【エンジニアトレンドマガジン】マルウェア解析×LLM, Gemini CLI, TypeScript, 開発民主化

マルウェア解析の課題にLLMはどう挑むのか──サイバーディフェンス研究所・中島氏に聞く現在地

サイバーディフェンス研究所 インテリジェンスグループ テックリードの中島将太氏（@PINKSAWTOOTH）は、マルウェア解析におけるAI活用の可能性について、デモンストレーションを交えて語った。解析では、主にインシデントハンドラー／SOCオペレーターやスレットリサーチャーが、マルウェアの目的や手法、攻撃者の特定といった情報を導き出す。

解析のアウトプットは、機能の解明や特定マルウェアの挙動把握、脅威アクターのアトリビューション、検知ルールの作成などがある。Google Threat IntelligenceのようなAIサービスは、サンドボックスの出力を要約したり、スクリプトの内容を解釈したりできる。

従来のManual Code Reversingでは、関数名や引数名を復元できないなどの課題があり、どこから読み解くべきかの判断が難しい。一方LLMを使うと、名前から大まかな処理の意図を推測することなどが可能となる。現状のLLMには、専門知識の抽出の難しさや難読化・暗号化されたコードの解析、セキュリティ分野特有の情報制約などの課題も残るが、中島氏は今後の進化に期待を寄せた。