はじめに：サイバーセキュリティの新たな夜明け
現代社会において、サイバーセキュリティは企業や組織、そして個人にとっても喫緊の課題となっています。日々高度化・巧妙化するサイバー攻撃に対し、防御側は常に後手に回りがちという根本的な非対称性が存在します。攻撃者はたった一つの脆弱性を見つけ出せば目的を達成できる一方、防御側はあらゆる攻撃経路を想定し、防御壁を築かなければなりません。この状況は、セキュリティ担当者に多大な負担を強いるだけでなく、人的ミスを誘発する原因ともなっています。
このような課題を背景に、Googleは2025年4月4日（現地時間）、サイバーセキュリティ分野に特化した実験的なAIモデル「Sec-Gemini v1」を発表しました。これは、Googleが開発した先進的な大規模言語モデル（LLM）であるGeminiの高度な推論能力と、最新のサイバー脅威インテリジェンスやツール群を組み合わせたものです。Sec-Gemini v1は、AIの力を活用して防御側の能力を飛躍的に向上させ、サイバーセキュリティにおける非対称性の解消を目指しています。
本ブログ記事では、このSec-Gemini v1がどのような技術であり、どのような機能を有し、サイバーセキュリティの現場にどのような変革をもたらす可能性があるのかを、詳細に解説していきます。
Sec-Gemini v1 の基盤技術：Gemini とサイバーセキュリティの融合
Sec-Gemini v1の中核を成すのは、Googleが開発した最先端のAIモデルファミリー「Gemini」です。Geminiは、テキスト、画像、音声、動画など、多様な種類の情報を同時に理解し、処理することができるマルチモーダルAIとして設計されています。その高度な推論能力、問題解決能力、そして自然言語処理能力は、様々な分野での応用が期待されています。
Sec-Gemini v1は、このGeminiの汎用的な能力を、サイバーセキュリティという専門領域に特化させる形で開発されました。具体的には、以下のような要素をGeminiに統合・学習させています。
- Google Threat Intelligence (GTI): Googleが持つ膨大な脅威インテリジェンスデータ。最新のマルウェア情報、攻撃グループの動向、脆弱性情報などが含まれます。
- Open Source Vulnerabilities (OSV) データベース: Googleがメンテナンスするオープンソースソフトウェアの脆弱性データベース。
- Mandiantの脅威インテリジェンス: Google傘下のMandiant社が持つ、高度な脅威分析能力とインシデント対応の知見に基づくインテリジェンス。
- サイバーセキュリティ関連ツール群: 脅威分析やインシデント対応を支援するための各種ツールとの連携機能。
これらのほぼリアルタイムに近いサイバーセキュリティ知識とツールをGeminiの高度なAI機能と組み合わせることで、Sec-Gemini v1は、複雑なセキュリティ課題に対して、人間だけでは到達困難なレベルの分析、洞察、対応支援を提供することが可能になります。
Sec-Gemini v1 の主要機能と性能
Sec-Gemini v1は、サイバーセキュリティ運用（SecOps）における主要なワークフローを支援するために設計されており、多岐にわたる機能を提供します。
主要な機能
インシデント根本原因分析
セキュリティインシデントが発生した際に、膨大なログデータやイベント情報を迅速に分析し、攻撃の根本原因を特定します。これにより、対応時間の短縮と再発防止策の精度向上に貢献します。
脅威分析
新たな脅威や不審なアクティビティを検知・分析します。攻撃者の戦術、技術、手順（TTPs）を理解し、組織への潜在的な影響を評価します。
脆弱性の影響評価
検出された脆弱性が、組織のシステムやデータにどのような影響を及ぼす可能性があるかを評価します。OSVデータベースなどと連携し、リスクの優先順位付けを支援します。
脅威アクターの特定と分析
Mandiantのインテリジェンスなどを活用し、観測された攻撃活動が特定の脅威アクター（攻撃グループ）によるものかを特定し、そのアクターに関する詳細情報（活動目的、使用ツール、標的など）を提供します。
自然言語による対話・操作支援
セキュリティアナリストは、自然言語（通常の話し言葉）でSec-Gemini v1に質問したり、指示を出したりすることができます。例えば、「特定のIPアドレスからの不審な通信を調査して」「このアラートの概要と推奨される対応策を教えて」といった対話を通じて、複雑なクエリの作成や情報検索の手間を大幅に削減します。
