毎日数十億件のテレメトリイベントを処理するAI「ESET NeoCortex」

　ESETは、サイバーセキュリティに特化したAIモデル「ESET NeoCortex」を発表した。ESET NeoCortexを搭載したESET LiveCortexは、断片的なセキュリティシグナルを関連付け、不足する情報を補い、優先順位を付けて、対応につながるインシデント情報にまとめる。ESETのソリューションを一元管理・運用する統合セキュリティプラットフォーム「ESET PROTECT Platform（イーセット プロテクト プラットフォーム）」で提供される。

　ESET LiveCortexは、毎日数十億件の未加工のテレメトリイベント（収集した動作情報）を処理し、重要なシグナルを関連付けて、対応につながるインシデント情報にまとめる。顧客に提示するインシデントの基となるイベントは、全体のわずか0.00111％、約9万件に1件という。重要な活動をノイズから切り分け、対応が必要なインシデントを優先することで、大量のアラートによる担当者の負担を軽減する。

攻撃の次段階を推定する「minus-one-day defense」

　汎用の大規模言語モデルは、幅広いテーマについて、もっともらしい回答を生成するよう設計されている。一方、セキュリティ運用では、進行中のインシデントに関わる対象、時刻情報、脅威の指標、プロセス間の関係、十分にそろっていない観測情報などを一貫した方法で分析する必要がある。

　ESET LiveCortexは、こうした要件に対応するために設計されている。インシデントの背景情報を補い、複雑なインシデントを簡潔に表現する。また、攻撃全体の流れの中で異常なイベントを特定できる。

　さらに、ワールドモデルを活用して状況や兆候を分析し、攻撃が今後どのように進行するかを推定し、攻撃の発生後に対応するだけでなく、次の段階に進む前の対応を目指す考え方を、同社では「minus-one-day defense」としている。

AIツールの安全性とデータ・運用の主権を確保

　AIがサイバーセキュリティ基盤に不可欠なものとなる一方で、AI自体も攻撃対象になっている。同社は、ESET NeoCortexが管理された環境から逸脱したり、インターネット上で「暴走」したりしないよう、厳格な安全対策の下で動作する設計を採用している。

　具体的には、動作を制限したサンドボックス、読み取り専用ツール、継続的な監視、利用量とトークン数の明確な上限設定、キルスイッチ、重要な対応を判断する際の専門家による監督を組み合わせている。

　ESET NeoCortexは、ESET独自のインフラ上で開発・運用されており、機密性の高いセキュリティデータとモデルの運用をESETの管理下に置くことで、外部のAIプロバイダーへの依存を軽減する。