タレスは、ソフトウェア保護ソリューション「Sentinel Envelope」の新たな追加機能として「Sentinel Envelope Plus」を発表しました。同ソリューションは、ソースコードを変更することなく、攻撃者のAIによるリバースエンジニアリングや脆弱性の自動検出、エクスプロイトの自動生成に対するコンパイル済みアプリケーションの耐性を大幅に強化します。ソフトウェアベンダーによる知的財産の保護を支援する狙いがあります。

AIツールの進化に伴うセキュリティリスク

AIを用いたツールの進化により、攻撃者がソフトウェアの脆弱性を分析するための専門知識や時間が大幅に削減されています。これにより、オンプレミス環境や組み込み機器、エッジデバイスなど、ソフトウェアベンダーの管理外に導入されるアプリケーションでリスクが高まっています。

開発元のセキュリティ管理が及ばない環境では、攻撃者がアプリケーションのコピーを入手して詳細な解析を行うことが可能です。その結果、ソフトウェアに含まれる独自のアルゴリズムやビジネスロジックなどの重要情報が発見・悪用され、業務の中断や信用の失墜につながるおそれがあります。

タレスでソフトウェア収益化部門のバイスプレジデントを務めるDamien Bullot（ダミアン・ブロット）は、適切な保護を施すことでAIを利用した解析を大幅に困難にできると説明し、修正プログラムの適用や顧客保護のための猶予を確保できるとしています。

検証環境で脆弱性の検出ゼロを確認

タレスが管理された環境下で実施したテストでは、保護されていないアプリケーションに存在する10件の脆弱性のうち、8件がAIエージェントによって特定されました。

一方、「Sentinel Envelope Plus」で保護された同じアプリケーションでは、970倍のトークンを消費して解析が試みられたものの、脆弱性は1件も特定されず、約7時間後に解析が中止されました。独自の解析ツールを生成するなどの手法も用いられましたが、悪用につながる情報は得られなかったとしています。

脆弱性の発見や悪用を困難にすることで、開発チームは通常業務を中断することなく、計画されたリリースサイクルの中で対策を進めることが可能になります。

「Sentinel Envelope Plus」は、既存の「Sentinel Envelope」の機能を拡張したもので、特別な開発環境を用意することなくセキュリティ上重要な部分に多層的な保護を提供します。

開発者は選択した部分にデコンパイルや改ざん、実行時解析に対する保護を適用できるため、セキュリティとパフォーマンスのバランスを柔軟に調整できます。また、オプションのライセンス管理機能と組み合わせることも可能で、こちらもソースコードを変更せずに追加できます。

「Sentinel Envelope Plus」は現在、Sentinelプラットフォーム向けの有償アドオンとして提供されています。テスト手法および結果の詳細はタレスのブログ記事「AI Vulnerability Detection Neutralized」に掲載されています。

本記事はタレスの発表をもとに作成。

Dellows News編集部

ビジネスパーソンの課題解決と納得感にこだわるDellows News編集部。キャリア論からAI、健康法まで幅広い分野に対応し、複雑なテーマでも平易な言葉で丁寧に解説。読者が「明日から使える」知識やヒントを得られるよう、具体的な事例・データ・専門家の見解を交えて執筆。情報を整理し、納得感ある記事づくりを心がけています。