AI脅威ハンティング：機械知能がハントをどう変えるか

脅威ハンティングには居心地の悪い上限があります。誰かにそれを行う時間があるときにしか成立しない、という上限です。

アナリストがアラートのキューと進行中の調査に埋もれていると、プロアクティブなハンティングは後回しにされます。そこに生まれるのが滞留時間、つまり攻撃者がアクセスを確立してからセキュリティチームがそれを見つけるまでの空白です。IBMの2026年データ侵害のコストに関する調査によれば、攻撃者や第三者からの通知ではなく自ら侵害を検知した組織でも、特定までの平均時間は168日でした。ハンティングが常に後回しにされている組織では、この期間はさらに延びます。

AI脅威ハンティングは、この制約に正面から取り組みます。機械学習、行動分析、自然言語インターフェースを大規模なデータセットに適用することで、調査サイクルのたびに専任のアナリスト工数を割かなくても、プロアクティブなハンティングを続けられるようにします。本稿では、AIが脅威ハンティングのワークフローをどう変えるのか、何が得意で、どこに限界があり、実務で効果的な導入とはどのようなものかを見ていきます。

脅威ハンティングとは何か、そして手作業ではどこで行き詰まるのか

脅威ハンティングは仮説駆動のプロセスです。アナリストはまず問いを立てます。「見慣れない外部IPと通信しているホストはないか」「過去30日のアイデンティティログに認証情報悪用の兆候はないか」といった問いです。そしてテレメトリを調べ、その仮説を裏づけるか否定するかを確かめます。

このプロセスは価値がある一方で、資源を多く消費します。アナリストは複数のソースからデータを集め、正規化し、SIEMやデータ基盤が対応する言語でクエリを書き、多くの場合ノイズの多い結果を解釈しなければなりません。一度のハントには、データ量、ログのカバレッジ、アナリストの経験に応じて数時間から数日かかることもあります。

もう一つの制約は範囲です。手作業のハントは、アナリストが探そうと思いついたものに縛られます。WMIを使ったラテラルムーブメントや、信頼されたシステムプロセスを経由した認証情報の窃取といった特定の攻撃手法を仮説が想定していなければ、ハントはそれを浮かび上がらせません。ディテクションエンジニアリングと脅威ハンティングが補完的な営みである理由はここにあります。検知は書かれたルールで既知のパターンを押さえ、ハンティングは未知を追いかけます。どちらも効果を出すにはアナリストの時間を要し、そしてほとんどのチームにはその時間が足りていません。

AIは脅威ハンティングのワークフローをどう変えるか

AI脅威ハンティングは、仮説駆動というモデルそのものを置き換えるものではありません。変わるのは、そのモデルの中でハンターが何をどれだけ速く成し遂げられるか、です。

AIの支援によって、いくつかの能力が大きく変わります。

行動のベースライン化が、定期的なものから継続的なものになります。 ユーザー、デバイス、アプリケーションごとに活動パターンを追い、正常な振る舞いのプロファイルを維持するAIは、異常のしきい値をあらかじめすべて定義しなくても逸脱を浮かび上がらせられます。日常的に50〜100件だったユーザーが1時間で3,000件のファイルにアクセスすれば、そのしきい値のルールが書かれていたからではなく、確立されたベースラインから外れているという理由で検出されます。UEBAツールは長年この能力を提供してきました。現代のプラットフォームはそれをハンティングと調査のワークフローに直接組み込むため、誰もハントを実行していないあいだもベースラインは常に動いています。

自然言語クエリが、クエリ作成というボトルネックを緩めます。 アナリストは平易な言葉で問いかけます。「このサブネットから、承認リストにない外部アドレスへの過去30日間の外向き接続をすべて見せて」といった具合です。システムが裏側のクエリを生成して実行します。複雑なクエリを書くためのスキルの敷居が下がり、ハントで予想外の発見があって追加の掘り下げが必要になったときの反復も速くなります。

仮説の生成が、チームが思いつく範囲を広げます。 AI支援型のプラットフォームには、最近の脅威インテリジェンス、自組織の攻撃対象領域、環境内で観測されたパターンをもとに、ハントの出発点を提示するものがあります。MITRE ATT&CKのカバレッジ分析はよく使われる入力です。特定のラテラルムーブメントや永続化の手法に対する検知カバレッジが薄いのであれば、その空白を狙ったハントをシステムが提案できます。専任の脅威インテリジェンス機能を持たないチームには特に有用です。

データソースの統合が、ハントの実際の射程を変えます。 手作業のハンティングは、アナリストが一度のセッションで現実的に問い合わせられるソースに縛られがちです。エンドポイントのテレメトリ、アイデンティティのログ、クラウドの構成情報、脅威インテリジェンスを一つにまとめるプラットフォームであれば、アナリストが手でデータセットをつなぎ合わせることなく、環境全体にまたがるハントが可能になります。

この変化は「vibe hunting」と呼ばれることがあります。人が意図を述べ、機械的な実行はAIに任せるという「vibe coding」の考え方を借りた言葉です。ハンティングに当てはめると、アナリストはどのクエリを書くかを考えるのをやめ、この環境でどんな筋書きが進行しているのか、そしてそれを裏づける、あるいは否定する証拠は何かを考えるようになります。裏側のクエリの生成、複数ソースのテレメトリのつなぎ合わせ、見つかったものの提示はAIが担います。仮説そのものは依然としてアナリストの判断から生まれます。変わるのは、仮説を立ててから答えを得るまでのあいだに、どれだけの手作業が挟まるかです。

