登壇レポート の記事一覧

GMOインターネットグループは、世界トップクラスの情報セキュリティ専門家が集う国際会議「CODE BLUE 2024」にトップスポンサーとして協賛、登壇いたしました。このレポートではパネルディスカッション「GMOイエラエ全員集合！！進化するサイバー攻撃への対策最前線」の様子についてお届けします。 ホワイトハッカーが語る、最先端のサイバー犯罪とその対策 デジタル社会の進展とともに、サイバー攻撃の手法は日々進化を遂げています。企業や組織を狙ったランサムウェアやフィッシング詐欺など、その手口は巧妙化の一途をたどり、従来の防御態勢では対応が困難になりつつあります。近年進むIoTやスマートホームもこうしたサイバー攻撃の糸口となることもあり、現代のサイバーセキュリティ対策は技術の進化や人材育成・組織構造など多角的なアプローチが求められるといえるでしょう。こうした最先端のサイバー犯罪とその対策について、GMOサイバーセキュリティ byイエラエ（以下、GMOイエラエ）に所属する各分野のホワイトハッカー11名が語りました。 「困っている誰かを助ける」を軸に据えた技術と組織 林：本日はたくさんの方にお越しいただき、ありがとうございます。「GMOイエラエ全員集合！！進化するサイバー攻撃への対策最前線」というタイトルで、オープントークをさせていただきます。モデレーターの林（林 彦博/上席執行役員）です。 林 彦博（上席執行役員） 三村：同じく、モデレーターの三村（三村 聡志/セキュリティエンジニア）です。GMOイエラエはペネトレーションテスト（※1）のイメージが強いですが、実際には攻撃側に強い「レッド」、守りに強い「ブルー」、どちらも兼ね備えた企業です。本日はそんなイエラエの奥行きを皆様に感じていただければ幸いです。※1 ネットワークやシステムのセキュリティを検証するために、専門家が実際に攻撃を仕掛けることでセキュリティの対策状況やリスクを評価する取り組み。 三村 聡志（セキュリティエンジニア） 三村：というわけで、まずは牧田（牧田 誠/代表取締役社長）さんに、GMOイエラエについて聞いてみましょう。牧田さん、GMOイエラエはどういう会社でしょうか？ 牧田：GMOイエラエの根底にあるのは「誰かを助ける」精神です。ただし、誰かを助けたいなら自分たちが強くなければいけません。そこで「強い人」たちを募り、力を合わせて誰かを助けようとしている会社だと思っています。 林：ありがとうございます。では次に、インターポールで働いていたという福森（福森 大喜/サイバー犯罪対策センター長）さん。大変興味深いお仕事ですが、可能な範囲で、何をしていたのか聞かせていただけますか？ 福森：インターポールは皆さんご存知のように、国際的なサイバー犯罪への対処や、対処するための組織を育成していく組織です。そこで犯罪捜査の支援やトレーニング、各国警察官に対するものをやっていました。 林：「守る」という観点からいえば、ルスラン（サイフィエフ ルスラン/執行役員）さん。日本企業のセキュリティは破りやすいですか？ ルスラン: 非常に破りやすいですね。 林：（笑）。これは手厳しい。阿部（阿部 慎司/執行役員）さん、SOC（Security Operation Center）（※2）サービスを提供するイエラエとして、この状況にどう立ち向かいますか。※2 組織のITインフラを24時間365日監視し、セキュリティインシデントの早期発見や対応を行う専門チームまたは施設。 阿部：我々は誇りを持ってSOCサービスを提供していますが、残念ながら「痒いところに手が届かない」部分も残されているのが実情です。 例えばですが、SOCという形に必ずしもこだわらず、「イエラエとご契約いただければ、どの製品でも必ず見解を出す」のように、踏み込んだサポートを提供できるとよりよいのかなと。「皆さんの困りごとに対して何ができるか」という軸は変えずに、「痒いところ」を逃がさないような新しい形のSOCが実現できるように頑張っているところです。 阿部 慎司（執行役員） 林：なんて言っていたら、馬場（馬場 将次/セキュリティエンジニア）さんと目が合いましたね。何かご意見はありますか？ 馬場：GMOイエラエのいいところは、他社の製品報告についての脆弱性を発見すると、会社から報奨金を支給してもらえるところです。自分は最近、太陽光発電を自宅に導入したのですが、さっそく脆弱性を発見し、報告して報奨金をもらいました（笑）。 どのようなプロダクトでも良いわけではなく、ある程度普及しているプロダクトという前提はありますが、脆弱性を見つけるのが得意な人は、ぜひGMOイエラエに入ってください。 林：今年は何件ぐらい見つけたんですか？ 馬場：10件ほどですね。でも、もっと見つけている人も全然います。実は世の中のプロダクトって脆弱性だらけなので、みんなで一緒に社会を守れれば嬉しいですね。 馬場 将次（セキュリティエンジニア） 林：攻撃の技術を守りに使っていく、まさにホワイトハッカーですね。そういえば市川（市川 遼 開発部長）さんは今、現状を可視化してどういう対策をしていけばいいか示すというサービスを提供していますね。せっかくなのでご紹介いただけますか？ 市川：私が取り組んでいるのは「GMOサイバー攻撃ネットde診断」というサービスで、一般的にはASM（Attack Surface Management）（※3）と呼ばれるものです。他にも脆弱性診断をツール化・自動化して、お客様のセキュリティに貢献するサービスも提供しています。※3 インターネットから アクセス可能なIT資産の情報を調査し、それらに存在する脆弱性などのリスクを継続的に検出・評価する取り組みです。 これらのサービスはいわば、我々の持っている知見をサマライズし、ツールに落とし込んだものです。イエラエの技術力を皆さんにおすそ分けするイメージですね。 林：素晴らしいです。奥野（奥野 史一/執行役員）さんはどうですか？ 奥野：私は官公庁の事業を担当し、ペネトレーションテストからサイバー演習まで幅広い領域を扱っています。最近ではグローバルの官公庁、たとえばモンゴルのウランバートル市に「ネットde診断」が入りましたし、大手銀行の方でも脆弱性やスマホアプリの診断をしています。 このメンバーを見ていただければわかるように、せっかくの技術がグローバルに出ないのはもったいないので、これからどんどん世界に出ていきたいなと、一生懸命やっています。 奥野 史一（執行役員） 林：広い視野で取り組んでいるわけですね。モンゴル出張はよく行かれるんですか？ 奥野：行くこともあります。2月に行ったときはマイナス30度でした。覚悟して行きましたが、意外と大丈夫でした（笑）。これだけ寒いと、データセンターが効率的に冷えるのでいいですね。ちなみに、モンゴルの一番のおもてなしは羊の丸焼きです。2回出てきました。 組織&人材育成に多くのメリットをもたらすCTF 林：さて、CTF（Capture The Flag）（※4）については、小池（小池 悠生/執行役員）さんに聞かなければなりません。技術をどう伸ばすか、素晴らしいエンジニアをどう育成していくか。この点について、どうでしょうか。※4 セキュリティ分野で行われる競技形式のセキュリティコンテスト。参加者は専門技術や知識を駆使して特定の課題を解くことで「フラッグ」を獲得し、時間内に獲得した合計点数を競い合う。 小池：私はIoTのペネトレーションまわりのマネジメントをしている立場になりますが、それとは別に、執行役員として会社ブランドの取りまとめにも携わっています。そのための取り組みの一例が、先ほど出てきた脆弱性発見の報奨金制度や、CTFへの参加推奨ですね。 これは牧田さんも同意してくれるところだと思うんですけど、CTFセキュリティコンテストで上位の成績を上げているような人たちは、実際の業務においても非常に優秀な成果を出してくれます。 小池 悠生（執行役員） 三村：うちの会社は、社長が「鶴の一声」で採用を決めることがありますが、そうしてジョインする方は、一芸に秀でている人が多い印象ですよね。 牧田：一芸はめちゃめちゃ大事です。まさにCODEBLUEで出会ってスカウトした方もいますが、とても活躍されているので、「鶴の一声」形式は間違ってないはず（笑）。みなさん素晴らしい方ばかりです。 林：王（王 瀚邦/リバースエンジニア）さんもCTFのトッププレーヤーとして活躍されていますよね。何をモチベーションにされていますか？ 王：CTFに取り組み始めたのは4年ほど前になりますが、私が好きなパズルゲームのように「壊して、つくる」楽しみがモチベーションになっています。これは、リバースエンジニアリング（※5）にも似ている部分ですね。※5 既存のプログラムから設計情報を抽出し、構造や動作を解析する技術。動作理解や改良、セキュリティ検証に活用される。マシンコードに複合させたり、一般的に組み立てたりする点に近しいものを感じます。そのうえで、物事がどのように機能しているか解き明かすことに楽しみを見出しています。 三村：私も以前、CTFの力を高めるために「Baba Is You」（思考力が鍛えられると話題のインディーズゲーム）をやれと言われたことがあります。馬場さんは普段、どういう形で頭を鍛えたり休ませたりしていますか？ 馬場：頭の鍛え方はやっぱり脳トレがベストですね。「Baba Is You」のいいところって、「こういう操作はできないだろう」という思い込みがあると、絶対に解けないところなんです。機転を効かせた発想を学べるので、あれは真面目に、良いトレーニングになると思いますね。みなさんもBabaになりましょう（笑）。 三村：CTFでも、本来の用途からひねったデータを使って攻撃コードを組んだりとか、そういうのが求められるので、柔軟さは必要になってきますもんね。他にも、教育とか育成という観点で、ルスランさんいかがですか？ ルスラン：皆さんにぜひ育てていただきたいのは、クリエイティビティです。それがないと、いくら勉強しても限界があるので…。頭を柔らかくして「どうやって解くべきか」の引き出しを増やし続けるのが一番良いと考えています。 サイフィエフ ルスラン（執行役員） 林：福森さんはどうですか？インターポール時代にこうしたストーリーはありませんでしたか？ 福森：インターポールは197か国からなる組織なので、中には「どうせ自分たちなんかダメだろう」「FBIが出てきたから、出る幕がないな」と卑屈になってしまう人もいました。そういう人をいかにモチベートするかは、大きな課題でしたね。 そんなときには、たとえば「フリーツールだけでも、FBIが見つけられないような脆弱性を見つけられる」という経験をさせ、小さい成功体験から自信を持ってもらうようにしていました。 福森 大喜（サイバー犯罪対策センター長） 三村：守るためには技術だけではなく、人とのつながりも重要です。当社には仲間づくりのプロである林がおりますが、そういう点ではどうでしょう。 林：セキュリティへの取り組みを自分だけで考えるのには限界があるので、外の知見やコミュニケーションがすごく大事だなと、昔から思っていました。なおかつ、セキュリティの人たちって、ときには「余計なお世話」と思えるくらい親切な人が多くて、質の高いアドバイスをもらえるのが嬉しいところです。 質のいいコミュニティとの縁をつなぎ、いい仲間作りをしていくことが、巡り巡ってセキュリティへの知見のレベルも高めてくれているような気がします。 攻撃の手法から対象まで、日々進化するサイバー攻撃との終わりなき戦い 三村：小池さんは最近、「面白いな」と感じた攻撃や、CTFはありますか？ 小池：NDAの関係であまり言えなかったりするんですが、最近面白いなと思ったのは、いわゆるプロンプトインジェクションですね。攻撃者がLLMに対して与えるプロンプトを上書きして、LLMが意図しない挙動をさせるという。 そこからいろんな攻撃に繋げていくわけですが、対策はいたちごっこになっていまして、対策をさらに回避させるような攻撃があったりします。 例えば、モールス信号をプロンプトとして与えるという攻撃手法が最近有名になりましたね。自然言語での入力は対策されていますが、モールス信号のような非言語は想定されていなかったので、上位モデルのLLMではモールスでそのまま返しちゃう、と。 牧田：それでいうと、スマートシティ社会になっていく中で、アタックベクターも多彩になってますね。手法自体もリビングオフザラウンドとか、そもそもマルウェアを使わないとか。 太陽光発電の脆弱性でいえば、天気がいいときは蓄電池に積極的に貯めて、雨の日は使用を控えるといった制御機器の脆弱性には注意が必要です。またこうした制御機器は、他の家電と連携して操作するリモコンの役割も果たしていたりするので、いま話題の闇バイトにも悪用されかねない怖さがあります。 林：予想もしないリスクが潜んでいるということですね。