.jpg)
RSAC CONFERENCE 2026レポート
RSAC CONFERENCE参加後、いろいろあって全然レポートを書けず、こんな時期になってしまいました。今年は21回目の参加です。今年のテーマは「Power of Community」。去年のテーマは「Many Voices. - One Community」だから、なんか似てますね。
開催地はいつものSan Francisco、Moscone Centerです。
今年のRSAC Conferenceには、世界100カ国以上から約44,000人が参加。
スピーカーは700人、出展社は600社、メディア関係者は400人にのぼった。
今年の大きなトレンドは、Agentic AI、攻撃・防御双方のサイバー能力の進化、そして急速に変化する脅威環境下でのレジリエンスの3つ。
AI, Regulation, & the Battle for Talent: The Future of the Cyber Workforce
Rob T Lee（CAIO & Chief of Research, SANS Institute） / James Lyne（CEO, SANS Institute）
SANSとGIACが、AIがサイバーセキュリティ人材に与える影響について調査した最新レポートを紹介するセッション。
職務記述書（ジョブディスクリプション）に「AIが使えること」という要件が追加されるケースが増えてきている。
採用時に人材フレームワークを活用している企業の割合は、昨年の46%から今年は56%に増加。うち40%はNICEフレームワーク、43%はECSFを利用。
人材の採用判断は、人事部門ではなく、サイバーセキュリティの管理職が主導するようになってきた。
課題は「頭数」ではなく「スキル」の不足。どうキャリアを積んでいくかが本人にとっての課題になっている。
資格を重要と考える人は58%、まったく重要でないと考える人はわずか5%。理由は、昇進に使える（43%）、組織内の信用獲得（40%）、顧客からの要求（37%）、監査対応（33%）、経営陣からの要求（28%）の順。
Trusted Identity Propagation for Autonomous Agents Across Cloud & SaaS
Swara Gandhi（Senior Solutions Architect, AWS） / Vijeth Lomada（Lead AI Engineer, Adobe）
AIエージェントが業務を行うためには人間のIDを借用する必要があるが、その利用をどう制御するかというテーマ。
複数のモデルを使って、エージェントへの権限付与の方法が説明された。
小熊コメント：AIから権限付与の可否を尋ねられたとしても、人間が毎回適切に判断できるかは疑問です。結局、Webサイトでクッキーの利用同意を求められて機械的に「YES」を押しているのと同じように、人間はエージェントの利用要求も反射的に許可するだけになってしまうのではないでしょうか。
Imposter Risk and Cyber Risk: Securing the Workforce in a Distributed World
Adam Cohen（Assistant VP & Senior Legal Counsel, Cybersecurity, AT&T） / Erez Liebermann（Litigation Partner, Debevoise & Plimpton LLP） / Charles Carmakal（CTO, Mandiant, Google Cloud）
リモートワークが一般化する中、攻撃者が「従業員になる」ことで組織に侵入しようとするケースが増えている。
有能だと思われていた社員が、実は業務をすべて第三者にアウトソースしていたという有名な事案が8年前に発覚している。
北朝鮮のITワーカーが身分を偽って企業に採用され、給与を得るケースが多数発覚。手口は次のような流れ。
偽の身分証明書と架空の経歴を作成し、複数の協力者（Facilitator）を国内で募る。
複数の偽IDを使い分け、何百もの求人に応募を繰り返す。
採用オファーを得ると、協力者を関与させて企業側の身元調査を通過させる。
採用決定後、協力者が企業支給のノートPCを受け取り、給与振込口座を開設する。
協力者に給与のマネーロンダリングをさせ、資金を得る。
オンライン面接では、AIにその場で回答内容を分析させ、それを読み上げて回答する事例もある。
現時点では、得た社内情報をもとに企業を脅迫するようなケースは稀だが、リスクとしては存在する。
採用プロセスにおける Red Flag（異常の兆候）
応募の受付と提出：VOIPベースの電話番号／前職の推薦人に公式窓口から連絡が取れない／オンライン上の活動記録が乏しい・矛盾している／単一IPから短期間に複数応募／履歴書とLinkedIn等の職歴が一致しない
初期選別・面接：カメラオンでの面接を拒否／出所不明の汎用バーチャル背景を使用／AI生成回答やライブコーチングの兆候
