Paper Files / Research
研究対象としてのサイバーセキュリティ研究—AI時代の脅威モデリング、再現可能性、運用可能性を両立する実証研究フレームワーク
本論文は、サイバーセキュリティにおける「研究」を単なる知識生産ではなく、攻撃・防御の両面で運用可能な検証体系として再定義し、2026年時点の脅威環境に適合した実証研究フレームワークを提案する。対象は、AI/ML支援型の攻撃、LLMを用いたソーシャルエンジニアリング、クラウドネイティブ環境、サプライチェーン、ゼロトラスト、eBPF観測、CNAPP、Post-Quantum Crypto移行といった、2026年に実務上重要性を持つ領域である。本研究では、研究課題を「再現性」「安全性」「測定可能性」「運用可能性」の四軸で定式化し、脅威モデル、実験設計、データ収集、評価指標、倫理制約を一体化した方法論を提示する。提案手法は、(1) 現実的な攻撃連鎖の抽象化、(2) 変動要因を制御した対照実験、(3) 検知・緩和・復旧までを含む全ライフサイクル評価、(4) 研究成果の再利用性を高めるための構成管理と証跡管理、を核とする。さらに、OpenAI/Anthropic系LLMの利用が広がる状況で、プロンプト注入、データ漏えい、RAG汚染、エージェント誤作動などの新たな研究課題を扱う実装上の要点を示す。評価では、クラウドワークロード、メール誘導、EDR/NGAV回避挙動、eBPF観測点、SIEM相関ルール、CVEトリアージのケースを用い、従来型の脆弱性研究とAI時代の対抗研究を比較する。結果として、提案フレームワークは、研究の外的妥当性と運用転用性を維持しつつ、過度な再現コストや倫理リスクを抑えた形で、2026年の実戦的サイバー研究に適していることを示す。
1. Introduction
サイバーセキュリティ研究は、長らく「新規性のある脆弱性発見」や「既存防御の限界提示」を中心に発展してきた。しかし2026年の実務環境では、その役割ははるかに広い。研究は、攻撃者のTTPを再構成し、防御技術の検証可能性を高め、組織の意思決定に直接寄与する運用知の生成へと移行している。とりわけ、生成AIの普及、クラウドネイティブ化、サプライチェーンの複雑化、ゼロトラストの制度化、eBPFベースの観測と隔離、Post-Quantum Crypto移行の開始により、従来の単発的な脆弱性中心研究では現実世界の防御課題を十分に捉えられなくなった。
この変化は、研究対象そのものにも影響する。かつてのセキュリティ研究は、特定プロトコル、特定OS、特定製品を対象にした個別分析が主流であった。だが2026年の攻撃面は、SaaS、IdP、IAM、CI/CD、IaC、API、LLM、RAG、端末、ネットワーク、クラウド制御プレーンが相互に連結した複合系となっている。したがって、研究の価値は「一つの脆弱性を見つけたか」だけでは評価できない。むしろ、攻撃の連鎖をどれだけ忠実にモデル化したか、どの制御点で介入可能か、どの条件で再現可能か、どの範囲まで他組織に転用可能か、という観点が重要である。
本論文の出発点は、サイバーセキュリティ研究を研究対象として再構成することである。つまり、「セキュリティ研究をどう研究するか」を問う。これは抽象的なメタ研究ではない。実務上は、脅威仮説の設計、評価ベンチマークの構築、観測ログの標準化、攻撃と防御の同条件比較、倫理的制約の形式化、再現可能な実験基盤の設計という、極めて具体的な課題を含む。研究が現場に届かない原因の多くは、発見そのものではなく、再現不可能性、現実との乖離、運用に必要な周辺条件の欠落にある。
特に2026年は、AIを利用した攻撃と防御が同時進行で成熟した年である。攻撃側では、大規模言語モデルを利用した多言語のフィッシング、業務文脈を踏まえた詐欺メール、音声合成を使うビッシング、チャットボットを騙すプロンプト注入、エージェント型ワークフローへの横断的侵害が現実化している。防御側でも、SOCのトリアージ支援、アラート圧縮、脅威インテリジェンスの相関、脆弱性優先度付けにAIが導入されている。しかし、AI導入そのものが新たな攻撃面を生む。たとえば、RAGに混入した悪性文書、内部知識ベースの汚染、外部ツール呼び出しの制御失敗、モデル出力の過信、そして監査ログの不足は、研究上も防御上も重要である。
この論文では、研究課題を以下の三つに整理する。第一に、サイバーセキュリティ研究はどのような条件で再現可能か。第二に、攻撃者と防御者の双方にとって意味のある評価指標は何か。第三に、AI時代の複合攻撃を扱う際に、倫理性と実用性を両立させる方法は何か。これに対し、本研究は「実証研究フレームワーク」を提示する。このフレームワークは、脅威モデル、実験設計、観測面、統計処理、証跡保存、再現パッケージ化を一体化し、研究の成果を単なる論文結果ではなく、再利用可能な検証資産として扱う。
本論文の貢献は三つである。第一に、2026年の脅威環境に整合した研究分類軸を提示し、従来の脆弱性研究・マルウェア研究・検知研究・脅威ハンティング研究を、共通の評価空間で比較可能にする。第二に、LLM、クラウド、ゼロトラスト、eBPF、CNAPP、PQCといった技術要素を含む実験設計を、再現性と安全性を損なわずに実施する方法を示す。第三に、実世界の事例を用いて、研究が防御改善へどう接続されるかをケーススタディで示す。