次は阿部さん、SOCやブルーチームのホットトピックがあれば伺いたいです。 阿部：他の方からもお話があった通り、ちまたを賑わせるインシデントはものすごく多く、攻撃はどんどん分かりにくくなっています。その結果、守る側としても、トレーニングの仕事やインシデントレスキューの機会が増えてきている印象です。 三村：会社で見ていても、SOCの名将と呼ばれる阿部さんの額に流れる汗の量が日に日に増えているのを感じます（笑）。 阿部：（笑）。ここ数年で流行っているEDR（※6）やAIのふるまいなど、守るべき点は多岐にわたります。外部脅威からの保護はもちろんですが、組織やビジネスとしてのリスクも考えながら対策を講じなければなりません。※6 エンドポイント（PCやスマートフォンなど）を監視し、不審な挙動を検知・分析して適切な対応を行うセキュリティ対策。 そのため、これからのセキュリティ事業者には、単に知見を持つだけでなく、クライアントと幅広く同じ目線で考え、積極的に提案できる会社であることが求められるでしょう。そうしたときにイエラエの強みが生きるように思います。 AI活用も進めつつ、ホワイトハッカーを「億万長者」に 三村：ASMではどうですか？ 市川：ASMについては、昔から言われてきた「サーバーのバージョンをちゃんとアップデートしましょう」といったレベルから大きく変わったところはありません。可視化が進んだことにより、対策しやすくなった面はありますが。 ただ、世の中のサイバー攻撃は、未知のゼロデイ（※7）がどんどん飛んでくるというよりも、権限設定が甘かったり、個々のPCが狙われていたりするものが圧倒的に多いので、こうした対策を徹底するのは依然として重要と言えます。このあたり、会社のガバナンスがうまく効いてないとかなり危ないことになるケースもあります。※7 未公開で修正パッチが存在しない脆弱性を指す。攻撃者は開発者が脆弱性を認識し対処する前に攻撃を仕掛けるため、非常に危険とされる。 市川 遼（開発部長） 林：王さんにも聞いてみましょう。王さん、テクノロジーやエンジニアリング周りで、ホットトピックはありますか？ 王：最近、CTFのリバースエンジニア・チャレンジに参加したのですが、他のリバースエンジニアとどうやってその課題を解決したかを話したら、みんな、「AIに入力しただけだよ」と。 どうやらAIは、課題のコードを入力するだけで、それを解いてくれる段階まで来ているようです。なので「僕はもう必要とされていない」と悲しく思うと同時に（笑）、AIの使い方も学ばなければと感じています。 王 瀚邦（リバースエンジニア） 三村：では締めとして牧田さんから、今後イエラエという船がどう進んでいくのかという展望、これからイエラエに来てみたいという人に向けてひとことお願いします。 牧田：我々イエラエの手が届く範囲は、今や日本全体に広がりました。とりあえずここをやり切り、その後はアジア、そして世界へと、グローバルに戦いの場を移していく所存です。 また僕のサブミッションとして、「社内のセキュリティエンジニアを億万長者にする」ことがあります。みんなが成果を出して巨万の富を得られれば、子どもたちが「ホワイトハッカーになりたい」という世界観ができるかもしれません。そうなれば、そのエコシステムで社会全体が良くなっていくじゃないですか。 エンジニアに利益を還元することで、自然と次世代を担う子どもたちから「ああいうふうになりたい」と思ってもらえる未来を実現したいです。多分、ここにいるみんなも初めて聞く野望かもしれませんが（笑）、そんな未来がたぐり寄せられるように、日々の業務に邁進します！ 牧田 誠 代表取締役社長

ドローンに関する総合展示会である「Japan Drone 2024 / 次世代エアモビリティ EXPO 2024」が千葉県・幕張メッセで開催されました。GMOインターネットグループはプラチナスポンサーとして協賛し、空のセキュリティをテーマにブース出展を行いました。さらに国際コンファレンスとして「ハッカー目線で徹底解説！ ドローンセキュリティ最新版」と題したセッションも開催しました。GMOインターネットグループからはGMOサイバーセキュリティbyイエラエから2人の専門家が参加。経済産業省の担当者がモデレーターとなって、ドローンに対するサイバー攻撃の最新情報を解説しました。今回はこちらの国際コンファレンスで行ったセッションのレポートをお届けします。 出展概要 日　時：2024年6月5日（水）～7日（金）10:00～17:00会　場：幕張メッセ（展示ホール5・6）千葉県千葉市美浜区中瀬2-1主　催：一般社団法人日本UAS産業振興協議会（JUIDA）共　催：株式会社コングレ 登壇者 山本健一氏　経済産業省製造産業局航空機武器宇宙産業課次世代空モビリティ政策室次世代空モビリティ戦略企画調整官小池悠生　GMOサイバーセキュリティbyイエラエ株式会社　サイバーセキュリティ事業本部執行役員三村聡志　GMOサイバーセキュリティbyイエラエ株式会社　高度解析部高度解析課 災害現場など様々な分野で活躍するドローンの規制の現状 ドローンは現在、空撮や測量、インフラ点検、物流、農業など、様々な分野で利用が拡大しています。ドローン技術の発展に伴って様々なリスクも高まっています。その1つがサイバー攻撃のリスクです。 まず冒頭、経済産業省の山本健一氏が、ドローンの活用事例として能登半島地震での活用状況を紹介。今回の地震では道路が寸断されて孤立した地域が発生して、歩いて行くにも5～6時間かかるような事例が起きていたといいます。 図1　令和6年能登半島地震　ドローン調査実施個所 それに対してドローンで物資輸送したところ「わずか16分で届けられた」と山本氏は紹介。そのほかにも、壊れた家に人が入れない場合にドローンで確認する、災害住宅の建設に適した場所をドローンで上空から探す、といった活躍をしていたそうです。 こうしたドローンは、現在日本で38万機が登録されていると山本氏。現行の法規制では100g以上のドローンは登録が義務付けられており、100g未満のトイドローンなどを含めると数十万機のドローンが実際に使われていると山本氏は話します。 図2　新制度等の運用状況 現行の政府の規制では、有人地帯での補助者なし目視外飛行を可能とするレベル4と立入り禁止措置（補助者、看板、道路横断時の知一停止）をおこなった目視外飛行が可能なレベル3があり、「立入り禁止措置」のハードルが高いため、「レベル3.5」という新たな制度も設けられました。 図3　無人航空機目視外飛行（レベル3飛行）の事業化に向けた改革 これによって、「道路を横切るときに見張りが必要だった」という状況から、ドローンのカメラで確認することで人の手間を省ける、ということになりました。こうしてドローンの利用拡大を図っているのが政府の方針だと山本氏は言います。 ただ、こうしてドローンの利用が増えると運行管理も重要になります。どのようにコントロールするか、規制、技術の両面から政府でも取り組んでいるそうです。 図4　無人航空機の運航管理（UTM）に関する制度整備の方針 ドローンの運航管理技術だけでなく、性能評価、機体の安全性評価など、「政府では毎年30億円ほどの予算を使って開発している」と山本氏は説明しました。 図5　次世代空モビリティの社会実装に向けた実現プロジェクト 図6　ReAMo　機体の安全性能を評価する手法の開発 ドローンに対するサイバー攻撃の脅威 現在、世の中のすべてのものがインターネットに接続する、いわゆるIoT（モノのインターネット）が広がっており、家電製品だけでなくドローンもIoTの1つに数えられます。そうしたインターネットに接続することで便利になる反面、危険性も高まっています。 そこで経済産業省でもIoT製品に対するセキュリティ適合性評価制度構築に向けた検討会を立ち上げるなど、セキュリティの確保に向けた取り組みを始めています。これはドローンに関しても同様で、政府はドローンの評価におけるセキュリティ適合性評価を検討していく考えです。 図7　IoT製品に対するセキュリティ適合性評価制度構築に向けた検討会について そうした規制の現状に対して、実際の攻撃の現状はどうなっているのでしょうか。GMOサイバーセキュリティbyイエラエの三村聡志は、ドローンに対するサイバー攻撃の脅威について次のように説明します。 「ドローンというのは、適切に対策をしないとサイバー攻撃の脅威に晒されてしまう危険性があります。例えば、第三者からの意図しない操作をドローンが受け付けてしまって、救援物資を意図しないところに運んでしまう、もしくは落とされてしまうというものです」。 これに加えて、ドローンが撮影した映像のデータを攻撃者に盗み取られてしまう、またそれを改ざんされてしまうといった、ドローンを介した攻撃というものも考えられます。 実際の攻撃手順についても三村は説明します。まずはドローン自体を把握するために分解をします。これによってWi-Fiとコントローラー間の通信など、一通りの機能を調べるのだといいます。ドローンの制御プログラムが書き込まれたチップを取り出して、プログラムを抜き出すといったことも行えます。 これによって、実際の攻撃ではどこをどのように狙えばいいのかといった部分がだんだんと見えてくると三村は指摘します。加えて、通信経路も調査します。ここで無線LAN経由での攻撃を調査した結果、攻撃の穴が見つかってドローンの映像を盗み見ることができたそうです。 過去の事例では、ドローンと接続したスマートフォンの画面を差し替えて制御を乗っ取り、PCで映像を盗むといった攻撃が成功したそうです。 図8　2023年度弊社ブースで実施したハッキングデモから紹介 こうした攻撃に対して、三村は「ドローンを守るには、まず前提として何を守らなければならないか」として2つのポイントを上げます。1つがデータ漏えい、もう1つが不正操作です。 図9　ドローンの主なサイバー攻撃リスク 気をつけるべきはドローンそのもの、通信経路、クラウドサーバーだと三村は指摘します。クラウドサーバーにはフライトプランなどの情報が格納されていて、録画データも伝送されている場合も多いため、クラウドの保護も重要になってくるわけです。もちろんカメラの映像を盗み見られる可能性もあり、「この3点セットの対策が重要」と三村。 図10　ドローンにおける守るべき対象 基本的な対策としては初期設定パスワードを使わずに変更する、ソフトウェアアップデートを行う、通信はTLSなどにより暗号化する、不要な通信機能が存在していないか、秘密鍵や個人情報は適切に保護されているか、といった基本的な対策を適切に行うだけでも安全になると三村は説明します。 図11　ドローンにおける確認ポイント こうした対策に対して国の取り組みとしては、サイバーセキュリティガイドラインでドローンの用途ごとに、例えば点検用ドローンであればどの程度守るべきか、災害・警備のような人命に関わるドローンだとどうかなど、用途に応じてリスク分析をしてセキュリティの具体的な対策を示しています。 図12　経済産業省　サイバーセキュリティガイドライン こうした政府のガイドラインも参考にしているとGMOサイバーセキュリティbyイエラエの小池は説明します。ドローンの開発支援をする場合も、まずはこのガイドラインを把握する必要性を紹介したり、診断の際にガイドラインに沿った説明をしたり、実際の現場で活用しているそうです。 「ドローンは、攻撃が実際の物理空間にも影響を出してしまうという側面を持ったデバイス」と三村は話します。従来のサイバー攻撃はPC内のデータが盗まれたり壊れたりといった被害は出ますが、ドローンの場合は墜落を含めて物理的な影響も出かねません。 悪用によって人命の被害が出る可能性もあるため、安全なドローンを作り上げるために、官民一丸となって取り組んでいく必要があると三村は訴えます。 小池も「ドローンは飛行高度が変わってしまうだけで何か事件が起きてしまう可能性も考えられる」と、ドローンのセキュリティ対策の重要性を指摘。ドローンの制御が奪われることで重大事件に繋がりかねないという認識は共有すべきだと強調しています。 三村は、ドローンは重要なインフラとしてセキュリティ対策は重要ですが、現時点で基本的な対策がしっかりできているドローンが増えれば、安全なプラットフォームとしてドローンがビジネスとして活用できるようになる、と説明。セキュリティ対策以上の効果が得られるとアピールします。 山本氏も、スマートフォンを購入して使うときに個人情報の漏えいに気をつけるように、ドローンを買ったら同様にセキュリティ対策に注意をする。一人一人が危機感を持って考える必要があると指摘します。 ドローンのセキュリティに取り組むことは、今後のドローンビジネスの拡大にも重要で、メーカーや政府、ユーザーそれぞれが取り組んでいくことが必要になりそうです。

