「プロフェッショナル」とは、一体どのような人のことをいうのでしょうか。

その仕事でお金を稼いでいる人。誰にも真似できない高度な技術や知識を持つ人。あるいは、自分の仕事に誇りと責任を持っている人――。私たちはさまざまな基準で「プロ」を語ります。

しかしドクターは、プロの本質は「何ができるか」ではなく、「何をやらないか」にあるといいます。

そのことを考えるうえで、今回取り上げるのが、生成AIをめぐるサイバーセキュリティの問題です。高度なAIが、これまで発見されていなかったOSの脆弱性を次々と見つけられるようになったとき、その能力をどこまで使い、どこまで公開してよいのでしょうか。

そして、最新技術を「導入すること」と、本当に社会や国民の安全を「守ること」は、果たして同じなのでしょうか。

技術が進歩し、人間に委ねられることが急速に増えている時代だからこそ、問われる「やってはいけないこと」の境界線。

本講義では、AnthropicとMythosをめぐる問題を題材に、AI時代におけるサイバーセキュリティの危機、そして政治家や官僚を含め、あらゆる仕事人に求められる「プロフェッショナルの本質」について掘り下げていきます。

Vol.1 プロとは「何をやらないか」で決まる

----今日は「プロとは何か？」についてお聞きしたいと思います。

苫米地　それならちょうどいい話があるよ。プロならやってはいけないことをやってしまった人たちが最近出てきたから、その話をすればわかるんじゃない？

　それはAnthropicという会社の人たちね。Claude・Mythosを作った人たちだけど、あれこそ、プロとして間違ったことをしているよ。

----世界にサイバー危機を撒き散らしたということですか？

苫米地　そういう言い方もあるといえばあるけど、正確に言えば、彼らは本質的な間違いを犯してしまったのね。

　よく「プロとは何か？」という話があるでしょ？　多くの人はすぐに、「それでお金を稼ぐことだ」、とか言ってしまうけど、何かしてお金を稼ぐのがプロであるなら、アルバイトはどう？　時給でお金を貰ってるよ。あれをプロというの？

　お金を貰うかどうかはプロとは何の関係もない。ほかにも、高い技術を持っているのがプロだとか、自分の仕事に誇りを持っているのがプロだとか、いろいろあるけど、そういうのも仕事をする上では当たり前のことだからね、プロの条件の一つではあるけど、本質的なものではないよ。

　じゃあ、なにか、というと、実は「何ができるか」ではなくて、「何をやらないか」なのね。

----プロならばやってはいけないことがあるんですね。

苫米地　自分の仕事に対して責任を持つ、とはそういうことでしょ？　だからこそ、自分の仕事を誇れるわけだ。そういうプロの視点で見ると今回、Anthropicがやったことはまったく褒められたもんじゃないんだよ。そもそもMythosが注目されたのは、「40何年間、誰も見つけることができなかった古いOSの脆弱性を見つけました」といった話からだったよね。だけど、古いOSの脆弱性なんて俺たち専門家ならいくつも見つけている。見つけているけど、そんなものは発表しないの。なぜなら、古いOSはもう誰も使っていないから。それに昔のOSなんて、インターネットに接続する前提じゃないからセキュリティなんてザルだよ（笑）。だから本当にいっぱいあるんだよ、バグは。もちろん、商用で、いまでも使っているOSであれば、CERTに報告するけど、使ってない過去のOSのバグなんて誰が報告するの？　報告しなければそれはゼロデイになるわけで、Mythosが見つけたゼロデイってそういうものもいっぱいあるわけ。なのにAnthropicは大騒ぎしたのね。

----実は大した話じゃなかったってことですか!?

苫米地　俺たちから見れば「何を言ってるの？」という程度の話でしかない。古いOSのヴァルネラビリティ（脆弱性）をたくさん見つけたというだけ。Linuxなんかの古いバージョンには報告されていないバグはいくらでもあるけど、わざわざ発表しないのは、もう誰も使っていないから。それを、さも大層な話にしたのはAnthropicの営業力。今回の話で凄いのは、「40何年間、誰も発見できなかったバグをあっという間にウチのMythosは見つけました！」、という「言い方」のほうだろうね（笑）。

----つまり、ただの人騒がせだった、ということですか？

苫米地　実際話題になったでしょ（笑）。公開して、すぐに止めて、限定解除になって、いまは、その限定解除の枠をお金次第でジワジワ増やしている、ということだよ。この、ジワジワ増やすやり方が、余計に枯渇感を煽っていて、とてもお上手だよ（笑）。ただし、そこに至るまでの話として、「やっちゃいけないことをやっていませんか？　Anthropicさん」、ということなのね。

　つまり、Mythosが、「こんな凄いバグを見つけました」という場合、いきなり、走ってるマシンにガンガン入っていって、「それでハッキングしました！」じゃないのね。それだったら百歩譲ってまだわかるよね、攻撃型AIとして優秀だよ。

　だけど、真相はそうではなくて、ソースコードか、アセンブラなのか、それを読ませて、「そこから見つけました」、というのが彼らが言ってる「ヴァルネラビリティ（脆弱性）を見つけました」なんだよ。しかも、見つけるためには、いろんなOSの脆弱性の発見の仕方や過去の例を大量に学習させないといけないわけ。そうやって強くなっていってるのね。でも、こういう知識を生成AIに、それも商用の生成AIに教えていいと思う？　もちろん、LLMは自分でコードを生成するから、コードそのものの脆弱性を自分で発見できるように教える必要はあるけど、OSの脆弱性やその攻撃法を学ばせるのは倫理ルール違反。それはアリだと思う？

----いえ、危険だと思います。

（Vol.2に続く）

※続きは、入会してお読みください→入会はこちらから