AI脅威ハンティングの限界

解釈の段階では、依然としてアナリストの判断がものを言います。AIは異常を浮かび上がらせ、出発点を提案できますが、検出されたパターンが実際の脅威なのか正当な業務プロセスなのかを見極めるのはアナリストの仕事です。監査前夜に経理チームがデータを一括エクスポートすれば、行動としては異常に見えます。それを情報の持ち出しと区別するには、AIが常に持ち合わせているとは限らない組織的な文脈が必要です。

AIが生成する仮説の質は、それを支える脅威インテリジェンスとログのカバレッジ次第です。ログが分断されている組織、たとえばすべてのソースが十分に計装されていないハイブリッドクラウド環境では、AIが浮かび上がらせられる範囲にも空白が生じます。AI脅威ハンティングから価値を得るには、まずデータの土台を整えることが前提になります。CISAの脅威検知ガイダンスが指摘するとおり、効果的なハンティングは、ツールがアナリストの射程を広げる以前に、網羅的で構造の整ったテレメトリに依存します。

出力をどう扱うかという問題もあります。AI支援型のプラットフォームの中には大量の異常を提示するものがあり、所見の優先順位付けが不十分だと、別の形でアナリストの負担を生みかねません。目的は、アナリストが手作業で探す量を減らすことであって、同じだけの手作業レビューを要する「AIが検出した所見」という新しいカテゴリーを生み出すことではありません。

実務で効果を上げているAI脅威ハンティングの姿

AIをハンティングプログラムにうまく取り込んでいるチームは、いくつかの共通した習慣を軸に組み立てています。

出発点をAIが示した場合でも、仮説の記録を残します。アナリストは、立てた仮説、調べたデータ、そして結論を記録します。これが完了したハントのライブラリとなり、今後のキャンペーンに活き、コンプライアンス担当や監査人に対してカバレッジを示す材料にもなります。

ハンティングからディテクションエンジニアリングへのループを閉じます。既存の検知ルールがない行動パターンをハントが見つけたなら、それはルールを書くべき合図です。ハントから検知ルール、そして監視カバレッジへと至るこの循環こそ、AI支援型プラットフォームが一つの局面だけでなく検知のライフサイクル全体を加速させるところです。Exaforceはこのループを明示的に構造化し、行動分析とハントの所見を検知の作成と対応のワークフローに一つのプラットフォーム上でつなぎます。ハントで見つかった空白が、ルールになるのを待つバックログに埋もれることはありません。

行動監視を、定期的な活動ではなく常時動く背景の層として扱います。手作業のハンティングはスプリント的に行われます。継続的な行動分析はそのスプリントのあいだも動き続け、放っておけば次の定期ハントまで表に出てこなかったはずの異常を、早期に手を打てる余地が狭まる前に検出します。

エージェンティックSOCモデルへの移行は、これをさらに推し進めます。アナリストがすべてのハントを手動で開始するのではなく、エージェントが仮説に基づく探索を実行し、結果をトリアージし、人の判断を要する所見だけをエスカレーションします。Exaforceのエージェントはこのモードで動作し、クラウド、アイデンティティ、SaaS、エンドポイントのデータを横断してプロアクティブな探索を継続的に実行します。アナリストはゼロからクエリを書くのではなく、エスカレーションを確認します。ここでAI脅威ハンティングは、アナリストを補助する機能から、継続的で自律的なプロアクティブ検知に近いものへと移っていきます。

AI脅威ハンティングツールの評価

AI脅威ハンティングは、定義のはっきりした製品カテゴリーではありません。ベンダーはこの言葉を、自然言語のクエリインターフェースから完全に自律的なハンティングエージェントまで、あらゆるものを指して使っています。プラットフォームを評価する際に意味を持つ問いは次のとおりです。

そのプラットフォームはどのデータソースをネイティブに統合し、クラウド、エンドポイント、アイデンティティ、SaaSのカバレッジはどこまで揃っているか。
行動のベースラインはどのように構築され、どのエンティティ種別を対象としているか。
システムは仮説を生成するのか、それともアナリストが仮説を与える必要があるのか。
所見のあいだを行き来する際の、補強や横展開にかかる手作業の負荷をどこまで減らせるか。

重要なのは基盤技術そのものよりも、中心にある制約、すなわちハンティングの質が現状アナリストの工数で頭打ちになっているという事実に手が届くかどうかです。ワークフローの機械的な部分を自動化し、アナリストが探そうと思いつかないパターンを浮かび上がらせ、背景で動き続けることでAIがその上限を押し上げれば、チームは運用の負荷のもとでもプロアクティブな態勢を保てます。

Verizonの2026年データ漏洩・侵害調査報告書（DBIR）によれば、被害を受けた組織が自ら侵害を特定した場合の検知までの中央値は39日でした。この差を縮めるには、アナリストの時間を大幅に増やすか、あるいはチームが継続的に観測できる範囲を広げるツールを導入するかのいずれかが必要です。AI支援による脅威ハンティングは、後者に向かうより現実的な道の一つです。