⚠️今すぐセキュリティ対策を実施してください⚠️ 危機感煽る投稿は好きではないのですが、本当に危険度が上がっているので、AIによるサイバー攻撃の実態と個人の防衛策について書きます。 過去には個人の株式を勝手に売買されたり、高額電子決済を勝手にされてる事例もあるので他人事にしてると本当に危ないです。 ■何が使われている？ ハッカー達に使われている主なAIモデルは 【無検閲化されたGLM-5.3】※画像参照 であるという見立てを立てる専門家が多いです。 GLM-5.3は中国のZhipu(Z. ai)が開発したモデルで、Claude Mythosに追随するサイバー性能を持っており、実際に使われていると思われるのはこのGLM-5.3をさらに改造したモデルです。 重みが公開されており、世界中だれでも無料でDL出来るAIモデルです。ローカルで稼働するので、24時間365日継続的にサイバー攻撃を仕掛け続ける事ができます。 GLM-5.3自体に悪意はなく、無検閲=悪ではないので詳細は後記します。 ■なぜ急に日本で漏洩事件が増えた？ あんまり言いたくないけど、 日系企業のセキュリティーは主要先進国の中でもかなり脆弱です。もちろん全ての企業ではないですが。 Xのセキュリティクラスタの方が再三注意喚起をされている通りですが…。 理由としては、 ・日本のSIerは多重下請け構造の場合が多く、「委託が重なり、責任分担や管理範囲が曖昧になると、対策漏れが生じる」という現象が起こりにくい ・親会社のセキュリティは強固でも、グループ会社などのデータ共有先やネットワーク接続先の対策が不十分なら、そこから漏えいや侵入が起こることがある。 ※大和証券の事例がそれ ・米国などの賠償国家に比べ、個人情報漏洩対する個人への賠償金支払いが少なく、企業のセキュリティ強化意識が他国に比べて低い傾向がある。※詳細リプ3 ・日本語は難しい言語なので、言語ファイヤーウォールとして長年機能してきた などなど枚挙にいとまがないです。 言語難易度、攻撃コスト、日系企業特有の脆弱性 これをAIに一気に突破されてるような印象です。 ■無検閲AIモデルに関する詳細 検閲化というのは、簡単にいうと、 AIが危険な依頼を断る仕組みを弱めたり、取り除いたりするコトです。 通常のAIには、有害な依頼を拒否するための安全対策があります。 ただ、重みが公開されているモデルは、利用者側でその仕組みを改変できます。 AnthropicがGLM-5.3を改変した実験では、 有害な依頼への拒否率が約95％→約6％に低下。※画像参照 一方で、サイバー課題を解く能力の大部分は残りました。 これは、能力を落とさずに「危険な依頼を断りにくくする」ことができた、という話です。 ただし、無検閲化自体が犯罪を意味するわけではありません。研究や創作、セキュリティの検証など、合法的な用途もあります。 問題は、悪意のある人間も同じ道具を使える点です。 公開されたモデルは世界中で保存・改変できます。 提供元がAPIを止めても、すでに手元で動いているコピーまで止められるわけではありません。 つまり、今後とも多数のサイバー攻撃がとめどなく降り注ぐネット世界にすでになっているのです。 ■今後、個人も狙われる？ 「自分は有名人でも、大企業の経営者でもないから関係ない」と思っている方もいると思います。 でも、狙われるのは企業の機密情報だけではありません。証券口座、銀行口座、暗号資産、メール、SNSのアカウントも対象です。 さらに厄介なのは、漏えいした情報を使った“もっともらしい連絡”です。いわゆる、フィッシング詐欺に引っかかった場合、壊滅的なダメージがあります。 ・自分の名前を知っている。 ・利用しているサービスを知っている。 ・過去の問い合わせ内容まで知っている。 ・しかも、日本語が自然。 フィッシングに引っかかって、通常秘匿されてる、セキュリティコードや秘密鍵等を抜かれると終わりです。 紐づきで全てのアカウント情報や資産をぶっこ抜かれる可能性があります。 ■個人が今やるべき対策 最低限、以下は確認してほしいです。 ①メール・金融口座・SNSの認証設定を見直す 対応しているならパスキーを利用。 未対応なら多要素認証を設定してください。 特にメールは、他のサービスのパスワード再設定にも使われるので優先して守りたいです。 ②パスワードを使い回さない 1つ漏れたことで、別のサービスまで入られる状態を避ける。管理ツールを使って、サービスごとに違うものにしてください。面倒でもやってください。マジで。 ③ログインは公式アプリか、登録済みのブックマーク メール、SMS、DMに届いたリンクから、そのままログインしない。 「緊急」「利用停止」と言われても、いったん自分で公式アプリを開いて確認してください。フィッシング詐欺はマジでかかったときダメージがデカいです。 ④OS・ブラウザ・アプリを更新する 更新通知を放置しない。 修正済みの弱点を残したまま使う状態を減らすためです。 ⑤認証コードや、ウォレットの秘密鍵・復元フレーズを他人に渡さない サポート担当を名乗る相手にも教えない。 「資産を守るために必要」と言われても、渡したことで資産を失う可能性があります。 ⑥ログイン・取引通知を有効にする 身に覚えのない操作があったら、届いた連絡に返信するのではなく、自分で公式窓口に連絡してください。 以上、大変長い文章になりましたが。 日本の国家、企業の対策は今のサイバー攻撃のスピード感に絶対に追いつかないので、個人対策を徹底して、ご自身の資産を守ってください。 他人が攻撃されてるのを見て冷笑してる場合じゃないです。 2段階認証を入れるだけでも圧倒的に強固になります。