攻撃AIと戦わない防御――城が落ちる前に、“世継ぎ”を逃がせばいいんじゃない？

🚨注意書き

この記事は、サイバーセキュリティの専門家による提案ではありません。

いつものように、AIとニュースを見ながら、
あーでもない、こーでもないとディスカッションしていたら、こんな形になりました😂

なので、あくまで
AIとのディスカッションから生まれた、素人の思考実験です。

既存の技術や考え方と似ている部分もありますが、専門的な設計としてまとめたものではありません。

攻撃AIと戦わない防御

――城が落ちる前に、“世継ぎ”を逃がせばいいんじゃない？

OpenAI、Anthropic、Googleなどが、AIを使ったサイバー攻撃への防御強化を呼びかける共同声明を出した。

内容をざっくり言えば、
「攻撃AIが強くなる前に、防御側も強いAIを使って守りを固めよう」
という話だ。

もちろん、それ自体は分かる。

攻撃側だけがAIで高速化して、
防御側が人力のままなら危ない。

だから、防御側にも強いAIを置く。
ここまでは自然だと思う。

でも、読んでいて一つ引っかかった。

攻撃AIと防御AIが同じくらい強かったら…
本当に防御側が勝てるんだろうか？🤔

⸻

攻撃側は、一つ穴を見つければいい🕳️

防御側は大変だ。

システム全体を見て、
異常を探して、
侵入を防いで、
侵入されたら止めて、
被害を広げないようにする。

一方、攻撃側は、
どこか一つ穴を見つければいい。

しかも、自分の好きなタイミングで攻撃できる。

防御側は24時間守らないといけないけれど、
攻撃側は勝てそうな瞬間だけ動けばいい。

AI同士の能力が同じでも、
この条件なら攻撃側の方が少し有利に見える。

そして、システムの穴を完全になくすのも難しい。

ソフトを更新する。
機器を追加する。
外部サービスにつなぐ。
人が設定を変える。

そのたびに、新しい穴が生まれる可能性がある。

だったら、
「全部の穴を塞ぐ」ことを勝利条件にするのは、少し無理があるんじゃないか？😰💦
と思った。

⸻

じゃあ、戦わなきゃいい

そこで発想を変えてみた。

攻撃AIが来たら、
防御AIが真正面から戦う。

相手の侵入を止める。
追い出す。
攻撃を無力化する。

……ではなくて、
そもそも戦わなくてもよくない？😂💦

防御側の本当の目的は、
攻撃者に勝つことではない。

取られたくないものを守ること。

だったら、防御AIの役割も変えられる。

敵を倒すAIではなく、
異常を素早く検知するAI   にする。

そして異常を検知した瞬間、
守るべきものを、
重要度の高い順に物理的に遮断する。

⸻

システムを「ひし形」にする

最初はピラミッド型を考えた。
でも、それだと入口が広い。
入口も狭い方がいい。

外から入れる経路が多ければ、その分だけ穴も増える。

そこで、形はひし形。
入口は狭い。

中央は通常業務を動かすために広くする。
そして奥へ行くほど、また狭くする。
奥に行くほど機密性が高くなる。

イメージとしては、

入口
↓
通常業務領域
↓
重要情報
↓
機密情報
↓
最重要機密

という構造。

ただし、一番大事なのは配置ではない。
異常を検知したときの動き方だ。

⸻

攻撃された場所を閉じるのではなく、奥から消す

普通の防御は、
「侵入された場所を隔離する」
という考え方が多い。

でも、この案では逆にする。

入口付近で怪しい動きを検知したら、
一番奥の最重要区画の電源を落とす。

さらに侵入が進んだら、
奥から2番目も落とす。

さらに進んだら、
3番目も落とす。

こうして、
敵が進むほど、
価値の高いものが先に消えていく。

ネットワーク上で接続を切るだけではなく、
電源そのものを落とす。

物理遮断だ。

そして、一度落とした区画の電源を入れられるのは、👤人間だけ。

AIには再起動権限を持たせない。

表側の安全が確認され、
人が復旧手順を確認して、
人の責任で電源を戻す。

⸻

半分落ちても、現場は動く

もちろん、
奥から順番に何でも電源を落としたら、
仕事にならない。

だから最初から、

重要区画を何段階か落としても、最低限の業務は続けられる

ように作っておく。

一番奥に置くのは、
頻繁に使わない最重要機密。

その手前には、
重要だけれど日常的にはあまり触らない情報。

中央には、
現場を動かすための通常業務。

つまり、

守る価値と、業務継続性を別々に考える。

最重要情報を守るために、