4月24日（水）にオンラインで開催された「GMO Developers Night#40」に、オンライン総合決済サービスを展開するGMOペイメントゲートウェイのエンジニアが登壇。GMOペイメントゲートウェイとその連結会社であるGMOペイメントサービス、三井住友カード様との共同事業であるBNPL（Buy Now Pay Later）サービス「アトカラ」開発の裏側を紹介しました。 登壇者 GMOペイメントゲートウェイ株式会社 システム本部 関連事業サービス統括部統括部長 秋山 弘幸後払いサービス部 後払いサービス第2グループ池田 隆介森 隆之坂口 健太 決済事業者は「ミッションクリティカル」「マイサービス」「フルスタック・フルフェーズ」 冒頭では、秋山がGMOペイメントゲートウェイ株式会社（以下、GMO-PG）、およびシステム本部 関連事業サービス統括部について紹介しました。 GMO-PGは、ECを中心とした加盟店と、カード会社や銀行、キャッシュレス決済事業者といった決済会社とをつなぐゲートウェイ機能を担う会社で、多くの決済手段を提供しています。デジタル化の進展とともに多種多様な決済手段の需要が増えたことで、連結加盟店舗数は現在15万店舗を超えています。また、2023年12月末時点では、連結決済処理件数65億件、連結決済処理金額15.8兆円という実績で、営業利益年平均成長率25%の継続を目標に掲げています。 GMO-PGのような決済事業者で働くことの特徴として秋山は、「ミッションクリティカル」「マイサービス」「フルスタック・フルフェーズ」の3点を挙げます。 ミッションクリティカルという観点では、厳しい非機能要件が特徴です。決済に関わるシステムであることから、24時間365日の高可用性・高信頼性、大量処理と低レイテンシー、高セキュリティなどが求められ、不正取引・アクセスと日々戦わなければなりません。 また、GMO-PGは、マイサービス、フルスタック・フルフェーズで完全内製化を実現。要件定義からリリース・運用までのすべての工程を自社パートナー（社員）で実施しています。秋山は「社会インフラの一部を担っているという意識が、やりがいにつながっている」と語ります。 今回の登壇者が所属するシステム本部には、現在約250名程度のエンジニアが在籍しています。拠点の中心は東京・渋谷ですが、福岡にも開発拠点を有しており、新卒・中途合わせて毎年30名程度のエンジニアが入社しています。 システム本部のなかでも、関連事業サービス統括部では、GMO-PGの連結会社であるGMOイプシロンとGMOペイメントサービスの事業を支えるシステム開発・運用・保守を担当しています。今回のテーマでもある「アトカラ」は、同部配下の後払いサービス第2グループで開発を行ってきました。 対面・非対面問わずさまざまなシーンで利用できる「アトカラ」 池田は、アトカラの特徴について説明しました。池田は、入社7年目のエンジニアで、「銀行Pay基盤システム」、「こんど払い byGMO」の開発を経て、2023年10月からアトカラに参画しています。 アトカラは、「クレジットカード不要！スマホだけですぐにお買い物ができる」をコンセプトに2024年2月にサービスを開始した後払いサービスで、対面・非対面問わずさまざまなケースで利用可能です。 非対面利用時には、電話番号、メールアドレスを入力したうえで、支払回数を選択し、SMS認証コードを入力すると買い物ができます。対面決済の場合は、QRコードを表示して、stera terminalで読み取ることで決済が完了します。なお、アトカラの会員審査では、ユーザーの属性情報に加え、GMO-PGが開発したeKYCサービスを利用しています。 他社の後払い型サービスと比較すると、ECと対面決済の両方に対応しているのがアトカラの特徴です。また、3〜36回までの分割払いが選べるほか、6回までであれば分割手数料が無料となるため、ユーザーにとっては使いやすさが大きなメリットです。 アトカラプロジェクトを実現できた要因 アトカラ開発の裏側を明かしたのは、2022年5月に中途入社後、アトカラプロジェクトへ参画した森です。前職では別業界のシステムを担当しており、当初は決済関連の業務知識がまったくない状態でしたが、、「法令対応を含め、専門的な業務知識が必要なプロジェクトのためキャッチアップに苦労しましたが先輩方のサポートでなんとかやってこれた」と話します。 開発初期（2022年5月頃）は、ビジネス6名・開発7名という体制でしたが、ピーク期（2023年8月頃）には、ビジネス15名・開発50名と大所帯に。リリースの時期（2024年2月）には、ビジネス10名・開発25名という体制に落ち着きます。 森は、プロジェクトを実現できた要因の1つとして、マインドを挙げます。「GMO-PGの業務の心得である『全員社長主義』を自覚し、責任感を持って役割にとらわれず主体的に行動する姿勢がよかった」と振り返ります。 また、人材の豊富さも特徴でした。「GMO後払い」、「GMO掛け払い」、「こんど払い byGMO」などのサービスを経験したメンバーや、問題解決力・技術力のあるメンバーが相互に補完し合い、難しい課題に直面しても乗り越えられたといいます。開発面では、システムメンバーを中心に案件を推進したことにより、スピード感のある開発を実現しました。 アトカラのシステム構成は次のとおりです。 多くの機能を有する基幹システム、スマートフォンアプリとWebポータルの顧客管理システム、加盟店管理システム、eKYC、与信システムからなり、その土台にクラウド基盤としてAWSを採用しています。これが、加盟店のシステムと接続する形です。 アトカラシステムの基幹部分の構成と技術スタック 坂口は、アトカラのシステムの基幹部分について解説しました。 2019年4月に中途入社した坂口は、バックオフィスのシステム開発、「GMO掛け払い」、「GMO後払い」を経験した後、2022年10月より「アトカラ」とeKYCのプロジェクトに入りました。普段は九州オフィスに勤務しています。なお、約20名の九州オフィスエンジニアのうち、坂口を含めて5人のメンバーが「アトカラ」を担当しています。 AWS構成は次のとおりです（WAFやKMSなどのセキュリティに関するサービスは省略）。 基幹システムは、「GMO後払い」の資産をベースに構成しており、ECSを利用した動的アプリ、CloudFrontを利用した静的サイト、EventBridge、Step Functionsを利用したバッチアプリの大きく3つに分類できます。内製システムとしては、AWS上のシステムとオンプレミスのシステムがそれぞれあり、AWS上のシステムとの接続にはPrivateLinkを、オンプレミスのシステムとの接続にはTransitGatewayとDirectConnectを利用して接続しています。 構成図のもととなる技術スタックは次のとおりです。 eKYCのシステムは、身分証とセルフィーの撮影機能を提供するSDK、撮影されたイメージの保存や自動審査の機能を提供するAPI、目視審査等の機能を提供するバックオフィスという大きく3つのシステムに分かれています。 以下は、eKYCのSDKとAPIの構成図です。 SDKは、iOS/Android/JavaScriptの3つがあり、それぞれ「アトカラ」のアプリケーションに組み込んでいます。APIは、API Gatewayをはじめマネージドなサービスを多用した構成となっています。 バックオフィスの構成図は次のとおりです。 バックオフィスは、Single Page ApplicationをホストするCloudFrontと、API Gatewayで構成しています。APIと同様、マネージドなサービスを多く利用しているのが特徴です。アトカラに目視審査結果を連携する際は、PrivateLinkを利用して接続しています。 それぞれ技術スタックは次のとおりです。 eKYCの内製化で苦労した話 坂口は、開発時のエビソードとして、eKYCの内製化で苦労した話を紹介しました。 アトカラのeKYCでは、クライアントであるSDKから撮影された身分証やセルフィーのイメージファイルがAPIに転送これを同期的に処理する際、多くの場合は問題にはなりませんでしたが、坂口によると、顔検出やOCRのサービスの応答が劣化することがあったといいます。平均的には4秒以内にレスポンスを返却できていたものの、最大で23秒かかるケースがあったのです。eKYCのAPIは、Amazon API Gatewayを採用しているため、API Gatewayのハードリミットである29秒以内にレスポンスを返さなければなりませんされます。一方、API側では、暗号化、イメージの保存、顔の検出・分析やOCRを実施しています。 これを同期的に処理する際、多くの場合は問題にはなりませんでしたが、坂口によると、顔検出やOCRのサービスの応答が劣化することがあったといいます。平均的には4秒以内にレスポンスを返却できていたものの、最大で23秒かかるケースがあったのです。eKYCのAPIは、Amazon API Gatewayを採用しているため、API Gatewayのハードリミットである29秒以内にレスポンスを返さなければなりません。 そこで、eKYCのAPIでは、この問題に対して非同期関数を利用することにしました。具体的には、API Gatewayから同期的に呼び出しされるLambda関数内ではイメージの暗号化と保存のみを行い、残りの処理は非同期的にLambda関数を呼び出し、非同期処理内で顔識別・分析やOCRを行うようにしたのです。こうした非同期処理化により、APIのレスポンス時間は平均・最大ともに改善できています。 「アトカラ」の開発で登壇者が一番苦労したポイントは？ 視聴者からのQ&Aのコーナーでは、「『アトカラ』関連の開発で一番苦労したところ」について登壇者が回答しました。 池田は「法令遵守を含め1つひとつの要件が大きい。それぞれの開発に対する成果物のチェックやスケジュール管理が難しかった」と述べます。 森は「通常のプロジェクトでは業務要件が決まってから案件が立ち上がるが、今回は業務要件が未定の状態でスタートして、徐々に決まっていく形だった。こうしたなかで、画面やデータに落とし込むのに苦労した」と振り返ります。 坂口は「法対応に向けて法務とのミーティングを行っていたが、法律の条文を読む経験があまりなく苦労した」といいますが、「システム・人・契約・お金・データなどの流れが明確になり、サービスの理解度が高まった」と自身の成長につながったことを明かしました。 秋山は「割賦販売法に準拠したサービスをつくるのは初めてだったため、三井住友カード様の知見を活かしながら試行錯誤で進めた」と話しました。 また、「決済の知識がなくてもGMO-PGのエンジニアとして活躍できますか」という質問に対して池田は、 「決済サービス開発未経験のエンジニアも多いが、フラットに意見を言い合えたり、教え合えたりするカルチャーがあるため、未経験でも活躍できる土壌はある」と回答しました。 BNPL国内No.1サービスを目指して 最後に、アトカラの今後の展開について、秋山が説明しました。 まずは、加盟店獲得と認知度の向上です。「生まれたばかりのサービスで、使える加盟店様も少なくブランド認知度も低い。まずは、ご利用いただける加盟店を拡大するとともに、対面決済のstera端末などを活用した認知度向上などを進めていたい」と秋山は語ります。 2点目はサービスレベルの向上です。秋山は「トレンドに敏感で、使いやすい・身近なサービスを目指していく。共同事業者である三井住友カード様と協力し、BNPL国内No.1サービスに育てたい」と意気込みました。 エンジニア採用実施中！ GMOペイメントゲートウェイ株式会社ではエンジニアを積極採用中です。さまざまなバックボーンを持つエンジニアのみなさまの力を必要としています。興味のある方はぜひ採用HPをご覧ください。 また、これまで当社エンジニアが登壇したウェビナーやインタビューは以下にまとまっていますので、併せてご覧ください。https://www.gmo-pg.com/blog/feature/feature03/ さいごに 当日、ご参加いただいた方からは、「サービスの全容やGMOペイメントゲートウェイの体制や方針等が分かって良かった」「AWSにおける具体的な設計方法について学ぶことができ、大変参考になった」「使用例と組み合わせて解説いただき、今後の自身の学習や実務に活かせると感じた」など、ありがたいお声をたくさんいただきました。 映像はアーカイブ公開しております。まだ見ていない方、もう一度見たい方は 是非この機会にご視聴ください！ https://www.youtube.com/watch?v=14GfbaBJ3Kw

