Wallarm の新しいレポートによると、AI と機械学習が API エクスプロイトの新たな戦場となっている
調査結果では、NVIDIAのTriton推論サーバーなどの新しいAI関連の開発およびインフラストラクチャ製品におけるAPIの脆弱性の急増と、メルセデスベンツなどの大手ブランドに影響を与えるAPIインシデントが明らかになった。
エンドツーエンドの API およびアプリ セキュリティのリーディング カンパニーである Wallarm は本日、第 1 四半期の API ThreatStats™2024 レポートのリリースを発表しました。四半期レポートでは、NVIDIA の Triton Inference Server、ZenML、Hail などの AI インフラストラクチャ製品の API を標的とする高度なサイバー脅威が大幅に増加していることが明らかになっています。また、世界最大手の企業における注目すべき API 侵害と、急速に進化する攻撃から身を守るための高度でプロアクティブなサイバー セキュリティ対策の重要性が高まっていることも強調されています。
AIの隠れた欠陥：APIが真の脅威である理由
新しいレポートでは、特に AI/LLM 主導の機能を実装する組織が増えるにつれて、新しい AI 開発スタックに関連する API 攻撃をめぐる懸念が高まっていることが強調されています。API に依存する AI 製品やツールが増えるにつれて、新しい潜在的に重大な API セキュリティ リスクに対してますます脆弱になっています。これは、プロンプト インジェクションなどの新たな LLM 脅威に重点を置く必要があると組織が考える中、多くの組織を不意打ちする展開です。
たとえば、エアバスやグッドイヤーなど数千の一流企業が MLOps ワークフローの標準化に使用しているプラットフォームである ZenML は、重大な API の脆弱性に直面し、攻撃者が ZenML アカウントに不正アクセスできるようになりました。さらに、さまざまなワークロードにわたって AI モデルの展開と実行を標準化する NVIDIA の Triton Inference Server では、不正なパス トラバーサルを可能にする API の脆弱性が発生し、コード実行やデータ改ざんなどの結果につながる可能性があります。
最も脆弱なアプリケーションとベンダースイートは、最も広く使用されているものの一部でもあります。
今四半期のレポートのもう 1 つの焦点は、広く使用されているエンタープライズ ベンダーに対する注目度の高い API 攻撃です。実際、第 1 四半期に発見された API 脅威の 43% は、一般的なエンタープライズ アプリケーションに関連していました。これらの脅威は引き続き大手企業で重大な侵害を引き起こしており、場合によっては何百万もの機密記録が漏洩し、その一部は被害が発生するまで検出されません。
DevOps と DevTools は、攻撃者にとってもう 1 つのルートです。レポートによると、API の脆弱性は一般的に使用されている DevOps ツールに広がっており、DevOps ツールと開発フレームワークを合わせると、脆弱性の範囲の 42.6% を占めています。
API漏洩は依然として主要な脅威の一つである
メルセデス・ベンツは、従業員のGitHubトークンが流出した際に、2023年9月に始まったが2024年1月にようやく発覚した大規模なAPI漏洩を経験しました。これにより、権限のない第三者が自動車大手のGitHub Enterpriseアカウントにアクセスし、ソースコード、データベースおよびクラウドプロバイダーのキー、および内部文書が公開された可能性があります。このソースコードにアクセスできれば、攻撃者は詳細な分析を行ってセキュリティの脆弱性を特定できる可能性があります。
「AI 製品の API への依存度が高まっていることは、強みであると同時に脆弱性でもあります。これらの技術の導入スピードは、それらを保護するために設計された現在のセキュリティ対策の準備状況をはるかに上回っており、重大なリスクに対して脆弱な状態になっています。また、レポートでは、世界のトップ企業から信頼されているエンタープライズ ベンダーでさえ安全ではないことが示されています」と、GigaOm Radar レポートの API セキュリティ部門でリーダーに選ばれた Wallarm の CEO、Ivan Novikov 氏は述べています。
