイスの安全性を一層高めていくことでしょう。
まとめ
Appleの「バックグラウンドセキュリティ改善」とAIモデル「Mythos」の活用は、サイバーセキュリティの新たな時代を告げています。通知なしのサイレントアップデートは、ユーザーにとっては見えにくい変化かもしれませんが、その裏側ではAIの力が従来のセキュリティ対策の常識を覆し、より迅速かつ効果的な防御を可能にしています。日本を含む世界中のユーザーが日々利用するデバイスの安全は、こうした見えない技術革新によって守られているのです。AIがもたらす攻撃の高度化に対応するため、防御側もAIを積極的に取り入れることで、私たちはより安全なデジタル社会の実現に一歩近づいていると言えるでしょう。
元記事: pcd
Photo by Jakub Zerdzicki on Pexels
