10月13日、Help Net Securityが「Most high-severity cloud security findings are downgraded once an AI agent checks the environment」と題した記事を公開した。この記事では、AIエージェントがクラウドセキュリティの高深刻度（HIGH）検出結果を実環境に照らして再評価すると、その75%以上がベンダーの付けた重要度から変動するという研究について詳しく紹介されている。
静的なスコアがもたらす「優先度キューの機能不全」
クラウドセキュリティプラットフォームは、設定ルールに違反したリソースをすべて「検出結果（finding）」として記録し、深刻度（severity）でソートされたキューに積み上げる。このスコアはルール側に固定されており、実際のリソース状態や環境を反映しない。
Sola Securityの研究者Leon GoldbergとGal Engelbergはこの問題に着目し、論文（arxiv掲載のプレプリントであり、査読済み論文ではない点に注意）で次の実験を報告した。
- 対象：2つの商用クラウドセキュリティプラットフォームが生成した9,967件のHIGH findings
- 環境：8つの本番AWSアカウント
- 手法：AIエージェントが各findingを実環境の情報と照合して重要度を再評価
結果として、エージェントは75.1%のfindingの重要度を変更した。内訳は58.5%が格下げ、16.6%が格上げである。
ベンダーが提供する599のルールは、99,073件の違反すべてに対して一律で同じ深刻度を発行していた。研究者らは「静的な深刻度はその条件が一般的にどれほど危険かを示すに過ぎない」と指摘する。CVSSには環境メトリクスが存在し、NISTのリスク評価ガイダンスも「実際に存在するコントロール」を考慮するよう定めているが、現状の静的スコアはそこを空白のままにしている。
エージェントの判断ロジック：「下げるより上げる方が証拠が要る」
エージェントは各findingに対して、攻撃者がどのように悪用するかの仮説を立て、以下の情報を収集する。
- 対象リソースの設定情報
- 接続されている周辺リソースの状態
- 他のセキュリティ製品が保持するデータ
判断ポリシーとして、「格上げには格下げより多くの証拠を要求する」設計を採用している。格下げには「その脆弱性が実際に悪用される経路を遮断する観測済みの属性」が必要であり、格上げには「条件がその環境で特に深刻である証拠」に加え、ファイアウォールやホワイトリストなどの緩和措置がないことの確認が求められる。それ以外はベンダーのスコアをそのまま維持する。
格下げの主な要因は5つのパターンに分類された：
- 何にも接続されていない「不活性リソース」（32.3%、最大）
- インターネットから到達不能なリソース
- 稼働中のサービスが存在しない
- 送信元の制限が厳格に設定されている
- アカウントレベルのブロックが存在する
一方、格上げの主因は「パブリック露出が環境内で実際に確認された」ケースだった。
興味深いのは、138ルール中62ルールが同一ルール内で格上げ・格下げの両方を生成した点だ。57ルールは同一環境内でその両方が発生している。例えばセキュリティグループのルールは、内部ロードバランサーにのみ紐づいている場合は格下げされ、インターネットからの経路が存在する場合は格上げされた。
また、判断の49.0%は対象リソース外の証拠（接続リソースのアセットグラフや別製品のデータ）に依存していた。研究者らは「経路のすべてを否定する必要がある格下げ判断ほど、外部証拠への依存度が高い」と説明している。
ライブ検証：エージェントの事実認識は99.4%一致
エージェントの判断が正しい事実に基づくかを検証するため、研究者らは読み取り専用プローブを8つのAWSアカウントで実行し、判断の根拠となった事実をクラウドAPIから直接再取得した。
プローブで確認できた判断については、エージェントの認識と実環境の事実が99.4%一致した。検証できなかったfindingをすべて「誤り」とカウントした場合でも81.8%の一致率だった。
ただし研究者らは明確に線引きしている。「Readingと実際のActionは、影響範囲・可逆性・認可の観点で根本的に異なる」として、「環境に固有の検証済みfindingの読み取りは、自律的な対処行動の前提条件に過ぎない」と述べている。この研究はあくまで「読み取り」の精度を測定したものであり、格付け変更後のスコアが適切かどうかは検証の対象外だ。
研究の限界と受け取り方
この研究には明示された制約がある。
- 対象はHIGHのキューのみ（MEDIUMやLOWは範囲外）
- 再評価されたfindingの92%がAWS上のリソース
- ライブ検証は1プラットフォーム・5リソースタイプに限定
- インシデントデータがないため、格下げされたfindingが実際に無害だったかは不明
- エージェントが見落とした事実（Recall）は未測定
これらの制約は、結果の解釈に直接影響する。特に「格下げされたfindingが実際に無害だったか」が未検証である点は、本研究が「静的スコアの限界を示す」研究であり「AI再評価の安全性を保証する」研究ではないことを意味する。また、査読前のプレプリントである以上、手法・評価基準の妥当性については今後の検証を待つ必要がある。HIGHキューの処理効率を改善する可能性を示した点は有意義だが、実運用への適用にあたっては上記の留保を踏まえて判断することが求められる。
詳細はMost high-severity cloud security findings are downgraded once an AI agent checks the environmentを参照していただきたい。