2023年12月23（土）～24日（日）の2日間、浅草橋ヒューリックホール＆カンファレンスで開催されたセキュリティコンテスト参加を目指す人/セキュリティ技術者を目指す人向けのイベント「SECCON2023 電脳会議」にGMOサイバーセキュリティ byイエラエ株式会社の阿部慎司が登壇。SOCにおける生成AIの活用事例について紹介しました。イベント告知：https://developers.gmo.jp/41615/ 登壇者 GMOサイバーセキュリティ byイエラエ株式会社サイバーセキュリティ事業本部 SOCイノベーション事業部阿部慎司 ”人”ではなく”生成AI”をうまく働かせ使うことで、セキュリティ運用を効率化する 阿部はセッション冒頭の自己紹介で「イエラエは攻めに強いイメージがあるかもしれないが、私はどちらかというと守り側の立場。業界的にもSOC界隈の人間で、セキュリティに関する営みはすべてセキュリティ運用と捉えることができると思っているくらいの”SOC危険思想の持ち主”」と話します。 「運用」という言葉はさまざまな場面で使われていますが、もともとは「物をうまく働かせ使うこと」という意味合いを持っています。一方で、「運用でカバー」という表現があるように、運用という言葉が都合よく使われてしまっているシーンがあると阿部は指摘します。 「”運用でカバー”で検索すると嫌な話がたくさん出てくる。運用とは本来”物”をうまく働かせて使うことであるはずなのに、”人”を動かせばいいという発想になってしまっている人がいるなど、運用という言葉の意味を履き違えてしまっている」（阿部） GMOサイバーセキュリティ byイエラエのSOCチームでは、人ではなく、生成AIを使うという発想で、セキュリティ運用の効率化を目指しています。 阿部は実際に生成AIを利用して、今回のセッションの概要を下記のように作成したといいます。 AI技術を駆使して、サイバーセキュリティの現場で即戦力となるいくつかのツールと手法を開発しています。これにより、情報収集から脅威分析、そして自動対策生成までのプロセスを効率化。今後はこのシステムをさらに高度化し、専門家一人の働きが複数人分の成果を生むレベルに引き上げます。 このように、完璧とは言い切れないものの、使い方によっては実用に耐えうるレベルになってきている生成AI。SOCの現場での活用も進んでおり、今回のセッションで阿部は「開発支援」「検知力向上」における活用事例を紹介しました。 「開発支援」における生成AI活用事例 開発支援ツールとしての生成AI活用は、セキュリティに限らず幅広い領域で進んでいます。 阿部は「セキュリティアナリストをはじめ、セキュリティに関わる人間がツールを自作できる時間は限られている。あくまでお客さまのログを見たり、検知力向上を考えたりするのが我々のメインの仕事。それらの効率化を目指すためにツールをつくるという考え方になる。そこに利用するのが生成AI」と、生成AI活用の意義について説明します。GMOサイバーセキュリティ byイエラエのSOCチームでは現状、メンバーで方針を議論して、メインの担当者を決め、生成AIを使って壁打ちしながらたたき台をつくっていくという流れでツールの作成を進めています。阿部は、ドメイン情報収集の調査支援ツールを事例に、その詳細について紹介します。 セキュリティアナリストは、悪性ドメインの調査にあたって、ドメインとIPアドレスを紐づけたデータベースに記録を残しています。しかし、アナリストが勘を働かせるためには、関係性をより詳細に可視化することが重要となります。そこで、同チームでは「データセットに対してD3.jsでいい感じに描画できるHTMLをつくって！」とChatGPTに依頼し、そこから生成されるコードに対してGitHub Copilotなどを利用し最適化を行いながらツールを完成させていくという流れを施行中です。実際に、検索内容と関連する情報の関連性をグラフィカルに表現できる機能が開発できているといいます。 「検知力向上」における生成AI活用事例 よりSOCに特化した使い方として、阿部は検知力向上に向けた取り組みを紹介します。阿部は「SOCにおいて、他社との差別化やセキュリティ製品の精度などを考えると、いかにさまざまな攻撃を見逃さず検知できるかが極めたいポイントとなる。これはSOC目線でAIの使い方の主戦場となるところ」と話します。 具体的には、WAFのカスタムシグネチャの作成に生成AIを利用するという方法になります。脆弱性が公表された際に「CVE-XXXX-XXXXのシグネチャをつくって」と生成AIに依頼することにより、自動的に正規表現を用いたシグネチャが生成され、これを利用してすぐにWAFでブロックあるいはEDRで検知できる状態にしていくことが理想です。 「ただ、現実にはそう簡単にいかない」と阿部。次のように現状を明かします。 「WAFのシグネチャをChatGPTにつくらせてみると、POSTリクエストをすべて止めようとするようなものを当たり前のように生成してしまう。これを入れたらお客さまの通信が全ダウンしてしまうため、品質上はかなり難しい部分がある。PoCの情報など関連情報やシグネチャの例示を与えてから生成したり、何度も修正指示を出したりすると、だんだんマシなものにはなるが、結局そこまで面倒を見なくてはならないのであれば自分でつくってしまうほうがはやいという状況になってしまっている」（阿部） 一方で、OpenAIもChatGPTにさまざまな機能を実装してきているため、精度向上に向けた工夫は継続的に進めているといいます。たとえば、現時点では、「シグネチャをつくって」という指示を出したあとに、Fine-tuningとFunction Callingを行うことが鍵となります。 「まず、さまざまなPoCとシグネチャの対など事前に攻撃や守備のノウハウを生成AIに覚えさせ、Fine-tuningを使って勘所を養わせる。それでも品質的には厳しいものが出てくるので、あとはどう試行錯誤させるかがポイント。これは人間でも同様。第一線のアナリストでも、PoCを見て一発でシグネチャをつくれる人はそういない。人間がやっているように、つくって試してみて通るかどうか確かめるという繰り返しの営みを、Function Callingで行う。つまり、シグネチャ生成→適用→PoC実行→遮断確認→失敗→ログ入力→シグネチャ再生成→適用……を成功するまで繰り返すことになる」（阿部） こうしてFine-tuningとFunction Callingの組み合わせで対応するには、生成AIが失敗できる環境を構築することが必要となります。人間の手でつくるのは手間がかかるため、これをどう自動化するかという観点でもツールを作成しているといいます。 その1つが、脆弱性検証環境構築支援ツール（通称：すだち）です。Dockerを用いて脆弱性検証環境を構築することを支援するツールで、検証の再現性の確保とシグネチャ生成の支援が可能です。各製品ごとにコンテナベースでテンプレートを準備して、生成する環境を選択することで即時に検証環境を構築することができます。 「たとえば、WordPressの脆弱性を確認したい場合、バージョンを指定するとコンテナが立ち上がって自動的に検証環境ができるようなものをつくっている。これにより、Function Callingで、再帰性高く試し続けることができるようになった。AIにいっぱい失敗してもらって、頭を良くしていくということをやっている」（阿部） 各WAF製品にあわせたシグネチャの書き方を生成AIが提案 しかしながら、カスタムシグネチャができたとしてもまだまだ課題は多くあります。その1つが、WAF製品の種類が多すぎるという問題です。阿部は「シグネチャができたとしても、すべてのWAF製品に適用できるわけではなく、製品ごとにカスタムシグネチャを書く作法はバラバラで面倒。アナリストとしても、ロジックを考えるまでは楽しい作業だが、その先は退屈に感じてしまう」と説明します。そこで、翻訳が得意であるというAIの性質をいかして、製品によってシグネチャに”方言”があると捉えAIに翻訳させ、その方言を「STYRAX」という名前で共通化するという方針でこの問題を解決しようとしています。 「1つロジックを決めれば、方言ごとにいい感じで言葉を合わせてくれるような、いわゆるマルチリンガルなシグネチャの翻訳者をつくろうとしている。単一のフォーマットで書いておけば、あとはAIが製品に合わせたシグネチャの書き方で表現してくれるという世界観を目指している」（阿部） 具体的には、ベースとなる部分でPythonのastモジュールやoperatorモジュールを用いて式を変換。ChatGPTにルールを覚えさせ、新しい式変換classの定義の初稿として出力します。 「ここは言語と一緒で比較的はっきりしたルールがあるので相性がよく、精度が出やすい。とはいえ、関数表現の方言があったり、製品によって利用できる場合とできない場合があるため、ある程度手動で追加すべきところはある。しかし、目指しているものには大分近づいてきている。実用化まであと少しといった印象」（阿部） ビジネス展開への期待 ここまでのツールを活用すれば、Fine-tuningとFunction Callingでシグネチャの正解を見出し、品質をクリアしたものがSTYRAXで翻訳されてマルチリンガル化し、各WAF製品にあわせた形でシグネチャが生成されるというところまでがカバーできるようになり「CVE-XXXX-XXXXのシグネチャをつくって」と指示を出すだけで、すぐにWAFでブロックできるような状態にしていくところまでを一気に実現できるかもしれません。阿部は「あと少しがんばれば実現できそう」と展望します。 これが実現できると、より幅広い顧客のニーズに対応できる可能性も高まります。阿部は「セキュリティ運用においては、生成AIの手をなるべく借りながら、自分たちが楽しい部分は残しつつ、退屈なところは生成AIに任せてビジネス展開ができるようになると、アナリストの給料向上にもつながるかもしれない」と、単なる業務効率化だけではない可能性について語り、講演を締めくくりました。

2023年12月5日（火）～6日（水）の2日間、エンジニア・クリエイター向けカンファレンス「GMO Developers Day 2023」が開催されました。本稿では、THE GUILD 代表/note CXO 深津貴之氏とGMOペパボ CDO 小久保浩大郎によるセッション「AI時代に問われる企業のクリエイティビティ」の模様をお届けします。 登壇者 株式会社 THE GUILD 代表 note株式会社 CXO深津 貴之氏（@fladdict）GMOペパボ株式会社 執行役員 CDO小久保 浩大郎（@kotarok） AIはデザイン・クリエイティブをどう変えるか？ 生成AI技術の急速な発展により、本格的なAI活用の時代が到来しています。本セッションでは、こうした時代における企業のデザイン・クリエイティブの活用と、それを可能にする組織について、2氏によるディスカッションが行われました。以下では、その一部をご紹介します。 私は機械学習の専門家ではないのでモデルそのものを作ることはできませんが、モデルを使ってどうサービスを作るか、AIをどう導入するかといった観点からさまざまな活動をしています。自治体で初めてChatGPTを導入した横須賀市のAI戦略アドバイザーをはじめとするアドバイザリー活動のほか、「深津式プロンプト・システム」を構築するなど自分でもいろいろと実験を進めているところです。深津 小久保AIがこれだけの盛り上がりをみせるなか、応用領域としてデザイン・クリエイティブへの影響は免れないというのが多くの人の関心があるところだと思います。AIを使いこなせないデザイナー・イラストレーターは必要なくなるという声も聞こえてきますが、非AI人材は”オワコン”なのでしょうか。 「非AI人材」を他のものに置き換えると想像しやすいと思います。素手の人間は自動車に乗った人間に配送業で勝てるか、銃を持った人と素手で喧嘩して勝てるか、印刷機を持った人に素手で写経して勝てるかというと、少なくとも数や面積が重要な戦いをする限りは絶対に勝てません。AI人材にならなければ社会の変化に追随できないと考えています。深津 小久保「AI＝最新の道具」と捉えると、どんな仕事でも、道具を活用して創造性や生産性を拡大してきた歴史があります。その時代の最新テクノロジーを使いながら仕事をしていくことは当然ですよね。 産業革命で起きたことは、ブルーカラーにおける体力や筋肉のコモディティ化です。強靭な肉体を持つ労働者が独占していた領域において、その95点程度であれば一瞬で誰もがパフォーマンスを出せる世界が訪れました。AIによってこうした変化が頭脳職を担うホワイトカラーにも生じると考えるとわかりやすいと思います。従来では10年間のトレーニングコストがかかっていた領域から順番にAIにリプレイスされると考えられます。