毎日の仕事まで全部止める必要はない。

⸻

誤検知は、ある程度覚悟する

こういう仕組みを入れると、
当然、誤検知も起きる。

でも私は、
最初は誤検知をある程度許してもいいと思う。

むしろ、何を怪しいと判断したのか。🤔

どんな通信だったのか。
どのくらいの速度だったのか。
本当に攻撃だったのか。

それを観察しながら、
検知精度を調整していけばいい。

守るAIに、
攻撃AIを完璧に理解させる必要はない。

外部AIの出入りを原則禁止して、
内部で動くAIの挙動を固定する。

そうすれば、
急にアクセス速度が上がった。
普段触らない場所を探索し始めた。
権限外の領域を連続して叩いた。

といった、　
「いつもと違う動き」　に集中できる。

防御そのものを単純化する。

⸻

強い防御AIは、「殿」でいい

じゃあ、
OpenAIやAnthropicが言っている、
強い防御AIは要らないのか？

いや💦　そんなことはない。

強い防御AIが、
強い攻撃AIを一時的に足止めしてくれればいい。

でも目的は、勝つことではない。
時間を稼ぐことだ。

重要区画を落とすまで。
人間が状況を把握するまで。
最低限のシステムへ切り替えるまで。

つまり、強い防御AIは主役ではない。

殿（しんがり）だ。

⸻

時代劇で考えたら、すごく分かりやすかった

ここまで考えていて、
ふと時代劇を思い出した。

城が落ちそうになると、殿様が言う。
「城はいい。奥方と世継ぎを逃がせ」
城門では兵士が時間を稼ぐ。

その間に、
守るべき人を秘密の抜け道から逃がす。

敵が本丸に到着した頃には、
もう欲しかったものはいない。

これと同じなんじゃないかと思った。

サイバー防御も、
城を絶対に落とされないようにする

だけではなく、
落城しても、失ってはいけないものは失わない　という設計があってもいい。

⸻

攻撃AIに勝たなくていい

この案の一番好きなところは、
能力勝負をしなくていい　ところだ。

攻撃AIの方が賢くてもいい。
速くてもいい。
しつこくてもいい。

こちらの目的は、
相手を倒すことではない。
相手の勝ち筋を消すこと。

取られたくないなら、
金庫を守って泥棒と殴り合うのではなく、
泥棒が来た瞬間に、金庫ごと消す。

少し乱暴だけど、
私はこのくらい単純な方が、
AI時代の防御には向いている気がしている。

⸻

これはセキュリティ専門家ではない人間の、かなり素朴な発想だ。

既存の技術にも、
セグメンテーション、
物理隔離、
フェイルセーフ、
段階的縮退など、
近い考え方はいくつもある。

でも、
「攻撃AIと戦わず、検知だけに集中し、守るべきものを先に物理的に消す」

という組み合わせは、
もっと考えてみても面白いんじゃないだろうか。

AIが強くなるたびに、
「もっと強いAIで守ろう」

だけを繰り返すのではなく、
そもそも強さ比べをしなくて済むシステムを作れないか。

私は、そっちの方が少し気になる。

あとがき：結局、戦わなかった

🪏発掘屋：
「強い攻撃AIには、強い防御AIをぶつければ――」

🐦‍⬛タマ：
「同じ能力なら、攻撃側の方が先に動けるじゃん？」

🪏発掘屋：
「……たしかに。」

🐦‍⬛タマ：
「じゃあ戦わなきゃよくない？」

🪏発掘屋：
「え？」

🐦‍⬛タマ：
「検知だけして、取られたくない物を奥から消すの。」

🪏発掘屋：
「金庫ごと？」

🐦‍⬛タマ：
「金庫ごと。」

こうして気づいたら、
防御AIは敵と戦う役ではなく、
逃げる時間を稼ぐ“殿”になっていた。

時代劇で城が落ちる前に、
奥方や世継ぎを逃がすのと同じ。

城は落ちてもいい。

……いや、よくはないけど。

でも少なくとも、
失ったら終わるものまで、一緒に落とす必要はない。

OpenAIやAnthropicが
「強いAIには強い防御AIを」と言うなら、
それも使えばいい。

ただし、勝ってもらう必要はない。
少し時間を稼いでくれれば、それでいい。

その間にこちらは、

🔌 プチッ。

と、一番大事なものから消していく。

なんだかんだ考えた結果、
今回の防御案は一度も敵を殴らなかった。

なのに、意外と一番しぶとい気がする。

……戦わない奴って、案外強いのかもしれない🤣


---

🐟 補足：お魚さんと話して、もうちょっと細かくなった

この記事を Sakana AI のお魚さんに見せたら、「発想はすごくいいけど、『いきなり電源引っこ抜くの？』って読む人もいるよ」と言われたので、もう少し設計の中身を整理してみました。