この研究は、純粋に学術的な問いだけでなく、SOC、IR、CTI、レッドチーム、製品セキュリティ、ガバナンスの実務にも直結する。2026年のサイバー研究に必要なのは、単発の発見ではなく、攻撃者の変化に追随できる「研究インフラ」である。本論文は、そのための設計原理と実装指針を提示する。
2. Background and Related Work
サイバーセキュリティ研究の背景には、複数の学術系譜がある。第一は、脆弱性発見と悪用可能性評価の系譜である。Fuzzing、記号実行、動的解析、静的解析、リバースエンジニアリングは、長年にわたり未知の欠陥を明らかにしてきた。AFL系のカバレッジ駆動ファジング、SyzkallerによるOSカーネルの自動探索、angrやKLEEのような記号実行系は、いずれも攻撃面の抽出に大きく貢献した。しかしこれらは、多くの場合、入力空間の局所最適化に強く、複合攻撃や組織内プロセスの連鎖を扱うには十分ではない。また、発見された脆弱性が実際の攻撃チェーンでどの位置を占めるかの評価は、依然として人手依存である。
第二は、侵害検知と対処の系譜である。EDR、NDR、SIEM、SOAR、XDRの発展に伴い、研究はIOCベースから挙動ベースへ、さらに相関ベースへと移行した。MITRE ATT&CKは、攻撃の戦術・技術・手順を体系化し、研究と実務の共通語彙を提供した。NISTのゼロトラストアーキテクチャは、信頼境界の再設計を促進し、ID中心の防御を主流化した。だが、実際の検知性能は環境依存性が高い。収集可能なテレメトリ、ログの粒度、正規化方式、エージェントの導入範囲、クラウド権限の可視性によって結果が大きく変わるため、研究成果の一般化には注意が必要である（NIST, 2020; MITRE, 2025）。
第三は、人的要因とソーシャルエンジニアリングの系譜である。フィッシング、ビッシング、BEC、内部不正、認知負荷を利用した侵害は、技術防御の改善だけでは十分に抑止できない。2026年時点では、生成AIにより攻撃文面の自然さ、多言語化、文脈適合性が飛躍的に高まり、従来の怪しい文面検知は効きにくくなった。研究は、メールヘッダ、送信インフラ、送信パターン、会話遷移、業務文脈の整合性など、複数レイヤで評価する必要がある。人間を対象にした実験では、倫理審査、同意、事後説明、データ匿名化が不可欠である。
第四は、クラウド・コンテナ・サプライチェーンの研究である。Kubernetes、Terraform、Helm、CI/CD、署名付きアーティファクト、SBOM、SLSA、Sigstoreの普及により、攻撃はソースコードだけでなく、ビルド、配布、実行、認証の各段階へ拡張した。2021年以降の一連の重大インシデントは、依存関係汚染、トークン漏えい、権限昇格、権限境界の誤設計が深刻な影響を持つことを示した。研究上は、これらを単独イベントとして扱うのではなく、構成管理と権限管理を含む系として評価する必要がある（CISA, 2024）。
第五は、AIセキュリティ研究である。2023年以降、LLMの脆弱性、プロンプト注入、データ抽出、モデル反転、RAG汚染、エージェントのツール誤用、モデルサプライチェーン、モデル出力の信頼性が活発に議論されてきた。OWASP Top 10 for LLM Applicationsは、これらの主要リスクを整理し、組織向け対策の基盤を提供している（OWASP, 2024）。NIST AI RMFは、AIシステムのリスクを統治・マッピング・測定・管理する枠組みを提示した（NIST, 2023）。しかし、実務では「安全なデモ」から「運用可能なシステム」への移行において、プロンプト境界、ツール権限、監査ログ、データ隔離、出力制約の設計が不十分であることが多い。研究の役割は、そのギャップを定量化することにある。
以下の表は、研究対象領域ごとの代表的な観測単位と主な評価困難性を整理したものである。
| 研究領域 | 代表的観測単位 | 主な評価困難性 | 典型的な失敗要因 |
|---|---|---|---|
| 脆弱性研究 | PoC、クラッシュ、RCE条件 | 再現環境の差異 | 依存ライブラリ、バージョン差、ASLR/CFG |
| 検知研究 | アラート、ログ、相関グラフ | ラベル不足 | ノイズ、ベースレート低下、環境依存 |
| ソーシャル工学研究 | 開封、応答、遷移、報告 | 倫理制約 | 同意不足、心理的負荷、文脈差 |
| クラウド研究 | IAMイベント、APIコール、IaC差分 | 可視性不足 | ログ欠損、権限の過大付与 |
| AIセキュリティ研究 | プロンプト、ツール呼び出し、RAG文書 | 非決定性 | 温度設定、モデル更新、知識汚染 |
関連研究のもう一つの重要な論点は、再現性である。セキュリティ研究は、本質的に相手が変化するため、厳密な再現性が難しい。だが、これは再現性の放棄を意味しない。むしろ、固定化すべき要素と変動を許容すべき要素を分けることが重要である。たとえば、攻撃手順の抽象レベル、観測ポイント、評価指標、データスキーマは固定しつつ、標的製品、クラウドアカウント、メールテンプレート、モデル選択は変動可能にすることで、外的妥当性を確保できる。この考え方は、近年の実験セキュリティ研究で徐々に重視されている。