デザイン業界でいうならば、ものすごい精度でデッサンを書くとか、髪の毛1本分の精度で字詰めをするといった分野はつらい戦いになるはずです。95点を誰もが取れてしまうが、100点を取るには10年間の修行が必要とされる、ものすごく極端な世界になりそうな気がしています。深津 小久保単一のクリエイティブにおいて、AIは95点を生み出す道具になると思いますが、実際の仕事は単発の成果で終わるものではなく、さまざまな職種のさまざまな成果が接続されてバリューが生まれています。そうしたプロセスにおいてもAIは影響を及ぼすのでしょうか。 ChatGPTを利用して高精度かつ大量のリサーチや分析ができるようになったことで、前処理のプロセスが変わっていくと思います。このメリットとしては、これまで「デザインシンキング」といわれていた、何を作るべきかをしっかり考えたうえでプロトタイプを作りイテレーションを回すという世界が競われるようになることがあげられます。一方で、「こうした活動はトレーニングされたデザイナーがいなくてもできるのでは？」と思われるようになる可能性がある点は、デザイナーが超えなければいけない課題です。“Design thinking without designer”になっていくかもしれません。深津 AIはコントロールできない環境要因と考える 小久保そうしたプロセスが一般的になると、生産性が劇的に向上しそうとも思える一方、閉じたループのようにも聞こえてしまいます。その枠にとらわれることで新しい発展や発見、イノベーションが出てこなさそうだというネガティブな考えもできそうです。 個人的には、そこに関してはわりと楽観視をしています。クリエイティブなプロセスができるファームやチームはこれまで少数でしたが、今後は数百社から数十万社の一般的な企業でもできるようになっていくと考えられます。産業が巨大なピラミッド構造になれば、異常値やホームランが出る確率は十分に大きくなるはずです。深津 小久保AIの学習結果を共有するという枠組みのなかで、あえて異常値を出すような要素はどう入れていけばよいのでしょうか。 生成AIに対して、問いを立てたり、方向性を示したり、お願いをしたりするのは人間です。人間がノイズや異常値などを入力したり、スタート地点を変なところに置くという役割を担う必要があるとは思います。深津 小久保競争というものがフラットになっていくなか、差別化したい、競争に勝ちたいと考えたときにいかに外れ値を持ってくるかが競争の原資になるのかもしれません。 差別化を考えるにあたっては「変化のなかでは、新しいものに注力するよりも、時代が変化しても変わらない部分にフォーカスしなさい」というジェフ・ベゾスの考え方が有効だと思います。AIという変化の激しい環境のなか、AIが干渉できない場所に陣地を張るという方向性は、AI時代における1つの強い差別化の手段であり生き残り方となるはずです。深津 小久保深津さんはマクロかつ投資家的な目線で現状を捉えられているように感じました。 私は兵書である『孫子』が好きなのですが、同書では、戦いの際にはじめにチェックすべきものとして、道・天・地・将・法の「五事」があげられています。道は大義やミッション、天は天候などの人類が操作できない変化する環境要因、地は地政学的要因のようなパーマネントに一定である環境要因、将は人材の能力、法は組織におけるルールやその運用体制などを指します。五事で考えると、AIはマクロな変動要因である「天」に当てはまります。天の状態がくるくる変わっているときに天を追いかけて何かしようとするよりも、天の変動の影響がないか、あるいは吸収できるような設計にした方がよいと考えると、重要なのは「地」です。AIが有利な事業ドメイン、あるいはAIの影響が及ばないドメインに移動することが有効となります。また、「将」では時代に対応できる人材をあらかじめ用意する、「法」では時代に対応できるオペレーションを用意するといった方向に張るほうが、対処の方針を考えやすいでしょう。深津 デザイナーとして抽象レイヤーで戦える人材を目指す 小久保企業と一口にいっても、デザインエージェンシーやクリエイティブエージェンシーなど、デザイン・クリエイティブ自体を生業にしている企業もある一方で、大半の企業ではそれらが企業活動の一部となっています。後者のような一般的な企業がAI活用を進めると、デザイナーの仕事はどう変わっていくのでしょうか。 個人的には、抽象レイヤーのデザインと具象レイヤーのデザインで異なると考えています。要は、問いを立てて考える、あるいは仕組みを作るタイプのデザインと、グラフィックやエレメント、3Dや映像を作るタイプのデザインで、それぞれが異なる形の大変動を迎えるような気がしています。これから先の時代は、AIとともに問いを立てることが基本能力になっていきます。いわゆる抽象的なデザインがこれまで提唱してきたことが世界に定着する一方で、それをビジネスやエンジニアリングの人たちでもできるようになっていくなか、デザイナーとしては、さらに際立った問いを立てる能力や仕組みを提案する能力、あるいはAIに対してより良い問いを出せる能力が必要になっていくと思います。95点まではプロンプトを入れるだけでできるようになったり、ボタンを押すだけでバリエーションが500個できたりするような世界では、特に、具象レイヤーのデザイナーついては、95点までのスキルを持っているだけは無価値化してしまうリスクがあります。一方で、残りの5点を加えて100点を出せる人の価値はものすごく上がります。そこが大きな課題になるはずです。深津 小久保具象レイヤーのデザイナーとして差別化が難しくなっていくなかでは、抽象レイヤーで戦える人になれるよう、キャリアを変えていく必要があるのでしょうか。 ポジティブに考えるならば、誰もが全員アートディレクターかクリエイティブディレクターとしてのキャリアを経験できるチャンスが生まれるということでもあります。ネガティブに考えるのであれば、アートディレクターやクリエイティブディレクターとしての仕事ができなければ、AIに負けてしまう可能性があるということです。深津 AI時代には変化に対応できるデザイン組織が求められる 小久保Design Opsが注目されるなど、各企業のなかで組織的にデザインに取り組む流れが加速してきています。組織的にクリエイティブの成果を活用するにあたって、AIの進化による発展はどう起きるのでしょうか。また、組織づくりをどのように考えていけばよいのでしょうか。 AIはコントロールできない環境要因であるとするならば、環境要因のゆれに対して、いかに壊れないビジネスモデルを作るか、あるいはすぐに対応できるようにするかという「耐変化性」が非常に重要になってくると思います。会社としては、人材の流動性を上げたり、組織間のさまざまななワークフローや仕組みを疎結合にして、システムや業務オペレーションをユニット単位で置き換えられるようにしたり、分散投資してコングロマリット的なポートフォリオを構成したりなど、「天」が変わったときに全滅しないような仕組みを作ることが重要です。深津 小久保今まさに、GMOインターネットグループ全体のクリエイティブをどうレベルアップさせていくかを考え、それを目的とした組織の立ち上げを進めているところです。モジュール化して変化に耐性をつけるという考えは非常に勉強になりました。 アーカイブ 映像はアーカイブ公開しておりますので、まだ見ていない方、もう一度見たい方は 是非この機会にご視聴ください！ https://youtu.be/vsoRGwDgyUE

GMOインターネットグループでは、2023年12月5日（火）～6日（水）の2日間、エンジニア・クリエイター向けカンファレンス「GMO Developers Day 2023」をオンライン配信（YouTube Live）にて開催しました。開催4回目となる今年は「Re imagination -新たな可能性の追求」をコンセプトに、「AI（人工知能）」「セキュリティ」「エンジニア」などの技術とクリエイティブによる挑戦について、全32セッションをお届けしました。本記事ではGMO Developers Day 2023のDAY1にて開催された、「意外と身近？日常にひそむ暗号技術」と題したセッションをご紹介します。インターネットを安心・安全に利用するために暗号技術は様々なところで利用されていますが、「取っつきにくい」暗号技術をより身近なものとして感じるきっかけとなることを目指したセッションとなりました。 登壇者 矢内 直人 氏（@Yaruo_Yanai）大阪大学 大学院情報科学研究科 准教授酒見 由美（@ysakemin）GMOインターネットグループ デベロッパーエキスパートGMOサイバーセキュリティ byイエラエ株式会社 システム開発部 マネージャー菅野 哲（@satorukanno）GMOサイバーセキュリティ byイエラエ株式会社 取締役CTO of Development 話を伺ったのは大阪大学大学院情報科学研究科の矢内 直人准教授で、さらにGMOサイバーセキュリティ byイエラエ株式会社の取締役CTO of Developmentである菅野 哲、GMOインターネットグループ デベロッパーエキスパートで、GMOサイバーセキュリティ byイエラエ株式会社 システム開発部マネージャーで"暗号のおねぇさん"こと酒見 由美が参加しました。 耐量子暗号へ移行？ 暗号技術の2030年問題 今、世の中で使用されている暗号技術というものは、「世界中の研究者たちによって提案された暗号技術に対して、ほかの研究者たちが安全性評価や解析を行いながら標準化や研究開発が進んでいったもの」と矢内氏は説明します。 こうした暗号技術は、世界中の研究者たちが注目し、提案された技術を評価・解析・調査する中で安全性が証明されている状態、いわば「全人類の英知を集めて問題が見つけられないもの」（矢内氏）です。暗号技術の詳細なアルゴリズムが非公開な独自暗号技術の場合、こうした「人類の英知」は結集されていないということになります。 国際標準化にも携わっている酒見はその意見に賛同し、「安全に使えることが暗号技術の根幹で、（非公開の）独自技術ではなく、世界のエキスパートから評価されていることが重要」と言います。実際、標準化活動においても第三者からの評価がされているかどうかがその技術を採択するかどうかの観点に入っているそうです。 では、「暗号技術の安全性」とはなんでしょうか。暗号技術にとっての脅威は、量子コンピュータやスマートグリッドのようなもので大量の計算機リソースをクラスタリングするアーキテクチャを構築して暗号を解読する「計算機環境の変化」と、「暗号解読の攻撃手法の進展」という2種類の脅威があると菅野は紹介します。 こうした脅威によって、暗号技術の設計時に想定した安全性を維持できない状況を「暗号の危殆化」と呼びます。この危殆化への対策として2つの「暗号の2030年問題」が存在しています。1つ目は、将来的な危殆化を考慮して、112bit安全性を128bit安全性に移行しようというもの。 もう1つが、暗号解読可能な量子コンピュータによって現行暗号の解読が可能になってしまう事象を考慮した耐量子暗号（PQC）への移行というものです。 暗号業界のトップカンファレンスであるCRYPTO 2017において、現在、一般的にECサイトなどでも使われているRSA-2048暗号を解読するのに、どの程度のリソースが必要かという試算が講演されました。それによれば、北米の1/4の敷地にデータセンターを確保し、10の6乗兆ドルのコストを投じ、計算に必要な電力は10の6乗テラワット（参考までに地球全体の消費電力が10テラワット）が必要となり、この設定を維持して10年間稼働させてようやく解読できる、という試算結果だったそうです。 このレベルであれば、「この状況を突きつけられたら、安全だと思う人も多いのではないか」と菅野は言います。それに対して矢内氏も、「112bit安全性が今すぐ危険というわけではない」と同意します。一方、暗号技術に対する脅威はどんどん進化していくので、現時点で安全でも未来のことを考える必要があります。そのため、10年、20年先のことを考えて暗号技術を創っていく必要があるため、それを見越した移行が必要だというわけです。 酒見は、計算機パワーが急激な向上や、天才的な数学者により革新的な攻撃方法が提案される事態もありえる脅威であると指摘。「暗号技術に対する脅威を定期的に監視することで安全に移行していく必要がある」とします。即座に、暗号移行は簡単にできるわけでもないため、暗号移行には入念な準備が必要です。 具体的な事例として、電子署名法で求められる電子署名の有効期限は5年間で、その期間において電子署名が安全な状態である必要があります。この場合には少なくとも5年先まで見据えて安全でなくてはならないと酒見は説明します。 では、耐量子暗号（PQC）の現状はどういう状況なのでしょうか。