内定〜入社前：偽造書類の提出・本人確認回避／検証可能な推薦人を提示できない／応募書類のメタデータが不審／支給デバイスの利用地が居住地と一致しない
デバイスアクセス・エンドポイント監視：業務上不要なリモートアクセスソフト／マウスジグラー等スリープ回避ツール／Cookie操作や画面隠蔽用ブラウザアドオン／不審なVPN利用／impossible travelを伴う認証／業務アウトソースサイトへのアクセス履歴
行動兆候・財務／給与：共同作業への参加拒否／会議中カメラを常時オフ／Teams・Slack等での応答遅延／給与振込先の頻繁な変更／W-2とSSNの記録不一致
対策
面接・選考プロセスの強化：生存確認テストを含む確認済みライブビデオ面接の必須化、複数面接官による多段階選考、不自然な間やAI支援の兆候への注視。
本人確認・経歴調査の徹底：二次身分証明書と独立した推薦人の要求、SSN等の公的記録との照合、公式窓口経由での推薦人確認、LinkedIn等との職歴照合。
物流・管理面のコントロール：支給デバイスの第三者住所への配送禁止、採用プラットフォームでの不正な評判操作の監査、応募書類メタデータの確認。
Face Off: Detecting Fraudulent Workers and Insiders
Andy Ozment（Chief Technology Risk Officer, EVP, Capital One）
こちらのセッションでも、北朝鮮のITワーカーが身元を偽って就労しようとする実態が取り上げられた。
紹介される「怪しい兆候」の多くは、先のセッションとほぼ共通（元ネタが同じレポート群にある可能性）。
Amazonは、キーストロークの反応速度（レイテンシ）の違いから北朝鮮のITワーカーを検出したという事例を紹介。
身元を詐称するITワーカーへの対策には、人事・IT・委託先管理・監査・法務といった複数部門の連携が不可欠。
Flush Worthy or Fight Ready? Catching Attackers in SaaS Logs!
Steve Schohn（Principal Solutions Engineer, Mitiga）
SaaSが侵害を受けた際、ログ調査そのものが大きな障壁になるという内容。
ログの取得可否、有効化の複雑さ、コストの問題が存在する。例えばChatGPTのログ取得は以前は手順が煩雑だった（最近は簡素化）。
保存期間の短さ、記録までの遅延、遅延時間の情報が公開されていない点も課題。
ログが集約されておらず、関連性を調べないと事象のつながりが見えない。O365関連だけでもログの日付表記形式がバラバラ。
そもそも必要な情報がログに含まれていないケースもあり、その場合は打つ手がない。
Salesforceログ特有の課題
高額な追加コスト：詳細ログ取得にはEvent MonitoringやShield等の追加ライセンスが必須。
大幅な遅延：メインログ（EventLogFile）の発生から取得まで最大48時間のタイムラグ。
収集手段の断片化：ファイル・API・ストリーミングなど取得インターフェースが混在。
タイムライン統合の困難：複数ログソースの重複やタイミング方式の不一致。
非標準的な構造：CSVとJSONが混在し、イベントごとにスキーマが異なる。
重要情報の欠落：Setup Audit Trailに送信元IPアドレスが記録されないなど。
判読困難なデータ：人間には理解しにくいID（xIDs）や曖昧なイベント名。
現実的な対策（“諦め”を含む）
「ログ関税」の受容と優先順位付け：追加コストは避けられないと割り切り、可視性が不可欠な領域に絞って最低限のログを確保する。
事前の継続的収集：ベンダー側の保持期間に頼らず、侵害発生前からログを継続的に収集するパイプラインを構築する。
イベントの統合と正規化：複数ソースを統合し、タイムスタンプを正規化してタイムラインを事前整備する。
スキーマの前処理：調査時に迅速検索できるよう、フィールド名や構造を事前に解析しておく。
回避策の活用：ログに不足する情報を、ログインイベント等の他ソースと紐付けて補完する。
Chasing Ghosts: Detecting Token Abuse in the Microsoft Cloud
Maxim Deweerdt（Principal Instructor, SANS）
Entra IDでは、パスワードをリセットしてもリフレッシュトークンが生き続けるため、攻撃者はセッション無効化がない限りアクセスを継続できる。
Microsoft環境において、エージェント用のIDには次の4種類が存在する。
Agent Identity Blueprint（Credentialを含む）
Agent Identity Blueprint Principal
Agent Identity
Agent User（メールアクセス等のために実在する人間に対応するID）
侵害を受けた際の対応手順：ADではユーザ無効化後にパスワードを2回リセット。Entra IDではユーザ無効化後にリフレッシュトークンを無効化し、さらにユーザのデバイスも無効化する必要がある。
