「AIがサイバーセキュリティを終わらせる？」——元CISA長官ジェン・イースタリー発言の真意と現実解

英ITメディアThe Registerは10月27日、米サイバーセキュリティ・インフラ庁（CISA）前長官のジェン・イースタリー氏が「AIは（いまの形の）サイバーセキュリティを終わらせうる」と語ったと報道しました。
References:The Register

主張の核は、侵害の大半は“ずさんなソフトウェア”に起因し、より賢い技術（AI）が脆弱性の探索・修復を圧倒的に加速すれば、防御産業そのものの必要性が縮小する——という未来像です。

何が語られたのか

問題の根：
多くの侵害は人手による設計/実装ミスや古い脆弱性の放置から生まれる。
AIの役割：
コードの静的/動的解析、パッチ生成、安全APIへの自動置換などを人手より高頻度・広範囲で回せるため、攻撃者が寄りかかる“穴”を先回りで塞げる。
帰結：
安全に設計・展開・ガバナンスされたAIが普及すれば、“今の意味でのサイバーセキュリティ（恒常的な穴埋めビジネス）”は縮退する、という挑発的な見立て。

イースタリー氏は在任中から「Secure by Design」やソフトウェア責任（責任制度）を繰り返し提唱してきました。

安全に作られた製品に“安全港”を与える一方、杜撰な製品には責任を課す——とする法制度の方向性にも言及しており、今回の発言は一貫した路線の延長線上にあります。

攻撃サイドの自動化が本格化
生成AIはフィッシング文面の量産から既知脆弱性の自動探索まで攻撃運用にも浸透。
“AI対AI”の戦いが避けられない以上、守り手もAIで反撃しなければ拮抗できません。
イースタリー氏自身も「米国のデジタル防衛は遅れを取っている」と危機感を隠しません。
“既知悪用（KEV）×AI”の実装余地
CISAが普及させたKEVカタログ（既に悪用されている脆弱性の一覧）と企業内資産情報をAIで突き合わせ、優先順位付け→自動修復までを継続運転する構想は現実味を帯びています。
氏は講演でも「KEVとAIで攻撃に先んじる」と強調してきました。
政策の後押し
Secure by Designの誓約を国内外のベンダに広げた流れは、“作る側”の責任重視へと舵を切りました。
AIが“安全の作り込み”を補助するなら、規制と技術の車輪が噛み合う局面が来ます。

開発段階：
生成型のコードレビューで危険パターン（SQLi/XXE/SSRF等）を自動リライト。
IaC/CIパイプラインに組み込んで“毎コミット診断”を標準化。
運用段階：
SBOM・脆弱性台帳・資産台帳をAIが突合し、環境別の“最小停止での適用順序”を生成。
回帰テストもプロンプトで半自動化。
ユーザー段階：
フィッシング・BECを挙動ベースで抑止し、生成AIの“うそ確信”（自信満々の誤り）を出典検証で減衰。

この一連の自動化が“人間の疲弊前提”のSOCを“例外対応中心”に変えられれば、確かに「今の形のセキュリティ産業」は縮小する可能性があります。

設計の前提を変える攻撃：
サプライチェーン汚染、依存パッケージ乗っ取り、モデルポイズニング、プロンプトインジェクションなど、設計仮定を踏み越える攻撃は自動修復が追いつきにくい。
“未知の失敗”：
AIは長い連鎖の中で予期せぬ相互作用を起こす。
ガバナンス（監査ログ、説明責任、再現性）を怠ると新しい事故原因になり得る。
人・組織の問題：
インセンティブの歪み（リリース至上主義、保守予算の削減）、ソフト責任制度の未整備が続く限り、“穴だらけ”の需要は残る。

言い換えれば、AIの自動修復×Secure by Design×責任制度の三位一体が実現しないと、“セキュリティの終焉”は来ない。

この点で、氏の過去発言（責任制度の構築）はやはり重要です。

“デブセクOps”を“AIセーフティOps”へ拡張
コード・IaC・モデル・プロンプト・RAGの全ライフサイクルに検証フックを入れる。
KEV×自社資産の自動優先順位付けを運用。
“修復を出荷物”に
自動パッチ生成/適用の成否をSLAと同列に可視化。
回避策のCX影響もAIで試算し、ビジネス部門と合意を取る。
契約・責任の改定
Secure by Design遵守を調達要件に。
脆弱性対応の時限条項、SBOM提出、責任分界を明文化。
将来の“安全港”制度に備える。
人材像の再定義
“脅威ハンター”から“制御系エンジニア”へ。
プロンプト/評価（Eval）/安全策を設計できる人材を中核に据える。
“出典提示と検証”のUI
社内外向けのAI回答には根拠リンクと最終更新日を強制表示。
自信過剰な誤答を設計で抑える。

イースタリー氏の発言は挑発的見出しになりやすい一方、同氏が一貫して訴える「作り手の責任」と「自動修復の普及」を理解すれば、“終わらせる”のは産業ではなく“脆弱さ依存のビジネスモデル”だと読み解けます。

実際、氏はこれまでもボード/経営の責任を強く求め、サイバーを企業リスクの中核として扱うよう促してきました。

同時に、氏は政治的な逆風のなかでも発信を続けており、米国のサイバー防衛体制の弱体化に警鐘を鳴らしてきた背景も報じられています。

技術×制度の両輪が噛み合わなければ、AIだけでは構造問題は解けないという示唆でもあります。

ニュースのポイント：
イースタリー氏は、AIが脆弱性修復を常時高速化することで、“今の形のサイバーセキュリティ産業”を縮め得ると発言。
背景にはSecure by Designと責任制度の構想がある。
筆者の見立て：
実現には、KEV×資産台帳×自動修復の実装、契約・規制の整備、AI安全性の検証文化が不可欠。
AIは“終わりの始まり”ではなく、「作る側が責任を持つ」正常化の始まりだ。