Cyware、共有された脅威インテリジェンスを日々の優先事項に変える「Last Mile AI Agents」を発表

脅威に関する注意喚起は、数秒で小規模な公益事業者に届くことがある。しかし、それが自組織に関係するか、何をすべきかを判断するには、はるかに時間がかかる場合がある。Cywareは、この隔たりを埋めるため、共有されたサイバーセキュリティ情報を小規模組織の日々の優先事項に変えることを目的とした、新しいAIエージェント群「Last Mile Agents」を提供する。

10月22日に発表されたこのエージェントは、コミュニティや州のハブから注意喚起を受け取る一方で、専任の脅威インテリジェンスチームを持たない、脅威情報共有ネットワークの参加組織を対象としている。すべての受信者に同じ情報リストを提示するのではなく、Cywareによれば、エージェントは各組織の業種、テクノロジー、運用環境に照らして、届いた情報を評価する。

初期リリースには「Vulnerability Watch」と「Threat Briefing」が含まれ、いずれも「Priority Intelligence Requirements」エージェントが支える。すぐに提供されるのは優先順位付けされたガイダンスであり、自動対応は今後の開発計画に含まれている。

共有された注意喚起を各組織の優先事項に変える

脅威情報共有ネットワークは、脆弱性、攻撃者、新たな攻撃キャンペーンに関する情報を組織間で共有するのに役立つ。しかし、その価値は注意喚起が届いた後の対応に左右される。大企業であれば、そうした情報を自社システムと照合するアナリストを擁している場合がある。一方、小規模企業や協同組合の公益事業者は、日常的なIT業務も担う1人のセキュリティ担当者に頼っていることがある。

Cywareのアプローチでは、インテリジェンスハブの役割と参加組織の役割を分けている。ハブはCywareのプラットフォームを運用し、インテリジェンスを精査する。発表によると、接続された参加組織は、自らプラットフォームを導入することなく、それぞれの優先事項に合わせた「Last Mile Agents」を利用できる。

この違いは導入のしやすさに関わる。各小規模組織に本格的な脅威インテリジェンス業務の立ち上げを求めるのではなく、既存の情報共有関係を、情報を受け取る側にとってより有用なものにすることが狙いだ。

「集団防御の強さは、最後の一段階にかかっています。そして、私たちはこの方法でそれを強化します」と、CywareのCTO兼共同創業者であるAkshat Jainは発表の中で述べた。同氏によると、各組織の環境にとって何が関係するのかを把握し、その背景情報を届いた注意喚起や脆弱性に適用するため、エージェントはまず「Priority Intelligence Requirements」から始める。

3つのエージェントを支える、組織ごとのコンテキスト

基盤となるのは、「Priority Intelligence Requirements（PIR）エージェント」だ。参加組織にとって重要な事項を把握し、届いたインテリジェンスをその要件と継続的に照合する。実際には、脅威に優先順位を付ける前に、何を関連性があるとみなすかについて、システムに実用的な基準を与えることを意図している。

• PIRエージェント：参加組織のインテリジェンス上の優先事項を定め、それに基づいて届いた注意喚起や脆弱性情報を評価する。
• 脆弱性監視エージェント：悪用の状況と深刻度を参加組織の環境に照らして評価し、「対処」「注視」「追跡」に分類した、優先順位付きの日次リストを作成する。
• 脅威ブリーフィングエージェント：どの動向に注目すべきか、またそれが参加組織にとってなぜ重要なのかを説明する、優先順位付きの日次ブリーフィングを作成する。

深刻度と関連性を区別することが、この設計の中心にある。深刻な脆弱性であっても、注意喚起を受け取るすべての組織にとって同じ緊急性があるわけではない。組織は、影響を受けるテクノロジーが自組織の環境に含まれているか、実際に悪用が進んでいるか、そして限られた時間の中でほかの課題と比べてどの程度重要かを把握する必要がある。

Last Mile AgentsとCywareのテクノロジーとの関係

今回の発表により、Cywareの既存のAIエージェント群の対象は、インテリジェンスハブで働くアナリスト以外にも広がる。同社のより広範な「Agent Hub」は、セキュリティ製品内でエージェントを連携させるもので、自律性の設定、人による監督、認可、監査ログの記録に関する制御機能を備える。こうしたプラットフォーム機能はCywareの戦略を理解するうえで参考になるが、今回の新製品が具体的に説明しているのは、参加組織向けの優先順位付けとブリーフィングだ。

この戦略の根底には、多様な脅威情報を利用しやすくするという課題がある。Cyware Intel Exchangeは、情報の取り込み、重複排除、拡充を支援し、脅威インテリジェンスを交換するための構造化形式であるSTIX 2.1に正規化する。また、インジケーター、マルウェア、攻撃キャンペーン、脅威アクターを関連付け、敵対者の行動をMITRE ATT&CKに対応付ける。こうした機能から、ハブが担う役割が分かる。参加組織がそれぞれの優先事項に照らして解釈する前に、インテリジェンスを整理することだ。

同社の別製品であるCyware Orchestrateは、API、Webhook、事前構築済みの連携機能を通じてセキュリティワークフローを接続する。プレイブックの作成やトラブルシューティングを支援するAI機能も備えている。これはCywareの幅広い自動化製品群の一部だが、「Last Mile Agents」の今回の提供範囲とは区別する必要がある。Cywareは、新しいエージェントによる自動対応を今後のロードマップに位置付けている。

ガイダンスが日々の業務を変えるかが問われる

小規模なセキュリティチームにとって、有用なAIブリーフィングは、長い勧告を短い段落に要約するだけでは不十分です。関連性を示し、順位付けの理由を説明し、次の判断を容易にする必要があります。そのため、組織が明示した要件の質と、変化する環境に合わせて要件をどれだけ適切に維持できるかが、エージェントの実用性を左右する重要な要素となります。

Cywareの発表では、Last Mile Agentsの性能ベンチマーク、価格、測定済みの顧客成果は示されていません。初期段階で掲げる価値は、より限定的で具体的です。リソースに制約のあるメンバーに対し、各自のネットワークですでに共有されているインテリジェンスを活用し、何が最も重要かを毎日確認できるようにします。

PIR Agentを基盤とするVulnerability WatchとThreat Briefingが、最初に利用可能となるエージェントです。Cywareは、AIエージェントに関するウェビナーも開催しています。より広く見れば、集団防御の恩恵を、情報を解釈できるだけのアナリストをすでに抱える組織以外にも広げることが可能です。