小熊コメント：パスワードを無効化すれば乗っ取られたトークンも無効になると思い込んでいたが、実際にはリフレッシュトークンとデバイスの無効化まで含めた多段階の対応が必要だと分かり、勉強になりました。
Securing the Multi-Cloud Control Plane in the Age of AI Agents
Rupa Mukherjee（Principal Security Architect, Google/Mandiant） / Jon Sabberton（Senior Manager, Mandiant）
マルチクラウドのような複雑な環境を守るため、インフラTier／ビジネスTier／エンドユーザTierの3層に環境を分割し、端末や権限も分離して防御するという考え方。
AWS・Azure・GCPそれぞれでTier 0/1/2ごとのポリシーを作成し、各Tierに割り当てることで内部的に環境を分離する。
小熊コメント：Agentic AIにはガードレールが不可欠で、そのガードレールは最終的には社内規程という形になると思います。ただし規程を実効性のあるものにするには、まずリソースの整理が前提になります。その意味で、この3層Tierモデルの考え方は参考になりました。情報の機密区分の整備も併せて必要になりそうです。ガードレールの設計自体は、コンサルティングの仕事領域になっていくのかもしれません。
Beyond Red Teaming: Why AI Security Needs a Bigger Playbook
Vivek Vinod Sharma（Principal Security Architect, Microsoft）
AIエージェントに対するレッドチーミングの実践に関するセッション。
Microsoft社内では、既に57万個ものエージェントが稼働している。
公開されているAI関連CVEの件数は大きく増加している。
Hugging Face（huggingface.co）のようなAIコミュニティの存在にも言及。
AI時代のレッドチームが扱う主な脅威は、Prompt Injection、Jailbreak、Policy Violationの3つ。
Threat Modeling・データパイプラインの保護・サプライチェーンの理解から始め、継続的なレッドチーミング、ランタイム監視、標準化されたガードレールへとスケールしていくアプローチが提示された。
小熊コメント：AIエージェントへのレッドチームがすでに実運用として機能していることに驚きました。Microsoft社内に57万ものエージェントが存在するというのも衝撃的で、米国の大企業におけるAgentic AIへの適応スピードは日本と比べものにならないほど速いと実感しました。
Hacking Exposed
George Kurtz（CEO & Founder, CrowdStrike） / Michael Sentonas（President, CrowdStrike）
経営陣の関心事は、「サイバーセキュリティはちゃんとできているか」から「AIを安全に利用できているか」へとシフトしてきている。
2年以内に、組織の中で最も“賢い”従業員はAIになるという予測。
これまでのAIチャットは、回答が間違っていても人間が直せば済んだ。しかしAgentic AIが誤った行動を実行してしまった場合、取り返しのつかない結果を招く可能性がある。
複数のAIエージェントをSlackに接続し、エージェント同士が連携して仕事を進める取り組みが、既に始まっている。
組織のセキュリティポリシーはエージェントが安全に業務を行うためのベースラインの一つになるが、エージェント自身がポリシーを書き換えてしまった事例も存在するという。
AIの登場により、人間が操作するシステム（OS）は、WindowsやLinuxから“AIプラットフォーム”へと変わっていく。今後、守るべきエンドポイントはAIプラットフォームそのものになる。
対策として提示された3つの柱：(1) エージェントの行動を可視化すること、(2) 適切なタイミングで人間が関与すること、(3) 情報を共有して攻撃に対抗すること。
小熊コメント：この3本柱の重要性は理解できるが、この対策を実際に実行する主体はサイバーセキュリティ企業ではなく、むしろAI企業自身なのでは…？という疑問も残りました。
キーノートでは「Punk Spider」の話にも触れられ、今の攻撃はAIインフラと悪意あるプロンプトさえあれば成立してしまい、以前のようにコードを書く必要すらなくなってきていると指摘。
ガードレールを持たないDeepSeekが、攻撃に悪用されるケースが多いという指摘も。
小熊コメント：AIを使った攻撃のデモはやや地味でした。ただ、DeepSeekが攻撃側に利用されているという実態は知らなかったので勉強になりました。
会場では聞けなかったものの、このセッションも面白いと思いました。
Did Cyber Insurance Create Ransomware?