菅野によれば、一般的に利用されているブラウザのGoogle Chromeに今年8月の段階でPQCのサポートを発表。また、暗号ライブラリとして有名なOpenSSLもサポートを発表しています。 すでにPQC対応のブラウザを使った場合、YouTubeで動画を視聴するとPQCのKyber-768と現行暗号であるX25519のハイブリッドモードによる鍵交換を行っているそうで、すでに耐量子暗号が身近なシーンまで浸透しています。 ただ、データサイズや鍵サイズを現行暗号と比較すると、耐量子暗号は「鍵サイズ、データサイズのいずれもかなり大きくなってしまいます。」（矢内氏） これによって、既存のインターネットプロトコルやネットワーク機器への影響などはあるのか？という菅野の問いに、酒見は「ある」と回答します。標準化団体のIETF（Internet Engineering Task Force）などで議論されているインターネットプロトコルですが、当初の暗号技術を議論していた段階だと、RSA 512bitも使用されていました。その頃のある程度の大きさのサイズを想定して考えられた仕様に対して、PQCは大幅に巨大化しているため仕様に対して正常に動作しないというような影響が出てしまうそうです。 例えば、具体的な影響としては、送信ドメイン認証プロトコルであるDKIMにおいて、仕様としてDNSのUDPパケットサイズである512バイトまでに制限されているので、鍵サイズが巨大であるPQC対応を行うには容易に暗号移行できないことを示しています。。「これから影響のあるインターネットプロトコルを洗い出し、それらに対して計画的に対応していくことが注目」と酒見。 こうした状況を研究サイドではどのように見ているのでしょうか。矢内氏は、「標準化の過程の中で、世界中の研究者が様々に問題を指摘して、問題があるものは淘汰されてきている」と指摘します。 そのため、現状で標準化されている技術は、少なくとも既知の脅威に対して安全であると考えることができ、安全性が保証されたものだと矢内氏は話します。もちろん、将来的には攻撃手法の進化などで、現在の安全性が崩れる危険性はあるので、継続した安全性評価は必要だと矢内氏は言います。違う視点として、PQCの暗号機能としては高機能化しており、現行暗号の高機能暗号と同等以上となっていると矢内氏。そもそも、PQCで実現されている暗号機能を現行の高機能暗号が取り込んでいる、という逆転現象が起きているそうです。 ただ、そうした高機能化はされているとは言え、前述のように巨大サイズの暗号技術であり、インターネットプロトコルだけでなくICカードへの搭載でもサイズが問題になりかねない状況です。菅野からそうした点について問われた矢内氏は、現行の暗号技術でもデータサイズを小さくするような研究開発も行われており、PQCも世界中の研究者たちが省サイズ化を含めて研究で争っているため、「そう遠くない未来にそういった（一般的なICカード搭載）ことも可能ではないかと思う」と話します。 暗号技術には技術者と研究者が手を携えることが必要 今までは2030年問題という未来の話でしたが、実はこうした暗号移行という問題は2010年にも生じていました。2006年3月に米NIST（国立標準技術研究所）が発表したもので、SHA-1を含む複数アルゴリズムに対する攻撃が公開されたことを受けて2010年までに安全なSHA-2への移行するように声明を出しました。 これによって、世界中が移行に対して動き、「多くのベンダーが血の涙を流しながら暗号移行をした」（菅野）のが暗号の2010年問題です。 この2010年問題で、暗号移行はどのように行われたのでしょうか。暗号移行の事例としてTLS1.2に注目すると、2008年に発行されたRCF5246でTLS1.2を規定されていましたが、2014年の利用率は28％にとどまっていたそうです。 追加情報として2011年頃から、TLSプロトコルに対する攻撃が増え、発見された攻撃に対して安全であるTLS1.2への移行が促されていた時代でも、その普及率であったそうです。 矢内氏は、こうした移行が停滞していた理由について、「使えなくなる機器やサービスが多かったからではないか」と推測します。SSL3.0までしか対応しなかったフィーチャーフォン、WEPしか対応しなかったニンテンドーDSといった具合に、暗号技術の移行で使えなくなるコンシューマー機器が存在したという過去の経緯は分かりやすい例でしょう。 そうした利用できなくなる機器が出てくると、サービス提供者側も機会損失になってしまって新技術に移行しづらいという抑止力になる問題も考えられそうです。 歴史を振り返ると、実はTLS1.2への移行に比べて、TLS1.3への移行は比較的早期に進みました。これについて酒見は「IETFがいい方向で変化しているからではないか」と指摘します。IETFは、標準化プロセスにおいてインターネットドラフトを執筆する段階で、そのインターネットドラフトに基づいて実装する文化が醸成されている状態になっており、RFC化された段階ではすぐに利用可能な実装がある状態にするように変わってきているそうです。 こうした背景にはハッカソンの存在があると酒見は言います。IETFでは2015～16年頃に始まったイベントですが、今年も11月にIETF 118 ハッカソンが開催され、500人以上が参加し、50以上のプロジェクトが存在する大規模なものになっています。 ここでインターネットドラフトに対して実装物を制作する場となっていて、これが結果として移行をスムーズにすることに貢献しているというわけです。ちなみにこうしたハッカソンでは、日本からはGMOサイバーセキュリティ byイエラエやセコム、KDDIなども参加。海外ではGoogleやAppleなども参加するような規模だということです。 高機能暗号に関して、矢内氏が注目しているのは「AIの応用」だと言います。AIは色々なデータを集めて学習させるのでデータプライバシーが注目されています。ここに秘密計算や高機能暗号を導入することで、暗号化したままデータを学習させて、プライバシーを保護したままAIを利用できる、としています。 矢内氏は、「すでにMetaやGoogleが、データを暗号化したままAIに学習させるフレームワークを開発している。5年後10年後には、プライバシー保護されたセキュアAIが普及しているとみている」と予測します。 これによって、プライバシーに関連するような生の個人に関するデータが学習にそのまま使われることがないので、「ユーザーの心理的な抵抗が下がる」と矢内氏は指摘。AIが今後個人の生活に関与していく中で、強度の高い暗号技術を活用することで、安全にAIを進化させる流れは自然だと矢内氏は話します。 また、E2E暗号化という考え方は古来かありますが、矢内氏はこれをさらに発展させて「どこでも暗号化（Anywhere暗号化）」となることを、研究者として期待していると言います。酒見によれば、IETFにはIRTF（Internet Research Task Force）があり、将来的なインターネットの課題解決や標準化を行っていて、そこには暗号に関する研究グループがあります。 そこでは、大きく2分野の標準化トレンドがあり、現行暗号に対する高機能暗号に関する議論と、PQCへの移行に関しての議論が行われているとのこと。活発な議論が行われ、PQCに関しては、具体的にインターネットプロトコルへの実装でどのような課題があるか、多くの議論があるそうです。 今後の発展した世界に目を向けると、モバイル通信における6G（Beyond 5G）、衛星通信などのネットワークにおける進化もあり、「そうした機能要件にマッチするような新しい特性を持った暗号技術も必要」と酒見は指摘します。 暗号技術は高機能化で複雑になり、世の中の動向と、理論研究・開発の間にギャップが広がっています。矢内氏は、新しい技術や製品を生み出す研究者と開発者が協力し、暗号技術を普及させ、この溝を埋めることが重要だと指摘します。 これは、研究と開発の間にある「魔の川・死の谷・ダーウィンの海」という障害を乗り越えるために必要なことだというわけです。矢内氏は、「これからの暗号技術を見据えた社会にとって、それが最も重要だと考えている」と結論づけます。 それを受けて菅野も、発生した課題に対して暗号研究者がいれば適切な暗号技術を選択、暗号の専門家ではない開発者だけでは最適な技術を選定ができないことが考えられる。逆に日常において感じている課題感を開発者も、研究者に対して共有・提案することで新しい研究の着想を与えることもあるので、お互いが手に手を取ることが必要だとまとめました。 https://developers.gmo.jp/37631/ アーカイブ 映像はアーカイブ公開しておりますので、まだ見ていない方、もう一度見たい方は 是非この機会にご視聴ください！ https://youtu.be/mCjQsRFT8xc

GMOインターネットグループでは、2023年12月5日（火）～6日（水）の2日間、エンジニア・クリエイター向けカンファレンス「GMO Developers Day 2023」をオンライン配信（YouTube Live）にて開催しました。開催4回目となる今年は「Re imagination -新たな可能性の追求」をコンセプトに、「AI（人工知能）」「セキュリティ」「エンジニア」などの技術とクリエイティブによる挑戦について、全32セッションをお届けしました。本記事ではGMO Developers Day 2023のDAY1にて開催された、「世界1位のホワイトハッカーが集まる「エンジニアの楽園」をどう作ってきたのか？」をご紹介します。 登壇者 牧田 誠GMOサイバーセキュリティ byイエラエ株式会社 代表取締役GMOインターネットグループ CISO（最高情報セキュリティ責任者）/グループセキュリティ監査室 技術・セキュリティ担当 GMOサイバーセキュリティbyイエラエの代表取締役である牧田誠が、ハッキングコンテストで「世界1位」の称号を手にした自社チームの組織作りを解説しました。 評価されない尖った人たち 今回のセッションのテーマについて牧田は、「エンジニアやクリエイターが、正しく世界で評価されているのか、才能のあるエンジニアやクリエイターが評価される世界はどんなに素晴らしいか、深掘りをしていきたい」と話します。 牧田は、この「正しく評価される」ことを10年以上かけて追い求めていたと言います。牧田がイエラエセキュリティを創業した10年前、世の中では天才ハッカーだと呼ばれるようなセキュリティエンジニアでも評価が極めて低かったといいます。 給与は新卒レベル、「もしくはアルバイトかと思うぐらい低かった」（牧田）というレベルで、世界トップレベルの力量があるにもかかわらず裁量も少なく、そのわりに業務量だけが多かったそうです。 そんな「ブラック」な状況で潰れていった人たちも見てきたという牧田。そうした状況を変えようと、牧田は創業したのだといいます。 ただ、そんな天才ハッカーたちは「朝が弱かった」（牧田）。天才ゆえの集中力で、夜に寝るのも忘れて研究などに没頭してしまって夜型になってしまったことで朝に出社できず、満員電車にも乗りたがらず、スーツを着て客先にも行きたがらない。そういったことで評価が下がってしまっていたというのがハッカーたち。 しかし、その成果は期待値を超えて、「感動するレベルの仕事をする」（同）というのがそうした人たちだったそうです。「尖っているところはものすごい尖っている」という人たちで、当時の会社のルールでは評価されづらかったため、世界トップレベルの技術を持っていても新卒並みの給与しかもらえなかったのだと牧田はいいます。 しかし、「時代を作ってきたのはこうした尖った人たち」だと牧田は強調。例として、大阪・関西万博での飛行が予定されている「空飛ぶクルマ」を紹介。実際に実証実験を見たという 牧田は、クルマが空と飛ぶという姿に感動したそうです。 空飛ぶクルマ自体はソフトウェア制御でクラウドからも接続ができる設計ですが、制御がすべてコンピュータ経由で、サイバー攻撃によって脆弱性を突かれて墜落してしまうような、人命に関わる攻撃も起こりかねないわけです。そうすると事業の継続性も危ぶまれます。 こうしたサイバー攻撃から人命や事業を守れるのは「尖った人たち」と牧田はいいます。攻撃をする側の、いわゆるクラッカーも尖っている人たちであり、対抗するためには同様に尖った人が必要というのが牧田の考えです。 給料、休み、裁量 そんな人たちが評価されていなかった状況を変えようとした牧田は、起業して3つのことをしたといいます。それは、シンプルに給料を高くし、休みを増やし、裁量も増やすということです。 給料は、「単純にその成果で評価すること」だと牧田はいいます。