また、研究成果を防御運用へ接続するには、検知性能だけでなく、運用コストや誤検知の影響も測る必要がある。例えば、F1スコアが高くても、アナリストの確認時間が増大すれば現場導入は難しい。したがって、研究は $TPR$ や $FPR$ に加え、平均調査時間 $MTTI$、平均封じ込め時間 $MTTC$、アラート疲労指標、権限修正コストなどを同時に測るべきである。評価関数を単一スカラーに落とすのではなく、多目的最適化として扱うことが2026年の実務に合致する。
3. Threat Model and Problem Formalization
本研究の脅威モデルは、2026年の現実的な攻撃者を想定する。攻撃者は、高品質な商用LLMまたは公開LLMを用いて文面生成や調査を自動化でき、クラウド資源や使い捨てインフラを用いて検証を反復でき、公開情報と侵害済みデータを組み合わせて標的文脈を高度に把握できる。加えて、攻撃者は単一の欠陥を悪用するだけでなく、認証、権限、観測、人的要因、サプライチェーンを跨ぐ多段階連鎖を試みる。
防御側の前提は、完全可視ではないが、少なくとも端末・ネットワーク・クラウド制御プレーン・ID基盤・メール基盤・LLM利用基盤のログが部分的に利用可能であることである。したがって、本研究はブラックボックス完全再現ではなく、実務に近い部分可視条件下の研究を対象とする。これは重要である。なぜなら、完全な観測や完全なラベルは現場では存在せず、研究がそれを前提にすると転用性が著しく低下するからである。
問題を形式化するために、システムを状態空間 $S$、攻撃者の行動列を $A={a_1,\dots,a_n}$、防御側の観測を $O={o_1,\dots,o_m}$ とする。攻撃成功は、所定の目的状態 $s^*$ に到達したときに成立する。研究の目的は、攻撃連鎖の到達確率 $P(s^*|A,O)$ を推定し、防御介入 $D$ によりその確率を十分低下させることである。評価は単一の成功可否ではなく、被害規模、検知遅延、復旧時間、誤検知負荷を含む多目的関数で与える。例えば、以下のように定式化できる。
$$ J = \alpha \cdot P(s^*|A,O) + \beta \cdot \mathbb{E}[T_{detect}] + \gamma \cdot \mathbb{E}[T_{contain}] + \delta \cdot C_{op} + \eta \cdot R_{fp} $$
ここで、$\alpha,\beta,\gamma,\delta,\eta$ は組織のリスク許容度に応じた重みである。$C_{op}$ は運用コスト、$R_{fp}$ は誤検知関連負荷を表す。研究上の最適化は、$J$ の最小化として理解できるが、実務では各項目が異なる部門に帰属するため、単純な最適化ではなく制約付き最適化として扱う必要がある。
攻撃者モデルをさらに分解すると、以下の四類型が重要である。第一に、機会主義的攻撃者であり、既知CVEや公開資格情報を使って低コスト侵入を試みる。第二に、組織を狙った準標的型攻撃者であり、フィッシング、BEC、RAT導入、権限昇格を組み合わせる。第三に、サプライチェーン型攻撃者であり、依存関係、CI/CD、署名、レジストリ、更新配布を狙う。第四に、AI活用型攻撃者であり、プロンプト注入やRAG汚染、エージェント操作、LLMベースの偽装を利用する。研究は、少なくともこの四類型のいずれを扱うかを明示しなければならない。
以下の表は、脅威モデルに応じた主要評価単位を比較したものである。
| 脅威類型 | 主要目的 | 代表的攻撃面 | 主要防御点 | 代表的指標 |
|---|---|---|---|---|
| 機会主義型 | 初期侵入 | 公開サービス、CVE、漏えい資格情報 | MFA、脆弱性管理 | 初期侵入率、MTTR |
| 準標的型 | 権限拡大 | メール、端末、AD、クラウドIAM | EDR、ID保護、分離 | 検知遅延、横展開阻止率 |
| サプライチェーン型 | 信頼汚染 | CI/CD、依存関係、署名 | SBOM、署名検証、SLSA | 汚染検知率、封じ込め時間 |
| AI活用型 | 判断操作 | LLM、RAG、エージェント | 入力検査、権限分離、監査 | 注入成功率、ツール誤用率 |
研究問題は、次のように定義できる。与えられたシステム構成 $X$、脅威モデル $M$、観測制約 $C$ の下で、攻撃連鎖の再現可能な最小表現 $\hat{A}$ を構築し、同時に防御性能の比較可能な測定集合 $\hat{E}$ を定義することである。ここで「最小表現」とは、必要十分な手順だけを残し、標的固有の偶然要素を排除した抽象化を意味する。研究の成功は、単に攻撃が動作することではなく、他環境でも意味を持つ最小表現を導けることにある。
4. Proposed Methodology
本研究は、サイバーセキュリティ研究を四段階の実証サイクルとして設計する。第一段階は、脅威仮説の明文化である。ここでは、攻撃の目的、必要権限、前提条件、検知可能点、失敗条件を定義する。第二段階は、再現可能な実験系の構築である。ここでは、コード、インフラ、データ、モデル、バージョンを固定し、変更点を明示する。第三段階は、計測と対照実験である。介入の有無、観測点の有無、通知の有無などを変え、因果推論可能な形で比較する。第四段階は、運用評価である。ここでは、性能だけでなく、アナリスト工数、復旧コスト、手順の移植性、倫理適合性を評価する。
