概要
AIによる脆弱性発見の自動化がセキュリティ監査をコモディティ化させ、業界はコードの予防から運用・侵害前提の動的検証へと根本的な転換を迫られている。
詳細内容
Anthropicの「Claude Mythos」のような高度なAIモデルが数千のゼロデイ脆弱性を自律的に発見する時代が到来し、従来の「人間がコードの脆弱性を探す」ビジネスモデル（監査、ペンテスト、バウンティ）は崩壊しつつあります。しかし、著者は「脆弱性がゼロになっても事故は続く」と指摘します。近年の巨額流出事故の多くは、コードの欠陥ではなく、運用プロセスや人間を標的にした攻撃が原因だからです。今後のセキュリティは、静的な「監査済み」ラベルという信頼に頼るのをやめ、継続的な暗号アテステーション、運用の独立性検証、そして侵害を前提とした「封じ込め（パッシブ・セーフティ）」の設計へとパラダイムシフトすべきだと提唱しています。既存の監査会社やプロトコル開発者にとって、ビジネスモデルの再定義を迫る極めて重要な論考です。