期待値を超えて成果を出す人たちの成果を評価し、定量的に報酬を支払うことにすれば、自然と給料は上がります。 企業の評価制度は減点方式になりがちですが、朝起きられない、ミスをしたなどの弱みではなく強みを評価し、できた成果に着目すること。しかも「大事だと思うのは、短期ではなく長期で評価をすること」と牧田は指摘します。 人は常に同じパフォーマンスを発揮できるわけではないため、短期間の成果だけを見ると見誤りかねないわけです。1週間、1カ月、1時間と、短時間に成果を出さなかったとしても、1年間トータルの成果で見たら調子のいい3カ月で1年分以上の仕事をしていた、ということもありえます。 そうして評価して給与を上げていったことで、現在の社員の平均年収は860万円になり、「最終目標は世界一高い給与」と牧田。まだそこには至っていませんが、「まずは日本一を目指す」（同）そうです。「プロなのだから、給料を高くするのは、非常に大事なポイントだと考えています」（同）。 ちなみに、同社はコロナ禍の前からフルリモート、フルフレックスの制度を導入していました。これも、「成果さえ出せば働く場所も時間も関係ない」（同）という考えによるものです。 2番目の「休みを増やした」という点は、途中入社の多いイエラエでしたが、一般的には入社後半年で有給休暇が10日付与されます。しかし、イエラエの場合は途中入社でも子供の病気で入社後すぐに休まなければならないことはあるため、入社当日から15日間の有給休暇を設定しました。これはイエラエ創業時から決まっていたそうです。 さらに10連休を年間3回以上確保。年末年始は有給休暇を組み合わせることで17連休というパターンもあるそうです。「去年、一番長かった人は24連休がありました」と牧田。 さらに牧田は「残業はゼロが理想」と指摘。「マイナスでもいいと思っている」とまで言い切ります。イエラエはフルフレックスのため、残業時間マイナス=勤務時間が規定に届かないということになり、給料が減ってしまいます。ただ、人間にはバイオリズムのような好不調の波があるため、仕事のパフォーマンスが出せないようなら「この期間は自分の勉強や個人的な研究の時間にする」といった具合にしても構わないそうです。 好調になったらまた戻って成果を出せば問題ない、というのが牧田の考えです。なぜなら「エンジニアには成長するためには時間が必要」だと牧田はいいます。毎日終電まで残業していたら、書籍を読んで勉強したり、新しい脆弱性をテストしてみたり、新技術に触れるといった余裕がなくなってしまうからだとしています。 3つ目の「裁量を増やした」という点は、「原則として、エンジニアがやりたいと言ったことに関して、まずはノーと言わない」という主義なのだといいます。継続するかどうかは成果を見て判断するそうです。 「エンジニアの転職理由はキャリアアップ、スキルアップ、給与、労働時間」（同）。そうした中で、やりたいことが社内でチャレンジできて、給与も上がり、ワーク・ライフ・バランスが取れるような会社では転職の必要がなくなるわけです。 エンジニアのやりたいことがビジネスにも繋がります。一例として牧田は、6～7年前に自動運転に興味を持ったエンジニアがいたのでテスラを購入し、「みんなで分解して、半田付けもして分析した」（同）経験を紹介します。 当時、自動運転だけでなく車に関する事業が何もなかったイエラエですが、現在では国内の自動車メーカーがセキュリティを心配しているので調査してほしいという依頼が増え、「凄く大きな事業になっている」（同）そうです。エンジニアの興味から始まって事業として成立した例です。 必ずGiveから始めて世界一に こうした話をまとめて牧田は、「会社の成長の起点はいつでもGiveであるべき」だといいます。給与、労働時間、裁量の3点で「世界一働きやすい環境」を整えて「Give（与える）」すると「必然的にいい（才能のある）人たちが集まってくる」と牧田は指摘。 こうした集まった人たちは尖った人たちなので、品質の高い仕事をしてくれる。そうしてできあがった成果物である製品を、「最高品質最低価格」（同）で提供すると、当然利益が上がる、という好循環に繋がるのだといいます。 「この10年間、ずっと右肩上がりで成長を続けている」と牧田。最高品質の製品が最低価格で提供されるわけで、「お客様からしたら買わない合理性がない」と牧田はアピールします。 そして利益が出たら、会社の内部留保や株主還元ではなく、まずは社内の才能あるエンジニアやクリエイターに還元して、さらにそれがさらなる才能を集まってきて……という好循環を「弾み車」と牧田は表現。「必ずGiveから始めなくてはならない」と強調します。 結果として、この10年で多くの天才ハッカーが集まりました。牧田は「フェルミ推定」と注釈を入れつつ、「日本で一番多く集まっている」との予測を示します。 さらに集まった天才ハッカーの退職率はゼロだといいます。イエラエという会社のことを分かって途中入社するような優秀なハッカーは誰も辞めていないのだそうで、230人規模まで成長。「エンジニアの楽園といわれるようになってきた」と牧田は胸を張ります。ただ、「残念ながらまだ、クリエイターの楽園というところまではいけていない」（同）とのこと。 こうしてエンジニアの楽園に優秀なハッカーが集まったことで、国際的なハッキングコンテスト「DEFCON31」において、イエラエのチームは世界一に輝きました。しかも「圧勝してきた」そうです。 実際のコンテストでは、題材となったMicrosoft Azureに対して、Microsoft自身も把握していない脆弱性を使ってハッキングをしたので、「想定された解き方を超えた勝ち方で、完勝という言葉がふさわしい」と牧田は自賛します。 こうしたコンテストだけでなく、1年間でゼロデイの脆弱性40件以上発見、ペネトレーションテストの侵入成功率90％以上、防衛省・警察庁にも協力して日本のサイバーセキュリティに貢献している、といいます。 GMOインターネットグループは、日本のドメインの約81％、サーバーの約57％をカバーしています。牧田は、日本の81％のドメインに対してサイバーセキュリティのサービスを提供することで、日本のインターネット全体を守るというチャレンジを考えているそうです。月額980円の「GMOサイバー攻撃ネットde診断」というサービスで、それを実現したい考えです。 こうしたことができるのは、優秀なエンジニアなど「尖った人」がいるからだと牧田はいいます。こうした「世界一」の技術者たちが出してくる成果は、「期待値を超えすぎていて芸術レベル」だと牧田は話します。 「機能だけでは他社との差別化は難しい」と牧田は指摘し、何かを突き詰めていくことで芸術レベルまで昇華させたサービスが勝利するとの考えを披露します。そして、企業に求められるダイバーシティ（多様性）について、「理想とするのは国籍や性別などの多様性ではなく、色々な才能が集まること」と牧田は強調。 まとめとして牧田は、「この時代の価値を創っているのはエンジニアやデザイナーで、会社の宝、社会の宝。才能が正しく評価され、活躍できる。成果に対してきちんと報われる。それを見た子供たちが憧れを抱いて将来の夢になる」と、そんな世界をGMO Developers Dayの2日間で一緒に想像してほしいと呼びかけました。 アーカイブ 映像はアーカイブ公開しておりますので、まだ見ていない方、もう一度見たい方は 是非この機会にご視聴ください！ https://youtu.be/PeHe03MDJqg?list=PL-nSubl7UrR4WFlNKWsMjKLRUqsfD1JRi

12/14 に「コードとカクテル：GMOペパボのAIナイト - LT大忘年会 -」をGMOペパボの福岡オフィスにて開催しました。AIやサービス開発に関する技術的なトークを、ドリンクを片手にワイワイやりました！このエントリではトークの内容を紹介します。 セッション 大生成AI時代に、あえて古典的なアルゴリズムで音楽生成ツールを作ってみた こんにちは、@keigo です。今回はAIがテーマということで、自分の趣味であり仕事でもある エンジニアリングと作曲を掛け合わせたお話しをしました。 昨今は、Stable Audio や Suno AI が登場してきていますが、作曲家の支援という観点では、まだまだ不十分なところが多いです。本セッションは、作曲家の支援を目的としたメロディ生成人工知能を開発した話です。 対話型遺伝的アルゴリズム (以下: IGA) には大きく分けて、初期生成、評価、世代交代、結果出力の4手順があります。評価と世代交代を繰り返すことで、ユーザーの感性に基づいた個体が生成されます。 demoがメインの発表でしたが、スライドを公開しておきます。 https://speakerdeck.com/kspace/iganiyorumerodeisheng-cheng Notionで作るWebサイト「MuuMuu Sites」の裏側 こんにちは。@kinosuke01 です。10月にリリースした「MuuMuu Sites」の紹介と、その裏側の仕組みについてお話しました。 このサービスは、Notionに書いたページに、独自ドメインをあてて、デザインをカスタマイズして、Webサイトとして公開できるものです。 設計面で特徴的なのは、静的サイトジェネレータを採用していることになります。これをどのようなアーキテクチャでサービスとして実現したのか、スライドで公開していますので、ぜひご覧ください。 https://speakerdeck.com/kinosuke01/notiondezuo-ruwebsaito-muumuu-sites-noli-ce 効率高いデータベースホスティング運用のための構成の進化について こんにちは。 @heat1024 です。ロリポップで提供中の Database Hosting の構成の紹介と、どのように進化してきたのかを発表させて頂きました。 ホスティングサービスとしては、１サーバに複数DBが存在するのは当たり前のものですが、サーバスペックが上がって余裕ができたとしても意外とMySQLの仕様によって収容数は上げ続けられません。 収容数を上げるのに邪魔になる仕様って何か、どのような構成で解消しようとしたのかを発表しましたので、データベースのホスティングサービス提供に興味がある方にご参考になれれば幸いです。 ゼロからわかるリザバーコンピューティング @kurotaky です。最近、とあるプロジェクトで関わることになった「リザバーコンピューティング」について調べていましたので、リザバーコンピューティングとは何なのか？実際に動かしてみるとどのような挙動を示すのか？応用先にはどのような分野が考えられるのか？などを紹介しました。 時系列データに対する機械学習手法を考えたときに、LSTMと比較して100倍くらい速いという結果が公開されていたので、今後はRNNやLSTMとの比較におけるパフォーマンスの比較も行ってみたいと思います。 エッジデバイス向けAI技術として今後が楽しみな領域ですので、引き続き調査をして行きます。今後、またどこかでアプリケーションに組み込んだ事例などを紹介できればと思います。 https://speakerdeck.com/kurotaky/zerokarawakarurizabakonpiyuteingu また次回のAIイベントでお会いしましょう！ LT 趣味開発 入門しました こんにちは、@daiです。2023年はChatGPTをはじめ、生成形AIが話題となる年でしたね。そんな1年間で私はOpen AIのAPIを使って4つアプリを作りました。今回のLTでは、それらアプリを紹介しました。 https://speakerdeck.com/daisuke0926dev/openai-apiteyou-ntemita-in-2023 ホモグラフドメインドメインを検出してみた @takumakume https://speakerdeck.com/takumakume/detect-homograph-domain ホモグリフ（homoglyph）と呼ばれる、同一または非常によく似た形をした文字が存在します。例えば「O（オー）」と「０（ゼロ）」です。ホモグリフを利用して特定の組織等になりすましたドメインのことをホモグラフドメイン（homograph domain）と呼びます。 GMOペパボのホスティング事業部では、ムームードメインというドメイン取得サービスや、ロリポップ・ヘテムルといったホスティングサービスを提供しています。そこで、ホモフラフドメインを使ってフィッシングサイトが作られてしまう問題があります。人の経験と目で怪しさを検知して調査を行っており非効率であることが課題です。 これらを解決するために、ホモグラフドメインの検出実験をしたことについて紹介しています。 レーベンシュタイン距離を用いてドメインの類似度を出すことを始めとして、そこで検知できないパターンをハミング距離で検出しています。通常、ハミング距離は同一文字数同士でしか比較できないため、ドメインの文字列そのものを画像データに変換してハッシュを生成した上で比較しています。 PoCとして、以下のコードを公開しているのでご参考になれば幸いです。 https://github.com/takumakume/homein 最後に 当日参加頂いた方々、LTに登壇していただいた方、ありがとうございました！ GMOペパボは東京だけでなく福岡オフィスでも技術的なカンファレンスを開催していますので、次回も是非ご参加ください。 こちらは@keigoが今回のDevNight開催のダイジェスト映像を作成してくれました！かっこいい仕上がりなので、是非当日の様子をご覧ください！ https://youtu.be/0eqpzPhSwfQ GMOペパボでは、新しい仲間を募集しています 募集中の職種や、詳しい社内の環境や制度に関しては GMOペパボ株式会社 採用サイト をご覧ください。エンジニア新卒採用に関する情報をまとめたページも公開中！

