Akamai Technologiesは、フロンティアAIが生成する難読化攻撃がWebアプリケーションファイアウォール(WAF)をすり抜ける実験結果を公表した。従来の攻撃者は手作業でペイロードを少しずつ変形させ、WAFのシグネチャを回避していた。AIはこの試行錯誤を機械の速度でひたすら反復できる。人間なら数日かかる変形パターンの探索を、休みなく・疲れず・大量に回せる点が最大の脅威だとAkamaiの中西一博氏は指摘する。
数字が示す防御の限界 #
検証では、AIが生成した難読化SQLインジェクションがModSecurityの検知を89%の確率ですり抜けた。同様にクロスサイトスクリプティングも80%が通過し、AWS WAFでもSQLインジェクションの41%が検知を逃れている。攻撃側はもはや人間の試行錯誤ではなく、AIによる総当たりに近い最適化でルールの穴を探しているということだ。
89%
ModSecurity SQLi 回避率
80%
ModSecurity XSS 回避率
41%
AWS WAF SQLi 回避率
「バイブコーディング」がもう一つの穴を開ける #
さらに厄介なのは、生成AIによる高速開発、いわゆる「バイブコーディング」がセキュリティレビュー不十分なコードを量産している点だ。攻撃面が広がる速度に、検証やパッチ適用の速度が追いつかない構図が生まれている。
WAFはあくまで多層防御の一枚に過ぎない。シグネチャ更新の頻度を上げるだけでは、AIが仕掛ける可変攻撃には対応しきれない。入力値の厳格な検証、WAFルールへの依存を下げる設計、そして生成AIが書いたコードほど人間によるレビューを厚くする運用へと、優先順位の転換が迫られている。
現場への示唆
WAFのアラート閾値やチューニングだけに頼る運用は限界に近い。パラメータ化クエリの徹底、出力エスケープ、レートリミットの多層化など「WAFが破られても致命傷にならない」設計を前提にすべきだ。
COMMENTS 0
まだコメントはありません。最初のコメントを投稿しよう。