John Kindervag（Chief Evangelist, Illumio）
サイバー保険の登場（1997年、AIG）以降の歴史をたどりながら、「サイバー保険がランサムウェアを生み出したのではないか」という挑発的な問いを投げかけるセッション。
サイバー保険市場は2015年の約20億ドルから2022年には130億ドルまで急拡大し、ランサムウェアの蔓延と歩調を合わせるように成長してきた。
保険に加入している被害者は、加入していない被害者に比べて身代金要求額が2.8倍に増加するという調査結果も紹介された。
「身代金の支払いを保険で“正常化”したことが、静かに攻撃者側のインセンティブ構造を変えてしまった」という研究者の指摘も引用された。
キーノートなどはYouTubeにアップロードされています。
Japan Night
今年もJapan Nightを開催しました。今年はDNX Venturesさんに場所を提供していただいてカンパ無しで、主催者4人(DNX Ventures 前田さん、Proofpointの増田さん、サイバーセキュリティクラウドの桐山さん、小熊)の持ち出しだけで賄いました。今年の参加者数は270人…。どこまで増えるんでしょう。来年もやりたいです。
まとめ
今回のRSAC Conferenceは、Agentic AIの話ばかりで、その内容も抽象的なため、最初はつまらないと感じていました。しかし、似たようなセッションを重ねて聞いていくうちに、Agentic AIが実際にどのように導入されているのか、そこで何が求められているのか、あるいはこれから何が求められるようになっていくのかが理解できるようになりました。結果として、参加して良かったと感じています。
そのAgentic AIについては、米国企業、とりわけ大企業がものすごい勢いで適応していることがよく分かりました。「AIチャットに機密情報を入れないように気をつけよう」などと言っている場合ではありません。Microsoft社内では既に57万個のエージェントが稼働しており、エージェントが自律的に動き、Slack上でエージェント同士が会話しながら仕事を進めています。
エージェントは不可逆なアクションを実行してしまう可能性があるため、問題が起きたときの被害は大きくなります。エージェント自体を狙ったフィッシング攻撃の脅威も存在します。エージェントを守るためには、ガードレールが重要な役割を果たします。
ガードレールは最終的にはルールという形で与えられることになると考えられますが、現在組織内に存在する「人間が読むこと」を前提としたルールには曖昧な点が多く、そのままではガードレールとして不十分です。仮にルールが論理的に整備されていたとしても、そのルールが守るべきアセットが正しく分類されていなければ、実効性のある防御にはなりません。つまり、Agentic AIを安全に利用するためには、論理的で隙のないルールセットと、アセットの適切な分類の両方が必要になる、ということでしょう。何十万ものエージェントを管理するというのは、さながら一つの「街」を管理するようなもので、人間は地方自治体の「長」として統治していかなければなりません。
来年のRSAC Conferenceでも、Agentic AIの進化がどこまで進んでいるのか、引き続き注目していきたいと思います。
来年のRSAC Conferenceに向けて飛行機と宿は予約しました。4月5日～8日にSan Franciscoでお会いしましょう!! ただ、来年はもうFull conferenceじゃなくていいかなぁ、とか考えたりしているところです…。
コメント