「最新のThreatStatsレポートは、これらのセキュリティ課題に対処する緊急性を強調し、AI主導の環境の複雑さに対処するためのロードマップをCISOに提供しています。また、急速に進化する脅威に対する防御として、積極的なサイバーセキュリティ対策を提供するWallarmのようなパートナーの必要性も強調しています」とノビコフ氏は続けます。
API および AI 関連の脆弱性が拡大していることから、あらゆる業界がこうしたリスクを十分に認識し、進化する高度な脅威から保護するための包括的なセキュリティ対策を実装する必要があることが浮き彫りになっています。バランスのとれた効果的なセキュリティ体制を実現するために、レポートでは組織に対し、API および AI セキュリティを役員会議の優先事項に昇格させ、API の脆弱性がビジネスに与える影響を伝えること、API の検出、API リーク管理、重大な脅威のリアルタイム緩和を実現する統合 API セキュリティ ソリューションに投資することを推奨しています。
第 1 四半期の API ThreatStats™2024 レポート全体をご覧になるには、https://www.wallarm.com/resources/api-threatstats-tm-report-q1-2024 にアクセスしてください。
統合型アプリおよび API セキュリティ企業である Wallarm は、クラウドネイティブ、ハイブリッドクラウド、オンプレミス環境で実行される API、Web アプリケーション、マイクロサービス、サーバーレス ワークロードに強力な保護を提供します。Wallarm は、Web アプリと API エンドポイントの包括的な検出、API ポートフォリオ全体にわたる新たな脅威からの保護、リスク管理を強化するための自動インシデント対応のために、何百ものセキュリティ チームと DevOps チームに選ばれています。Wallarm はカリフォルニア州サンフランシスコに本社を置き、Toba Capital、Y Combinator、Partech などの投資家の支援を受けています。
メディア ジョー・ヴァレンスキー PRforWallarm@bospar.com
ソースバージョンはbusinesswire.comでご覧ください: https://www.businesswire.com/news/home/20240430117297/en/
透明性は、私たちが仕事の誠実さを守り、投資家が目標と夢を実現できるよう支援し続けるための方法です。また、私たちは、調査やデータからコンテンツや個人データに関するポリシーに至るまで、その誠実さをどのように維持するかについて揺るぎない基準を持っています。
私たちの仕事のやり方や日々のビジネスの原動力について、さらに詳しくお伝えしたいと思います。
当社は、投資のプロと個人投資家の両方に、さまざまな種類の商品とサービスを販売しています。これらの商品とサービスは通常、ライセンス契約またはサブスクリプションを通じて販売されます。当社の投資管理事業では、資産ベースの手数料が発生し、これは管理資産の割合として計算されます。また、投資カンファレンスの入場券とスポンサー パッケージの両方を販売し、当社の Web サイトとニュースレターで広告を掲載しています。
当社がお客様の情報をどのように使用するかは、お客様が使用する製品やサービス、およびお客様と当社との関係によって異なります。当社は、お客様の情報を以下の目的で使用することがあります。
当社がお客様のデータをどのように取り扱い、保護しているかについて詳しくは、プライバシー センターをご覧ください。
独立性と編集の自由を維持することは、投資家の成功を支援するという当社の使命にとって不可欠です。当社は、執筆者が投資について公正かつ正確に、投資家の視点からレポートするためのプラットフォームを提供しています。また、当社は個人の意見を尊重します。個人の意見は、当社の社員の率直な考えと、当社の調査プロセスの厳密な分析を表しています。当社の執筆者は、当社が同意するかどうかにかかわらず、意見を発表することができますが、自分の研究内容を示し、事実と意見を区別し、分析が明確で、誤解を招くようなものや欺瞞的なものにならないようにします。
編集コンテンツの完全性をさらに保護するため、当社では営業チームと著者を厳密に分離し、分析や調査に対する圧力や影響を排除しています。
私たちのプロセスについて詳しく知るには、編集方針をお読みください。