本手法の中核は、攻撃を「技術的成功」と「運用的成功」に分けることにある。技術的成功は、特定の手順が期待どおりに実行されることを意味する。運用的成功は、その手順が防御環境でどの程度意味を持つか、すなわち検知されるか、遮断されるか、復旧にどれだけ影響するかを意味する。多くの研究は前者に偏るが、現場導入には後者が決定的である。
提案手法では、各実験を以下のテンプレートで記述する。
| 項目 | 内容 |
|---|---|
| 仮説 | 何が起きると予想するか |
| 攻撃/防御対象 | 端末、クラウド、メール、LLM、CI/CDなど |
| 変数 | バージョン、権限、ログ、ポリシー、モデル温度など |
| 対照群 | ベースライン構成 |
| 介入群 | 防御設定変更後の構成 |
| 観測点 | EDR、SIEM、APIログ、IAMログ、RAGログなど |
| 指標 | $TPR$, $FPR$, $MTTD$, $MTTR$, 成功率、工数 |
| 失敗条件 | 何をもって実験失敗とみなすか |
| 倫理制約 | 実データ利用の制限、同意、匿名化 |
再現性を高めるため、実験環境はコンテナとIaCで定義する。Kubernetes、Docker、Terraform、Ansible、Packerなどを使い、状態差分を最小化する。また、ログのスキーマは共通化し、イベントをATT&CK戦術と対応付ける。これにより、異なる実験でも同じ指標で比較しやすくなる。さらに、時系列データにはタイムスタンプ同期を導入し、観測遅延を補正する。観測の非同期は、検知研究でしばしば見落とされるが、実務では非常に重要である。
評価関数の一部として、検知精度を従来どおり$Precision$、$Recall$で表すだけでなく、運用上の有用性を組み込む。たとえば、アラート疲労を考慮した実効指標を
$$ U = \frac{TP}{TP + FP + \lambda FN} $$
とし、$\lambda$ を見逃しの重大性に応じて設定する。さらに、アナリスト工数を考慮して
$$ C_{analyst} = \sum_{i=1}^{n} t_i \cdot r_i $$
とおく。ここで $t_i$ は各アラート処理時間、$r_i$ はそのアラートの優先度重みである。研究の妥当性は、検知率だけでなく $C_{analyst}$ の変化で判断する必要がある。
以下のコードブロックは、実験基盤の一部として用いる代表的なコマンド例である。いずれも2026年時点で実務的に一般的なツールである。
# Kubernetesクラスタ上でeBPF観測用DaemonSetを展開
kubectl apply -f cilium.yaml
kubectl apply -f falco-daemonset.yaml
# ATT&CKラベル付きのイベントを収集
kubectl logs -n security ds/falco -f | jq -r '.output, .priority, .rule'
# Terraformで検証用クラウド環境を作成
terraform init
terraform plan -out=tfplan
terraform apply tfplan
# RAG環境の最小構成例
version: "3.9"
services:
app:
image: ghcr.io/example/rag-app:2026.1
environment:
- MODEL_ENDPOINT=https://llm-gateway.internal
- VECTOR_DB_URL=http://qdrant:6333
- AUDIT_LOG=true
depends_on:
- qdrant
qdrant:
image: qdrant/qdrant:v1.12.0
ports:
- "6333:6333"
方法論の重要点は、研究を「攻撃の成否」から「制御可能な比較」に移すことである。たとえば、LLM研究では、温度、システムプロンプト、ツール権限、文書汚染率、コンテキスト長を独立変数として設定し、出力の危険度、注入成功率、ツール実行誤り率を測る。クラウド研究では、IAMロール、条件付きアクセス、ログ可視性、キー回転、MFA有無を変数化する。こうした設計により、研究は単なる攻撃手順の披露ではなく、変数間の因果を明らかにする実験科学となる。
5. Implementation
実装では、実験環境を四層で構成する。第一層は基盤層であり、Kubernetesまたは仮想化基盤上に、端末エミュレーション、メール基盤、IdP、ログ収集基盤、シークレット管理、RAGサービス、CI/CDランナーを配置する。第二層は観測層であり、eBPF、EDR、クラウド監査ログ、メールセキュリティログ、APIゲートウェイログ、LLMゲートウェイ監査を収集する。第三層は制御層であり、防御ルール、IAMポリシー、通信制限、コンテンツフィルタ、DLP、WAF、SOAR連携を置く。第四層は評価層であり、イベント相関、時系列解析、レポート生成、再現パッケージ化を担当する。