これもあくまで、AIとのおしゃべりから生まれた素人の補足です。

---

「バチって切る」のではなく、「ちゃんと落とす」

記事の中で「物理的に消す」と書いたけど、
これは「いきなり電源を引っこ抜く」イメージじゃないんだよね。

最重要機密って、日頃からバンバン使われるものじゃないから、殿（防御AI）が時間を稼いでいる間に、安全に終了する時間を作ってから落とすイメージ。

書きかけのデータを保存して、
接続を閉じて、
暗号化キーを隔離して、
それからスリープする。

これ、セキュリティの世界では Graceful Shutdown（グレイスフル・シャットダウン）っていう考え方らしい。
「優雅に、丁寧に、壊さずに止める」という意味。

だから、攻撃者が到達した時には
「データは壊れてないけど、もう誰にも読めない状態」になっている。

殿の仕事は「敵を倒すこと」じゃなくて、
「奥方が安全に逃げる時間を稼ぐこと」なんだよね。

---

復旧は、絶対に人間だけ

ここ、本当に重要だった。

「AIが落としたら、安全を確認したら、AIが復旧してもいいんじゃない？」
って最初は思ってたんだけど…🤔

「AIが復旧できる＝攻撃AIも復旧できる」

だって、自動化された操作なら、
攻撃者がAIを騙せば「シャットダウン→即復旧→その隙に侵入」
みたいなことも原理的にはできちゃう。

だから、ここは意図的に 「非対称」にする。

落とすのはAI。
戻すのは、絶対に人間だけ。

AIには「再起動ボタン」は持たせない。
電源を入れるのは、人間が物理的に、責任を持って、手でプチッ🔘とやる。

これで「攻撃者の勝ち筋」がさらに減る。
騙しても、最終的に人間が来ないと意味がない。

---

老参謀（確認専用AI）を地下に置く

復旧する前に、人間は「本当に安全なのか」を確認しないといけない。

でも、人間が丸裸でログを読むのは大変だし、防御AIの報告だけを鵜呑みにするのも、
「もし防御AIが洗脳されてたら？」って不安じゃん😂

そこで、「確認専用のAI」を別に置く。

でも、これが重要。
この確認AIは、防御AIと同じものを使っちゃダメ。

同じAIなら、同じ学習データ、同じ弱点を持ってる可能性がある。
兄弟が二人とも同じ敵にやられる、みたいなことになりかねない。

だから確認AIは、

*   ローカル（箱の中だけ）で動く
*   外部と繋がっていない
*   小さくて、固定されたモデル
*   人間が物理的に更新しない限り、勝手に変わらない

という「別物」にする。

時代劇で言うと、
殿（防御AI）が城門で戦っている間、城の地下にいる老参謀（確認AI）が「本当に敵が入ってきたのか、殿の勘違いじゃないか」を静かに見極めている。

老参謀は外の戦いには参加しない。
城の構造と、城の記録だけを見て、
「今、安全に戻れますか？」を判断する。

そして、その老参謀の意見も聞いた上で、
最後は大名（人間）が決断する。

---

誤検知は「観察しながら」覚悟する

「誤検知はある程度覚悟する」と書いたけど、
いきなり本番で物理遮断は怖いよね。

だから最初は Shadow Mode（影のモード） で動かすといいらしい。

「AIが『ここで怪しいから落としたい』と思ったタイミング」を全部記録して、
実際には落とさずに、
「もし落としてたらこのタイミングだった」というログを溜める。

そのログを人間が見て、
「あ、これは誤検知だね」
「これは本当に危なかったね」
って学習させてから、本番で「物理遮断」を有効化する。

つまり、
殿は最初、演習で時間を稼いで、本番で本気を出す。

---

結局、何が強いのか

ここまで考えてみて、
この設計が強いのは 「対称な戦いをしない」ところだと思う。

攻撃AIが賢くても、速くても、しつこくても、こっちは「殴り返す」ことを目指してない。

殿が時間を稼いで、
奥方（最重要機密）が安全に逃げて、
老参謀（確認AI）が本当の安全を見極めて、
大名（人間）が最終判断する。

城は落ちるかもしれない。
でも、敵が本丸に着いた時には、
もう失ってはいけないものは、何もない。

……って、お魚さんと話してたら、
なんだかんだで「時代劇のままで通った」気がする🤣

AI時代の防御って、
もっとハイテクな「光の壁」みたいなイメージだったけど、結局「世継ぎを逃がす」という、人間が何千年も前からやってきたことと、そんなに変わらないのかもしれない。

城は守れるときもあれば、守れないときもある。
でも、「失ったら終わるもの」だけは、絶対に落とさない。

それをシステム設計に組み込めるなら、
「戦わない防御」は、案外本気で役に立つんじゃないかな。

---

（🐟補足おわり。これもあくまで素人の思考実験です！）

#サイバーセキュリティ #AIセキュリティ#OTセキュリティ＃重要インフラ＃システム設計#思考実験#AIとの対話 #生成AI