わたしにPHPの脆弱性について詳しく説明する能力は、残念ながらありません。
でも、長年この業界のすみっこでほそぼそと暮らしてきたわたしとしては、今回のニュースを見て、思うことがありました。
今朝も「サンデージャポン」で取り上げられていて、政府関係者や業界のトップの方々がコメントを出していました。とても参考になりました。
特に、
AIは攻撃から防御することよりも、脆弱性を見つけて攻撃することのほうが得意である、というのは「そうなのか・・・」と思いました。
そこで、あらためて思ったことがあります。
プログラムに脆弱性が見つかることは、決して珍しいことではない。
もちろん、脆弱性がないに越したことはありません。プログラムを作る側も、できる限り不具合や問題を見つけ、修正するためにテストを重ねています。
それでも、すべての問題を最初から見つけ出すことは、とても難しいのです。
時々、お客様にプログラムのバグや脆弱性について説明すると、
「なんでちゃんと作らないの？」
「ちゃんとテストしていないの？」
と言われることがあります。
プログラムのアップデートが頻繁にあることや、「パッチを当てる」という話をすると、
「それって、未完成の製品を使わされていたということ？」
「不良品だったの？」
と思われてしまうこともあります。
新品なのに電球が切れる。使ってすぐ引き出しが開かなくなる。長く歩いたら靴のかかとがはがれる。
そうした身近な製品の不具合と同じ感覚で、修正版が出るということは、もともと不良品だったのかも、と受け取られてしまうのかもしれません。
でも、プログラムの脆弱性は、少し事情が違います。
プログラムは、作って終わりではありません。使われる環境が変わったり、新しい攻撃方法が見つかったり、これまで想定していなかった問題が発見されたりします。
開発した時点では見つけられなかった弱点が、あとから明らかになることもあるのです。
だからこそ、脆弱性が見つかったら修正し、その修正版を適用する。
これは、最初から不良品を売っていたという話とは、必ずしも同じではありません。
もちろん、開発時の確認不足や、対応の遅れが問題になるケースもあるでしょう。脆弱性が見つかったからといって、何でも仕方がないと済ませていいわけではありません。
それでも、修正版が出ること自体を、悪いことだと思わないでほしいのです。
むしろ、問題が見つかり、それを修正する仕組みがあり、利用する側もきちんと更新できるのは制作側の誠意だと思います。
AIの進歩によって、脆弱性を見つけて悪用する技術も進んでいくのかなと思うと暗い気持ちになりますが、作る側だけでなく、使う側にも、更新を続けることがますます求められるのだと思います。
修正版が公開されたら、面倒がらずに適用する。
そして、「不良品なんじゃないか」と思わないでほしい。
対応することを面倒だなと思っていた自分への自戒も含めて、改めて最新版を使う大切さを感じました。
Follow me!
