AI保安連合Project Canopy、脆弱性インテリジェンスハブを稼働

解析対象と開示方針

攻撃者が高度なAI技術を使い、脆弱性の探索や侵入を急速に加速させている。Canopyはこうした状況を受け、AIを活用した攻撃的セキュリティ技術を取り入れ、行政ネットワークや国民向けサービスの土台となるオープンソースと生活インフラの死角を先回りして洗い出してきた。

研究チームは、韓国の公共サービスの基盤であるeGovFRAMEを皮切りに、Spring FRAMEwork/Boot、Docker、LiteLLM、Grafana、Istio、libdb、python.orgなど国内外の主要プロジェクトを分析した。多数の脆弱性候補を見つけて概念実証(PoC)を完了し、高リスク案件を含む内容を各メンテナーに順次報告している。一部の重要な対応は完了済みで、残りも「責任ある開示(CVD)」のガイドラインに沿い、公式パッチの配布に合わせて順次公開する予定だ。

需要に基づく参加型

Canopyは一方的な情報提供にとどまらず、パートナーが分析対象を提案できる「需要ベースの参加型構造」を採用した。ユーザー規模、死角の有無(パッチ対応力、事故履歴)、社会的必要性を総合評価して優先順位を決め、集中的に解析する。

今後は自治体や公共機関に加え、専任の予算や人材が乏しい医療・教育など生活密着型のインフラへ協力網を広げる方針だ。参加を希望する機関や企業は誰でも加われる。パク・セジュン委員長は、攻撃者がAIの速度で迫る環境では防御側も先手でAIを投入すべきだと述べた。