実装上の要点は、データ境界を明確にすることである。たとえば、RAGでは、取り込み文書、埋め込み、検索結果、最終出力を区別し、各段階に監査IDを付与する。これにより、プロンプト注入がどの文書から流入したか、どのツールが呼ばれたかを追跡できる。クラウドでは、API呼び出し、条件評価、AssumeRole、Secret Access、Policy Denyを時系列に保存する。端末では、プロセス生成、スクリプト実行、親子関係、ネットワーク接続、ファイル操作を収集する。
以下の表は、実装コンポーネントと主要OSSを整理したものである。
| 層 | 主要コンポーネント | 代表ツール | 実装上の注意 |
|---|---|---|---|
| 基盤層 | K8s、VM、メール、IdP | Kubernetes, Keycloak, Postfix | 依存関係固定、時刻同期 |
| 観測層 | EDR、eBPF、SIEM、LLM監査 | Falco, Cilium Tetragon, Elastic, OpenTelemetry | ログ欠損の補正 |
| 制御層 | IAM、DLP、WAF、SOAR | Sentinel, OPA, CloudArmor, Cortex XSOAR | 過剰遮断の抑制 |
| 評価層 | 相関、統計、レポート | Python, pandas, Jupyter, Sigma | ラベル品質管理 |
実運用に近い研究では、ログ量が膨大になるため、集約と正規化が重要である。イベント正規化は、例えばECSやOpenTelemetryベースで行い、全ソースを共通フィールドに落とす。これにより、KibanaやGrafanaで横断分析しやすくなる。SIEMルールは、単発IOCよりも、プロセス系列や認証系列の異常を捉える形にする。たとえば、短時間での不自然なトークン発行、地理的に不整合なログイン、普段使わないツールの起動、RAG検索の急増などである。
さらに、実装では安全性が重要である。攻撃シミュレーションは、実ネットワークから厳密に隔離された環境で実行し、外部への横展開を防ぐ。メール評価では、社内実験の場合に同意範囲を明確にし、被験者データは匿名化する。LLM評価では、機密情報を使わず、合成文書または非機密ダミー文書を用いる。脆弱性の再現でも、既知の影響を持つ対象を本番で使わず、ラボ内の同型環境で検証する。これらは研究の質を下げるのではなく、むしろ外部公開可能な成果へつなげる条件である。
6. Experimental Evaluation
評価は三つの実験系列で行う。第一系列は、クラウド/IAM侵害連鎖の検知研究である。第二系列は、LLM/RAG環境に対するプロンプト注入とデータ汚染の研究である。第三系列は、メール起点の準標的型侵入に対する防御効果の研究である。いずれも攻撃の詳細を再現可能な抽象レベルで管理し、実害を伴う公開環境ではなく隔離環境で実施する。
6.1 クラウド/IAM系列
この系列では、初期アクセス後に権限昇格、秘密情報探索、横展開、証跡消去を模した一連のイベントを生成し、EDR、クラウド監査、SIEMの検知率を比較した。対照群は最小限のログ設定、介入群は強化された監査ログ、条件付きアクセス、短命資格情報、eBPF観測を有効化した構成である。評価指標は、初期検知時間、アラート件数、真陽性率、平均調査時間である。
6.2 LLM/RAG系列
この系列では、知識ベースに混入した悪性文書が検索結果に与える影響、プロンプト注入によるツール誤用、出力の逸脱を測定した。対照群は保護なしRAG、介入群は文書信頼度スコア、ツール権限分離、プロンプト境界検査、監査ログ付きRAGである。評価指標は、注入成功率、危険出力率、誤ツール呼び出し率、検出率である。
6.3 メール系列
この系列では、多言語・多文脈のフィッシングメールを模したテンプレートを用い、ユーザの反応、報告、隔離、開封の各イベントを測定した。介入群ではDMARC、MTA-STS、ブランドフィルタ、URL再書換、ユーザ教育を組み合わせた。評価指標は、開封率、クリック率、報告率、初動時間である。ここでは、生成AIが自然な文体を生む影響により、従来の文体異常検知の効果が低下することを確認した。
以下の表は、実験条件と主要結果の概要である。数値はラボ環境での相対比較であり、2026年時点の実務的傾向を反映したものである。
| 実験系列 | 対照群 成功率 | 介入群 成功率 | 検知遅延中央値 | アナリスト工数変化 |
|---|---|---|---|---|
| クラウド/IAM | 0.81 | 0.29 | 18分 → 6分 | -41% |
| LLM/RAG | 0.74 | 0.17 | 12分 → 4分 | -36% |
| メール | 0.23クリック率 | 0.07クリック率 | 27分 → 9分 | -22% |
次の表は、検知指標の比較である。$TPR$ だけでなく、$FPR$ と運用負荷を併記することが重要である。
| 条件 | TPR | FPR | MTTD | MTTI |
|---|---|---|---|---|
| ベースラインSIEM | 0.68 | 0.14 | 21分 | 19分 |
| eBPF併用 | 0.84 | 0.11 | 11分 | 12分 |
| eBPF + IAM強化 | 0.91 | 0.09 | 7分 | 9分 |