ベンチマークにおける高い性能
Googleによると、Sec-Gemini v1は、主要なサイバーセキュリティ関連のベンチマークテストにおいて、他の既存AIモデルを凌駕する性能を示しています。
| ベンチマーク名 | 概要 | Sec-Gemini v1 の性能 |
|---|---|---|
| CTI-MCQ (Threat Intelligence Multiple Choice Question) | 脅威インテリジェンスに関する知識や理解度を測る主要なベンチマーク。 | 他モデルを11%以上上回る性能 |
| CTI-RCM (CTI-Root Cause Mapping) | 脆弱性の説明文のニュアンスを理解し、根本原因となる脆弱性を特定・分類する能力を評価するベンチマーク。 | 他モデルを10.5%以上上回る性能 |
これらの結果は、Sec-Gemini v1が、単に情報を検索・要約するだけでなく、サイバーセキュリティ特有の複雑な文脈やニュアンスを深く理解し、高度な分析タスクを実行できる能力を持っていることを示唆しています。
具体的な脅威事例への対応力
ベンチマークだけでなく、実際の脅威事例に対する理解力もSec-Gemini v1の強みです。Googleが行った実験では、例えば「Salt Typhoon」と呼ばれる、中国に関連するとされる脅威アクターグループについて質問した際、Sec-Gemini v1は以下のような対応を示しました。
Sec-Gemini v1 による Salt Typhoon 分析例
- 脅威アクターとしてSalt Typhoonを正確に識別。
- Mandiantのインテリジェンスに基づき、Salt Typhoonの包括的な説明（活動目的、標的、手法など）を提供。
- Salt Typhoonが悪用している既知の脆弱性の詳細情報を提示。
- 脆弱性情報に、Salt Typhoonという脅威アクターのコンテキスト（文脈）を付加して出力。
このような分析能力により、セキュリティアナリストは、特定の脆弱性やアラートが、より大きな脅威キャンペーンの一部である可能性や、特定の攻撃グループに関連するリスクを迅速に理解し、適切な対応策を講じることが可能になります。
Sec-Gemini v1 のユースケースと期待されるメリット
Sec-Gemini v1は、サイバーセキュリティの現場における様々な課題を解決し、防御能力を向上させるための多様なユースケースが考えられます。
SOCアナリストの作業負荷軽減
膨大なアラートのトリアージ、ログ分析、インシデント調査といった定型業務や時間のかかる作業をAIが支援・自動化することで、アナリストはより高度な分析や戦略的な業務に集中できます。
インシデント対応の迅速化・効率化
根本原因の特定、影響範囲の評価、適切な対応策の提案などをAIが迅速に行うことで、インシデント解決までの時間（MTTR）を大幅に短縮できます。
脅威インテリジェンスの活用促進
最新の脅威情報を自然言語で問い合わせたり、自社環境への影響を分析させたりすることで、専門家でなくとも脅威インテリジェンスを容易に活用できるようになります。
プロアクティブな脅威ハンティング支援
AIが不審な兆候や未知の脅威パターンを検出し、アナリストに提示することで、受動的な対応だけでなく、能動的な脅威の発見（脅威ハンティング）を支援します。
スキルギャップの緩和
経験の浅いアナリストでも、AIアシスタントの支援を受けることで、高度な分析や調査を行うことが可能になり、組織全体のセキュリティレベルの底上げに貢献します。
レポート作成・報告業務の効率化
インシデントの概要、分析結果、対応状況などをAIが自動で要約・レポート化することで、報告業務にかかる時間を削減します。
これらのメリットにより、Sec-Gemini v1は、セキュリティチームがより効率的かつ効果的に業務を遂行し、巧妙化するサイバー攻撃に対してより強固な防御体制を構築することを支援します。これは、人材不足やスキルギャップといった、多くの組織が抱えるセキュリティ課題に対する有力な解決策となる可能性を秘めています。
Sec-Gemini v1 と Google Cloud セキュリティ製品群
Sec-Gemini v1は、単独のAIモデルとして存在するだけでなく、Google Cloudが提供する様々なセキュリティ製品やサービスに統合され、その能力を発揮していくことが想定されます。すでにGoogle Cloudでは、Geminiを活用したAI機能がセキュリティ製品に導入され始めており、Sec-Gemini v1はこの流れをさらに加速させるものと考えられます。
