Tenable Research による AI の活用方法

Tenable Research は、脆弱性の開示ペースの加速と高品質なエクスポージャーインテリジェンスへの需要に対応するため、Tenable One 全体のすべてのセンサーを対象に、AI 支援型のワークフローを導入しています。この取り組みは、次の 3 つの領域で価値を提供することを目指しています。サイバーエクスポージャーへの高品質なカバレッジと文脈を踏まえたインテリジェンスの提供を迅速化すること、顧客の優先順位付けと修復を支援する新機能を提供すること、そして、サイバーエクスポージャー管理の将来を形作る新たな脅威、アタックサーフェス、技術を明らかにする最先端の研究を行うことです。

Tenable Research (Tenable のプラグインフィードを支える検出機能と脆弱性コンテンツを構築するチーム) は、コンテンツ開発プロセス全体で AI を活用しています。これはリサーチエンジニア向けの用途であり、検出コンテンツの構築を支援するために Tenable の開発環境内で実行されます。使用される AI モデルは、顧客が受け取るプラグインフィード、監査ファイル、その他のコンテンツにパッケージ化されたり、その一部として配布されたりすることはありません。

リサーチエンジニア拡張コンテンツライティング

個々のリサーチエンジニアは、主に複雑な開発タスクにおいて、ローカル環境で AI ツールを使用し、手作業によるコンテンツ開発、自動化されたフィード開発、およびサイバーエクスポージャーインテリジェンスの収集と分析を迅速化しています。Tenable Research は、こうした業務をより多く担えるよう、新たな AI スキル、エージェント、ツールの開発とチーム全体での共有を継続しています。

エージェントコンテンツライター

Tenable Research は、エージェントのコンテンツライティングスキルを開発パイプラインに組み込んでいます。このモデルでは、AI エージェントが初期段階のコンテンツ開発の大部分を処理し、リサーチエンジニアがレビュー、承認、リリースを担当します。これは、品質と正確性に関するリサーチエンジニアの判断に取って代わるものではなく、手作業によるコンテンツライティングを補完するものです。

ベンダーのアドバイザリを実行可能な検出コンテンツに変換することは、必ずしも容易ではありません。ベンダーのアドバイザリには、人間による解釈が必要な注意事項や回避策が含まれていることが多いためです。Tenable Research は、AI エージェントとエージェント型の判定モデルを活用して、ベンダーの意図について高精度なコンセンサスを形成し、こうした手法なしでは実現できない範囲のプラグインによる検出を自動化しています。

脆弱性構成カバレッジのごく一部は、人間によるレビューなしでリリースされます。ただし、以下の両方の条件を満たす場合に限られます。

コンテンツが、承認済みのベンダー設定コマンドまたは正規表現を定めた厳格な許可リストに一致していること。これにより、悪意のあるコマンドの生成を防ぎます。すべてのコマンドは、いかなる設定も変更できない、読み取り専用の「show」コマンドに厳密に限定されています。
複数の独立したエージェント型の判定モデルが、非常に高い確信度で結果に同意していること。

いずれかの条件を満たさない場合、コンテンツはリリース前に人間によるレビュー担当者に送られます。

多言語検出評価

Tenable Research は、AI を活用して AI Exposure 検出モデルを他の言語に拡張し、評価セットとトレーニングセットに対して自動翻訳パイプラインを実行しています。これにより、Tenable は、複数の言語とより幅広いセキュリティユースケースにわたって高い忠実度で検出を構築できます。

AI エージェントツールのリスク分類

組織が Microsoft 365 Copilot Studio などのプラットフォームを通じて AI エージェントをエンタープライズデータに接続する中、Tenable Research は AI を活用して、利用可能な各エージェントツールがもたらすセキュリティリスクを評価します。1 つの AI エージェントは、数百のコネクタ (Salesforce、OneDrive、Dataverse など) を呼び出すことができ、各コネクタは、行の更新、ファイルの取得、アイテムの削除など、多くの個別のアクションを公開します。自律型エージェントが実行する際にどのアクションがリスクを伴うかを判断する作業は、専門的な判断を大量に必要とするため、AI 支援レビューに適しています。

リサーチエンジニアによる監督を維持するため、複数のガードレールが設けられています。

Governed question lifecycle (管理対象質問のライフサイクル): 新しいリスク質問は評価状態で開始され、リサーチエンジニアが本番環境にプロモーションした後にのみ、実際のリスクスコアに影響します。
Evaluation against a human-labeled golden dataset (人間がラベル付けしたゴールデンデータセットに対する評価): プロモーション前に、パイプラインは、人間の専門家によって正しいリスクステータスが設定された厳選された一連のアクションに対して分類を再実行し、提案された変更の正確な影響と、その変更がどのアクションに影響するかを正確に報告します。
Human review and override (人間によるレビューとオーバーライド): リサーチエンジニアは、すべてのアクション、その AI 生成サマリー、その分類を調べることができ、自動化された結果をオーバーライドできます。人間の判断は常にモデルよりも優先されるため、リサーチエンジニアがリスクがないとマークしたアクションは、計算されたスコアに関係なく除外され、その逆も同様です。
Coverage and redundancy analysis (カバレッジと冗長性の分析): ツールは、各質問が検出するリスクのあるアクションの数を報告し、リサーチエンジニアが質問セットを高いシグナルで冗長性のない状態に保つのに役立ちます。

開発パイプラインワークフロー

Tenable Research のすべてのコンテンツは、新しいプラグインや変更されたプラグインの品質を自動的にテストする CI/CD パイプラインを通過し、さらに、基盤となる NASL コードをフィードにマージして Tenable 製品で出荷する前に、複数のレビュー担当者が承認する必要があるピアレビュープロセスを経ます。1 つの例外は、上記のエージェントコンテンツライターで説明した、脆弱性に関連する設定カバレッジの限定的なエージェント型の判定経路です。本ドキュメントの残りの部分で説明しているものと同様に、このパイプラインで使用される AI モデルは、顧客の環境に届くコンテンツの一部としてパッケージ化されたり、配布されたりすることはありません。

Tenable のプラグイン QA/QC プロセスの詳細については、「Customer Outreach on Tenable Plugin QA/QC Processes (Tenable のプラグイン QA/QC プロセスに関する顧客向けの案内)」を参照してください。