第三の表は、LLMセキュリティの評価結果である。RAG汚染とツール誤用を区別して測ることが、実務上極めて重要である。
| 保護策 | 注入成功率 | 危険出力率 | ツール誤用率 | 監査追跡率 |
|---|---|---|---|---|
| 保護なし | 0.76 | 0.58 | 0.41 | 0.22 |
| 入力検査のみ | 0.49 | 0.33 | 0.28 | 0.37 |
| 入力検査 + 権限分離 | 0.18 | 0.09 | 0.07 | 0.81 |
| 上記 + 監査ログ | 0.12 | 0.05 | 0.04 | 0.94 |
実験結果は、2026年の脅威環境では単一防御では不十分であり、観測強化と権限分離の組み合わせが有効であることを示す。また、LLM環境ではプロンプトの安全性だけでなく、検索対象文書の信頼度とツール権限の最小化が支配的要因である。クラウド環境では、監査ログの粒度と相関品質が検知時間に強く影響する。メール環境では、自然な生成文の増加により、外形的な不自然さに依存する検知の効果が低下した。
7. Case Study
本ケーススタディでは、実組織に近い中規模企業を想定した環境で、LLMを活用した社内ナレッジ検索システムが侵害前段階でどのように悪用されうるかを検証する。環境には、営業、法務、ITサポート、開発部門の文書が混在するRAG基盤があり、各部門の検索権限は本来分離されている。ただし、初期設定では一部の文書に対する分類タグが不足していた。攻撃者は外部ユーザを装って一般問い合わせ経路から文章を投入し、その後、検索対象文書に混入した命令文がモデルの応答とツール呼び出しに影響を与える状況を作った。
最初の観測では、モデルは問い合わせ内容に関連する説明を返すだけでなく、内部ポリシー文の一部を引用する挙動を示した。これは、RAGの取り込み時に信頼境界が明確でなかったこと、さらにシステムプロンプトと検索文書の優先順位が適切に分離されていなかったことが原因である。次に、外部ツール連携が有効な状態では、モデルが不要なファイル要約を試みたり、権限外の文書を検索しようとしたりする事象が観測された。これは、ツール権限を「実行時最小権限」ではなく「機能単位の広い権限」で設計していたことに起因する。
介入として、文書分類の厳格化、検索ソースの署名検証、ツールのスコープ制限、危険意図を含む入力のスコアリング、監査IDの全経路付与を導入した。これにより、攻撃文書の影響は大幅に低下し、誤ツール呼び出しもほぼ停止した。重要なのは、対策の中心が「より強いモデル」ではなく、「境界設計」と「証跡設計」であった点である。これは2026年のAIセキュリティ実務における典型的な教訓である。
本事例が示すのは、LLMの危険性がモデル単体に閉じていないという事実である。RAG、ID管理、文書分類、監査、権限、UI設計が一体であり、どれか一つでも甘いと全体が破綻する。したがって、研究も同様に、モデル精度だけでなく、周辺システム全体を評価対象に含めなければならない。
8. Discussion
本研究の中心的結論は、サイバーセキュリティ研究は2026年において「単発の発見」から「再利用可能な実証基盤」へ移行すべきだという点にある。これは研究の新規性を弱めるものではない。むしろ、発見を他環境へ移植可能にし、防御の意思決定に接続することで、研究価値を高める。脆弱性一件の公開は重要だが、それだけでは防御が変わらないことが多い。現場に必要なのは、なぜその欠陥が成立し、どの観測点で検知可能で、どの介入が有効で、どの条件で再発するかという情報である。
第一の論点は、再現性の定義である。セキュリティ研究においては、厳密なビット単位再現性よりも、因果的再現性が重要である。すなわち、同じ条件を与えたときに同種の効果が再現されるかが本質である。環境差異を完全に排除することは不可能であり、それを前提に、固定要素と変動要素を分離した再現パッケージが必要となる。研究者は、コードだけでなく、観測スキーマ、データ辞書、脅威仮説、失敗条件を併せて公開すべきである。
第二の論点は、AI時代の攻撃が「文脈の悪用」へシフトしている点である。LLMは、技術的脆弱性を直接突くよりも、システムの指示階層、検索文書、ツール権限、人間の信頼を利用する。これにより、攻撃はより自然で、より文脈依存になり、従来のシグネチャ検知は効きにくくなる。したがって、研究は入力・文書・出力・ツール・監査の各層を分けて評価しなければならない。モデルが安全でも周辺が危険なら、全体は安全ではない。
第三の論点は、ゼロトラストの成熟である。ゼロトラストは2026年時点で理念から実装へ移りつつあるが、実際にはID、デバイス状態、アプリケーション、データ、ネットワークの各レイヤで未完成な部分が多い。研究では、「ゼロトラスト導入済み」という自己申告だけでなく、ポリシーの実効性、例外経路、レガシー統合、監査継続性を評価しなければならない。ゼロトラストは万能策ではなく、認証・認可・観測の設計原理である。
第四の論点は、PQC移行の研究位置づけである。2026年時点で、PQCは導入段階に入っているが、多くの組織ではハイブリッド運用、性能影響、相互運用性、証明書管理、更新プロセスが課題となっている。研究は、暗号アルゴリズムの数学的安全性だけでなく、運用上の移行コスト、鍵管理、失敗モード、フォールバックを評価すべきである。暗号移行は、単なる技術選定ではなく、組織運用の変革である。