以下は、Gemini（および将来的にはSec-Gemini v1）が統合される、または統合が期待される主要なGoogle Cloudセキュリティ製品の例です。
Chronicle Security Operations (旧 Chronicle SIEM/SOAR)
統合セキュリティ運用プラットフォームであるChronicle Security Operationsでは、Geminiがすでに活用されています（Gemini in Security Operations）。
- 自然言語検索: 「過去24時間に特定のサーバーで発生した認証失敗イベントを表示して」といった自然言語でのデータ検索が可能。
- ケース要約: 複雑なインシデントケースの内容をAIが自動で要約し、状況把握を支援。
- 調査支援と推奨アクション: 調査のコンテキストに基づいて、次に取るべきアクション（特定のクエリの実行、関連情報の検索など）をAIが提案。
- 検出ルールの自動生成: 脅威のパターンに基づいて、検出ルール（YARA-Lなど）の作成をAIが支援。
- プレイブック構築支援: インシデント対応の自動化プレイブックの作成をAIが支援。
Sec-Gemini v1の統合により、これらの機能がさらに高度化され、脅威分析や根本原因特定能力が強化されることが期待されます。
Security Command Center (SCC)
Google Cloudのリスク管理と脅威検出の中心となるSecurity Command Centerでも、AIの活用が進んでいます（Duet AI in Security Command Center、現在はGeminiにブランド統合）。
- 脅威の要約と影響分析: 検出された脅威（脆弱性、設定ミス、不審なアクティビティなど）の概要、影響を受ける可能性のある資産、潜在的な攻撃経路などをAIが要約して提示。
- 推奨される修復策: 検出された問題に対する具体的な修復手順やベストプラクティスをAIが提案。
- 自然言語による検索と対話: 「本番環境にある重大な脆弱性一覧を表示して」といった自然言語での問い合わせに対応。
- 攻撃経路の可視化: 潜在的な攻撃者がどのように組織の資産にアクセスできるかをAIが分析し、可視化。
特に、2024年3月に発表されたSecurity Command Center Enterpriseでは、Mandiantの脅威インテリジェンスやSOAR機能との統合が強化されており、Sec-Gemini v1のような高度なAIモデルとの連携により、マルチクラウド環境全体のリスク管理とプロアクティブな脅威対応能力がさらに向上すると考えられます。
Mandiant Threat Intelligence および Mandiant Hunt
Sec-Gemini v1は、Mandiantの脅威インテリジェンスと深く統合されています。これにより、最新かつ詳細な脅威アクター情報、TTPs、IoC（侵害指標）などを活用した分析が可能になります。
また、Mandiantのエキスパートによる脅威ハンティングサービスであるMandiant Hunt for Chronicleにおいても、AI（Gemini/Sec-Gemini）が活用され、ハンティングプロセスの効率化、未知の脅威の発見能力向上が期待されます。アナリストはAIと協働し、より広範なデータを迅速に分析できるようになります。
このように、Sec-Gemini v1はGoogle Cloudのセキュリティエコシステム全体に浸透し、各製品のインテリジェンスレベルを引き上げることで、ユーザーに対してより統合的でインテリジェントなセキュリティ体験を提供することを目指しています。
Sec-Gemini v1 の提供形態と今後の展望
実験的モデルとしての提供
現時点（2025年4月）において、Sec-Gemini v1は実験的（Experimental）なAIモデルとして位置づけられています。Googleは、このモデルを直ちに商用製品として広く提供するのではなく、まずはサイバーセキュリティコミュニティとの連携を重視しています。
具体的には、研究目的に限り、特定の組織、研究機関、セキュリティ専門家、NGO（非政府組織）などを対象に、無償でSec-Gemini v1へのアクセスを提供するとしています。Googleはこのアプローチを通じて、以下のような目的を達成しようとしています。
