機密情報を外部生成AIに送らずにAI分析　CCSIが独自AI調査基盤「CCSI-DFIR」とローカルLLMを活用し、WordPressフォレンジック調査を刷新

Cross&Crown合同会社のグループ会社であるクロスアンドクラウンセキュリティインテリジェンス合同会社（本社：東京都港区、以下CCSI）は、WordPressフォレンジック調査サービスを刷新すると発表した。刷新にあたっては、同社が独自に開発・検証を進めてきたAIフォレンジック調査基盤「CCSI-DFIR」と、ローカル大規模言語モデル（LLM）を活用する。最大の特長は、顧客の機密情報を外部の生成AIサービスに送信しないことだ。インターネットから完全に切り離した環境でも、AIによる分析を実施できる。新たな調査体制を整えるため、ローカルLLMを稼働させる専用のAI計算環境への設備投資も実施した。

調査現場が抱える「機密性」と「AIの制御」という課題

企業のWebサイトを狙うサイバー攻撃は複雑化している。Webページの改ざんにとどまらず、不正プログラムの設置、管理者アカウントの悪用、情報窃取などにも及ぶ。被害を受けた企業は、サイトの復旧だけでは済まない。侵入経路の究明、被害範囲の確認、再発防止策の策定、取引先や関係機関への説明なども求められる。ところがフォレンジック調査では、膨大なアクセスログ、プログラム、データベースなどを分析する必要があり、高度な専門性と多くの時間を要する。

こうした分析を支援する有力な技術が生成AIだ。ただし、一般的なクラウド型の生成AIサービスでは、分析対象の情報を外部サービスへ送信しなければならない。攻撃の証拠には、個人情報、認証情報、非公開のソースコード、企業内部のシステム情報などが含まれることもある。そのため、機密性の観点から外部AIサービスを利用しにくいケースもある。さらに近年は、AIエージェントによる想定外の操作や外部通信のリスクも注目されている。AIを自社環境で稼働させるだけでなく、その動作を適切に制御することも重要な課題となっている。

継続的な研究開発から生まれた独自AI調査基盤「CCSI-DFIR」

CCSI-DFIRは、CCSIが継続的に開発・改良を進めてきた独自のAIフォレンジック調査基盤だ。Webサイトやサーバーに残されたさまざまな情報を分析し、不正アクセスの痕跡、侵入経路、被害範囲などの解明を支援する。重視しているのは、不審なプログラムを検出するだけでなく、「サイバー攻撃によって何が起きたのか」を証拠に基づいて明らかにすることだ。AIの分析結果をそのまま結論とはせず、確認できた事実、推測、現時点では判明していない事項を区別する。そのうえで、セキュリティ専門家による判断と組み合わせる。

ローカルLLMの活用による3つの特長

完全オフライン環境でもAI分析が可能

大規模言語モデルは、CCSIが管理する専用設備上で稼働させる。外部生成AIサービスへの接続は必要なく、インターネットから完全に切り離した環境でもAIによる分析を実施できる。顧客から提供されたサーバーログ、データベース、ソースコードなども、外部生成AIに送信せずに処理できる。完全オフラインで運用すれば、分析環境からインターネットへの直接的な通信経路を排除できるため、機密情報の外部流出リスクを低減できる。また、外部生成AIサービスの障害や仕様変更、APIの利用制限などに左右されず、調査業務を継続できる。

AIを無条件に信頼しない安全設計

ローカルLLMを利用する場合でも、AIモデルが常に指示どおりに動作するとは限らない。特にAIが自ら調査を進めるエージェント型のシステムでは、意図しない操作や不適切な外部通信などのリスクも考慮する必要がある。そこでCCSIは、AIが実行できる操作や権限を制限し、調査対象データの意図しない変更や不適切な処理を防ぐことを重視している。「AIの能力を活用すること」と「AIに自由な操作権限を与えること」を明確に区別し、AIの判断に依存しない安全対策を組み合わせる設計思想を採用した。

大量データの分析と反復的な調査を効率化

ローカルLLMは、プログラムの解析、アクセス記録の分析、攻撃の時系列整理などを支援する。これにより、セキュリティ専門家がより高度な調査や判断に集中できる環境を目指す。AI環境は自社で管理するため、外部生成AIサービスのAPI利用料金や利用回数制限に依存しない。追加の証拠に基づく反復的な分析にも柔軟に対応できる。

4,500件超の復旧実績を土台に、中小企業も利用しやすいサービスへ

CCSIが運営する「WebRepair」は、10年以上にわたりWordPressを中心としたWebサイトの改ざん・ハッキング被害に対応してきた。累計の復旧実績は4,500件を超える。今回の刷新では、この実務経験に、CCSI-DFIRとローカルLLMの分析能力を融合させ、調査体制をさらに強化する。調査には国家資格である情報処理安全確保支援士（登録セキスペ）が関与し、最終的な調査判断と報告はセキュリティ専門家が実施する。技術的な原因究明にとどまらず、経営層や取引先への説明、サイバー保険の請求、警察への被害届などに必要となる証拠資料や調査報告書の作成まで支援する。

本格的なフォレンジック調査は、高度な専門知識と多くの調査工数を必要とする。そのため、中小企業にとっては費用面の負担が大きい場合がある。CCSIは、WordPressに特化して培ってきた知見と、独自AI技術による調査業務の効率化を組み合わせ、専門的なフォレンジック調査を利用しやすい価格で提供することを目指す。料金は50万円（税別）からで、調査対象や被害状況に応じて個別に見積もる。証拠保全、侵入経路調査、被害範囲の確認、調査報告書の作成に加え、Webサイトの復旧や再発防止策の実施までワンストップで対応する。サービスの概要は以下のとおり。