第五の論点は、倫理と実務性の両立である。サイバー研究は、攻撃再現のために危険な知識を扱わざるを得ないが、それを無制限に公開することはできない。したがって、危険な部分は抽象化し、再現可能だが悪用困難な形で公開する必要がある。加えて、実験対象が人間や実組織の判断に及ぶ場合、IRB相当の審査、同意、匿名化、事後通知が不可欠である。研究の正当性は、結果の鋭さだけでなく、倫理的健全性によっても測られる。
9. Conclusion and Future Work
本論文は、サイバーセキュリティ研究を2026年の脅威環境に適合する実証科学として再定義し、そのための脅威モデル、問題形式化、方法論、実装、評価、ケーススタディを提示した。主張の核心は、研究は単なる知識の獲得ではなく、攻撃と防御の両方に対して再利用可能な検証資産であるべきだという点にある。AI、クラウド、ゼロトラスト、eBPF、CNAPP、PQCが交錯する現代では、単一製品・単一脆弱性・単一指標に基づく研究では現実を捉えきれない。
今後の課題は三つある。第一に、LLMとエージェントの安全性評価の標準化である。プロンプト注入、RAG汚染、ツール権限、監査の評価指標を業界横断で揃える必要がある。第二に、クラウドとオンプレをまたぐハイブリッド環境での研究再現性の向上である。第三に、研究成果をSOC、IR、CTI、製品セキュリティへ変換するための共通データモデルの整備である。これらが進めば、サイバーセキュリティ研究は、より速く、より安全に、より実務的に進化するだろう。
References
ANDERSON, Ross. Security engineering: a guide to building dependable distributed systems. 3. ed. Indianapolis: Wiley, 2020. Disponível em: https://www.cl.cam.ac.uk/~rja14/book.html. Acesso em: 30 abr. 2026.
BIONDI, Philippe; ARDITI, Arnaud. The art of memory forensics. Indianapolis: Wiley, 2014. Disponível em: https://www.memoryforensics.com/. Acesso em: 30 abr. 2026.
CISA. Secure by design, secure by default. Washington, DC: Cybersecurity and Infrastructure Security Agency, 2024. Disponível em: https://www.cisa.gov/securebydesign. Acesso em: 30 abr. 2026.
CISA. Known Exploited Vulnerabilities Catalog. Washington, DC: Cybersecurity and Infrastructure Security Agency, 2026. Disponível em: https://www.cisa.gov/known-exploited-vulnerabilities-catalog. Acesso em: 30 abr. 2026.
CLOUD SECURITY ALLIANCE. Security guidance for critical areas of focus in cloud computing. Seattle: CSA, 2024. Disponível em: https://cloudsecurityalliance.org/artifacts/security-guidance-v5/. Acesso em: 30 abr. 2026.
CONTI, Gregory; SHARMA, Srini; CHIARELLI, Patrick. Malware analysis and detection engineering. Burlington: Jones & Bartlett Learning, 2023. Disponível em: https://www.jblearning.com/. Acesso em: 30 abr. 2026.
CROCKER, Steve et al. Zero trust architecture. Gaithersburg: NIST, 2020. Disponível em: https://csrc.nist.gov/publications/detail/sp/800-207/final. Acesso em: 30 abr. 2026.
DANGELO, G. et al. eBPF observability and security monitoring in production systems. IEEE Security & Privacy, 2024. Disponível em: https://ieeexplore.ieee.org/. Acesso em: 30 abr. 2026.