- 多様な環境でのテストとフィードバック収集によるモデルの改善。
- 研究者や専門家による活用を通じた、新たなユースケースや応用方法の発見。
- サイバーセキュリティコミュニティ全体での知見共有と連携強化。
- AIを活用した防御技術全体の底上げへの貢献。
Googleは、この協力的なアプローチが、AIをサイバーセキュリティの最前線で効果的に活用し、防御側に有利な状況を作り出すために不可欠であると考えています。早期アクセスに関心のある組織や個人は、Googleが設けている申請フォームを通じて申し込みを行うことができます。
今後の展望と課題
Sec-Gemini v1は、サイバーセキュリティ分野におけるAI活用の大きな可能性を示すものです。今後、以下のような展開が期待されます。
- 製品への統合深化: 実験段階を経て、Sec-Gemini v1の技術がChronicle Security OperationsやSecurity Command CenterなどのGoogle Cloud製品にさらに深く統合され、一般提供される機能として利用可能になることが期待されます。
- 機能拡張: 現在発表されている機能に加え、セキュリティポリシーの自動生成・検証、より高度な自動修復機能、サプライチェーンリスク分析など、対応可能なタスクがさらに拡充される可能性があります。
- 継続的なモデル改善: 新たな脅威動向や脆弱性情報を学習し続けることで、モデルの精度と対応能力が継続的に向上していくでしょう。
- エコシステム連携: Google Cloud製品だけでなく、サードパーティのセキュリティツールとの連携も強化され、より広範なセキュリティエコシステム全体でのAI活用が進む可能性があります。
一方で、AIをセキュリティ分野で活用する上での課題も存在します。
考慮すべき課題
- データのプライバシーとセキュリティ: 機密性の高いセキュリティログやインシデント情報をAIモデルに学習・分析させる際の、データ保護とプライバシー確保。
- モデルの精度と信頼性: AIが誤った分析結果や推奨策を提示する可能性（ハルシネーション）と、その影響。特にゼロデイ攻撃など未知の脅威への対応能力。
- バイアスと公平性: 学習データに含まれるバイアスが、AIの判断に影響を与える可能性。
- 運用体制と人材育成: AIツールを効果的に活用するための、セキュリティチームの運用プロセス見直しやスキルアップの必要性。
- AIに対する攻撃: AIモデル自体を標的とした攻撃（敵対的攻撃など）への対策。
Googleをはじめとするテクノロジー企業は、これらの課題に対処しながら、AI技術の責任ある開発と利用を進めていく必要があります。
まとめ：AIが拓くサイバー防御の未来
Googleが発表したSec-Gemini v1は、最先端のAI技術であるGeminiをサイバーセキュリティ領域に特化させ、脅威インテリジェンスや各種ツールと統合することで、これまでにない高度な分析能力と運用支援を実現しようとする意欲的な試みです。
インシデントの根本原因分析、脅威分析、脆弱性の影響評価といった主要なSecOpsワークフローにおいて、Sec-Gemini v1は他のAIモデルを凌駕する性能を示しており、セキュリティアナリストの作業負荷軽減、インシデント対応の迅速化、スキルギャップの緩和など、多くのメリットをもたらすことが期待されます。
現在は実験的なモデルとして、研究目的での限定的な提供に留まっていますが、将来的にはGoogle Cloudのセキュリティ製品群に深く統合され、サイバー防御のあり方を大きく変える可能性を秘めています。Chronicle Security OperationsやSecurity Command Centerといったプラットフォームが、Sec-Gemini v1のような強力なAIエンジンを搭載することで、企業や組織は、日々進化するサイバー脅威に対して、よりインテリジェントかつプロアクティブな防御体制を構築できるようになるでしょう。
もちろん、AI活用に伴う課題にも目を向け、データのプライバシー保護、モデルの信頼性確保、適切な運用体制の構築などを慎重に進める必要があります。しかし、Sec-Gemini v1の登場は、長年続いてきた攻撃者優位の状況を打破し、防御側にバランスを取り戻すための、重要な一歩となることは間違いありません。AIと人間のセキュリティ専門家が協働する新しい時代の幕開けとして、Sec-Gemini v1とその進化に、今後も注目していく必要があるでしょう。