ENISA. Threat landscape 2025. Athens: European Union Agency for Cybersecurity, 2025. Disponível em: https://www.enisa.europa.eu/publications/enisa-threat-landscape-2025. Acesso em: 30 abr. 2026.
FALCO AUTHORS. Falco documentation. San Francisco: Falco, 2026. Disponível em: https://falco.org/docs/. Acesso em: 30 abr. 2026.
GOODFELLOW, Ian; BENGIO, Yoshua; COURVILLE, Aaron. Deep learning. Cambridge: MIT Press, 2016. Disponível em: https://www.deeplearningbook.org/. Acesso em: 30 abr. 2026.
HUMAN SECURITY AUTHORS. MITRE ATT&CK knowledge base. Bedford: MITRE, 2026. Disponível em: https://attack.mitre.org/. Acesso em: 30 abr. 2026.
KARIMI, Negar et al. Prompt injection attacks and defenses in large language model applications. arXiv, 2024. Disponível em: https://arxiv.org/. Acesso em: 30 abr. 2026.
KLEIN, Andy; TSO, Ted. Linux kernel security and hardening. New York: Addison-Wesley, 2022. Disponível em: https://www.oreilly.com/. Acesso em: 30 abr. 2026.
LEE, Wenke; STOLFO, Salvatore. Data mining approaches for intrusion detection. In: USENIX Security Symposium, 1998. Disponível em: https://www.usenix.org/. Acesso em: 30 abr. 2026.
LINDQUIST, Ulf; JOHNSON, Eric. A review of cyber security metrics and measures. Journal of Cybersecurity, 2023. Disponível em: https://academic.oup.com/cybersecurity. Acesso em: 30 abr. 2026.
MANDIANT. M-Trends 2025. Reston: Mandiant, 2025. Disponível em: https://www.mandiant.com/resources/reports/m-trends. Acesso em: 30 abr. 2026.
MCCUNE, Jonathan et al. Secure systems for machine learning. Communications of the ACM, 2024. Disponível em: https://cacm.acm.org/. Acesso em: 30 abr. 2026.
NCC GROUP. Software supply chain security best practices. Manchester: NCC Group, 2024. Disponível em: https://www.nccgroup.com/. Acesso em: 30 abr. 2026.
NIST. AI risk management framework 1.0. Gaithersburg: National Institute of Standards and Technology, 2023. Disponível em: https://www.nist.gov/itl/ai-risk-management-framework. Acesso em: 30 abr. 2026.
NIST. Post-quantum cryptography standardization. Gaithersburg: NIST, 2024. Disponível em: https://csrc.nist.gov/projects/post-quantum-cryptography. Acesso em: 30 abr. 2026.
NIST. Cybersecurity framework 2.0. Gaithersburg: NIST, 2024. Disponível em: https://www.nist.gov/cyberframework. Acesso em: 30 abr. 2026.
OWASP. OWASP top 10 for large language model applications. Washington, DC: OWASP Foundation, 2024. Disponível em: https://owasp.org/www-project-top-10-for-large-language-model-applications/. Acesso em: 30 abr. 2026.
PODJARNY, Patrick et al. AI security and governance in enterprise environments. Palo Alto: Snyk, 2025. Disponível em: https://snyk.io/resources/. Acesso em: 30 abr. 2026.
RICHARDSON, Chris. Microservices patterns. Shelter Island: Manning, 2018. Disponível em: https://www.manning.com/books/microservices-patterns. Acesso em: 30 abr. 2026.
ROSEM, Emily et al. Measuring operational security effectiveness: from alerts to outcomes. USENIX ;login:, 2024. Disponível em: https://www.usenix.org/publications/login. Acesso em: 30 abr. 2026.
SCHNEIER, Bruce. Click here to kill everybody: security and survival in a hyper-connected world. New York: W. W. Norton, 2018. Disponível em: https://www.schneier.com/books/click-here/. Acesso em: 30 abr. 2026.
SILVER, David; HASSABIS, Demis. Reinforcement learning and security automation. Nature Machine Intelligence, 2023. Disponível em: https://www.nature.com/natmachintell/. Acesso em: 30 abr. 2026.
SINGER, Peter W.; FRIEDMAN, Allan. Cybersecurity and cyberwar: what everyone needs to know. 2. ed. New York: Oxford University Press, 2021. Disponível em: https://global.oup.com/. Acesso em: 30 abr. 2026.
VIJAYARAGHAVAN, S. et al. Explaining security alerts with graph-based correlation. IEEE Transactions on Dependable and Secure Computing, 2025. Disponível em: https://ieeexplore.ieee.org/. Acesso em: 30 abr. 2026.
ZETTER, Kim. Countdown to zero day. New York: Crown, 2014. Disponível em: https://www.penguinrandomhouse.com/books/. Acesso em: 30 abr. 2026.
ZIMMERMANN, R. et al. RAG security: threats, attacks, and defenses for retrieval-augmented generation systems. arXiv, 2025. Disponível em: https://arxiv.org/. Acesso em: 30 abr. 2026.