12月20日(水)に開催された「技育CAMPアカデミア -Vol.07」においてデベロッパーエキスパートの神沼 貴大が登壇し「SSI/DID/VCとOpenID4VC/Hyperledger Aries/Web5について」というタイトルで勉強会を開催しました。イベントで説明したことを順におさらいしていきます。イベント告知：https://developers.gmo.jp/39211/ SSIとは何か？ まずフィジカル世界の紙の証明書モデルは既に自己主権型であり、今のWebはそうなってはいない部分があり、以下のデメリットがあることを説明しました。 1. 高い負荷が発行者にかかる 2. 提示能力が発行者に依存する 3. 保有者のプライバシーが損なわれる その上でSSIとはデジタルの世界をフィジカルの世界の紙モデルと同等にする思想、ムーブメントであり、そうすることで保有者がいつどこで誰にどんな目的で、自身の属性情報から成る様々な証明書を提示するか、これが保有者次第になること、結果としてIdentityを事業者から本人に集約、言い換えると個人に分散する形になることをお伝えしました。 さらに、デジタル空間ではデジタル署名を使うことができ、偽造を見破る検証のコストを下げられる、検証の確度を上げられることによりフィジカル空間を上回れることを説明しました。 寄り道: 公開鍵暗号技術 SSIにて重要な基礎技術になるデジタル署名、それを包含する公開鍵暗号技術について、以下の項目を説明しました。 1. 公開鍵ペアと暗号化 2. デジタル署名 3. 鍵交換 4. 共通鍵と認証付き暗号 これらを組み合わせた日常で使われている技術として、TLS、CA(電子認証局)の大まかな仕組みを説明しました。 上記について興味を持たれた方に対し暗号技術の本として以下の書籍をお薦めしました。 https://www.amazon.co.jp//dp/4797382228 前半部分残り 以下について説明しました。 1. W3C Decentralized Identifiers 2. W3C Verifiable Credentials 3. なぜここ数年ホットなのか？ 4. 技術的に先進的な部分 5. 直近のユースケース 6. （後半で述べた）様々な標準 上記については同じ内容を以下の動画で述べています。 https://www.youtube.com/watch?v=PwIP_VuukQQ 後半部分 Hyperledger Aries 概要をお伝えしました。それを含めた詳細は以下で述べています。ご興味ありましたらご参照ください。（それぞれアーカイブ動画のURLを記載してあります。） https://speakerdeck.com/tkanuma/ssinoquan-ti-xiang-tohyperledger-arieswoshi-tutasisutemugou-zhu https://speakerdeck.com/tkanuma/hyperledger-ariesnoquan-ti-xiang-xian-kuang-apurikai-fa-shou-fa-nituite OpenID4VC OpenID4VCの3つの仕様、OpenID4VCI、OpenID4VP、SIOPv2について、OAuth2/OIDCと比較しながら概要をお伝えしました。 またこの標準を実装するフレームワーク/SDKのオープンソースとして以下があることをお伝えしましたSphereon社のオープンソースwalt.id社のオープンソース Web5 概要をお伝えしました。それを含めた詳細は以下で述べています。ご興味ありましたらご参照ください。（アーカイブ動画のURLを記載してあります。） https://speakerdeck.com/tkanuma/web5no-qian-i-quan-ti-xiang 最後に 今から始めるのなら、OpenID4VCまたはWeb5をお勧めすることをお伝えました。 まだ黎明期の分野です、ぜひDive Inしてみてください。 ご参加いただいた方々、ありがとうございました。

2023年12月5日（火）～6日（水）の2日間、エンジニア・クリエイター向けカンファレンス「GMO Developers Day 2023」が開催されました。本稿では、AI業界のトップランナーであるSHIFT AI 代表取締役 木内翔大氏、デジライズ 代表取締役社長 茶圓将裕氏、そしてGMOインターネットグループ 李 奨培によるセッション「ぶっちゃけAI活用推進する際に、現場で一番困ることってなによ」の模様をお届けします。 登壇者 株式会社SHIFT AI 代表取締役GMO AI & Web3株式会社 顧問 木内 翔大 氏（@shota7180）株式会社デジライズ 代表取締役社長GMO AI & Web3株式会社 顧問茶圓 将裕 氏（＠masahirochaen）GMOインターネットグループ株式会社 システム統括本部 DX推進開発部 部長 李 奨培（@jangbaelee） ChatGPTを使いこなせている組織、使いこなせていない組織の違い 2023年は、ChatGPTやStable Diffusion、Midjourneyなど生成AIが話題になりました。来年以降、AIによって社会はどのように変わっていくのか。また、エンジニア、クリエイターとしてAIとどう付き合っていくべきか、経営層としてどのようにサポートしていくべきか。セッションでは、AI活用に関して3氏によるディスカッションが行われました。 まず、はじめのテーマは「ChatGPTを使いこなせている組織、そうでない組織の違い」です。 木内氏はまず「ChatGPTがリリースされてからちょうど1年がたった。活用できている企業とできていない企業では、かなりの差が出てきていると感じている。活用できている企業はどう現場で業務を効率化するかというところから、どのようにしてイノベーションにつなげていくかというレベルにまで移行しているが、活用できていない企業はこれからやっと導入する段階だったり、社内の制約が厳しく導入できないといった状況」と現状を整理します。そのうえで、ChatGPTを使いこなせている組織とそうでない組織との違いは大きく3つあるとします。 1つめは、トップダウンであるかどうか。使いこなせている企業は、AIに対する経営層の意識が強いという特徴があるといいます。2つめは、ボトムアップで活用できる現場のリテラシー。そして3つめは、1つひとつの業務を洗い出し、それをどうAIに置き換えていくかという業務改善のPDCAを回していることだといいます。 「GMOインターネットグループは、熊谷代表自らが早い段階で情報収集をして自身でChatGPTを活用していた。トップが自ら活用し号令をかけると、現場からもさまざまな活用のアイデアが出てくる。そうした会社は、ChatGPT活用のための環境整備や現場の育成も進んでいる」（木内氏） 茶圓氏は、Fortune 500企業の92%がChatGPTを導入している一方で、東証プライム企業1,834社の導入率：たった10%というデータを紹介。そのうえで、日米で大きく差がある理由を2つあげます。1つは、セキュリティの問題です。ChatGPTは海外製品であり、海外にサーバーがあるためセキュリティポリシー上導入が難しいケースです。2つめは、リテラシー。知識がないために使いこなせないというケースです。こうした状況に対し茶圓氏は「私の予想ではExcelやWordくらい普及すると思っている。早くChatGPTを導入して活用しなければらない」と危機感を示します。 李は、GMOインターネットグループとしての取り組みを振り返り、「熊谷代表による号令のもと、2023年4月から一斉にChatGPTの活用に向けて動いてきたが、精神論が大事だった。グループ幹部内で『AIを活用しなければ淘汰される』という危機感が共有されていた」とします。 使いこなせていない組織が使いこなせるようになるには では、ChatGPTを使いこなせていない組織が使いこなせるようになるには、どのような取り組みが必要なのでしょうか。 茶圓氏は「教育・研修に尽きる」と指摘します。「現場がどうやって業務に使うかという方法を知らない場合、ある程度の強制力をもって教え込むことが重要。そのためには、教育とツールの整備という2つが必要になる。まずはツールを提供して、使い方をレクチャーするところまでワンストップで社内でサポートするのが理想」（茶圓氏） 一方、木内氏は「現場ドリブンでどこまでどこまで進められるかがポイントであり、そのためには現場におけるリーダーの育成が重要。マインドの醸成などもあわせて、アンバサダーとしてのリーダーを社内でつくっていくという方法が鉄板」と説明します。 2氏の意見を踏まえ、李は「GMOインターネットグループでは現在、現場のAIリテラシー向上に注力しているが、来年からはグループ各社にAIアンバサダーを設置しようと計画している」と社内の取り組みについて紹介しました。 AIプロジェクトを推進する際、経営層がすべきサポート AIプロジェクトを推進する際に、経営層としてはどのようなサポートが必要になるでしょうか。 木内氏は、ソフトバンクグループ代表の孫正義氏の例を上げ「経営層が自分自身で使うことが最も重要。率先的に活用できるトップがトップダウンで号令をかけていくことで説得力が高まる」と強調します。また、社内全体のリテラシーとマインドを醸成することも重要であるといいます。そして、そのためには、幹部、現場のリーダーといった形で複数の層に分けてリーダー育成を行っていくこと、社内全体でChatGPTをセキュアに使える環境を構築すること、奨励金の支給や人事考課での優遇などで生産性向上に取り組む人材を評価できる制度を設けることが重要であるとします。 茶圓氏も、「ツールの提供が大前提」としたうえで、「教育とモチベーション管理が重要になる」と木内氏の意見に同意します。そして「興味のある人はもう活用を進めている。ここまでもてはやされているのに使っていないということはまったく興味がない人。そことどう向き合うかは課題」と問題提起します。 李は、GMOインターネットグループ全体でのAI活用プロジェクトの経験を踏まえ、「やらない人ややらない組織は、何らかの不安や危機感、認知的不協和を感じており、積極的に踏み込めていない。今やれていないことの理由を並べて正当化してしまっている。そうではなく、やるためにはどういった課題をクリアすべきかというところに目を向けたほうがよい」とコメントします。 この先エンジニアやクリエイターはAIとどう付き合っていくべきか？ 「この先エンジニアやクリエイターはAIとどう付き合っていくべきか」というテーマに対して、茶圓氏と木内氏はそれぞれ次のように現状を説明します。 「フロントエンドの開発はGPT-4Vの登場で変わった。自然言語で開発できるツールも流行ってきている。すべてをAIに任せられるクオリティにまでは至っていないが、各作業を効率化できるため、開発期間が劇的に短くなっている。特におすすめのツールはtldraw。ラフなデザインからHTML、CSS、JSのコードを作ってくれる」（茶圓氏） 「tldrawやGPT-4Vでコード生成やデザインができるようになってきているというのは、主催するコミュニティでも実感している。実際に広告業界の人たちはすでに使い始めており、画像生成・デザイン系で3〜5倍くらい、動画系だと2倍以上の業務効率化につながっているという話もある」（木内氏） 2024年、AIで社会はどう変わる？ 最後のテーマは「2024年AIで社会はどう変わる？」です。 茶圓氏は、「大リスキリング時代が到来する」と展望します。政府はリスキリングの支援に対し5年で1兆円を投資することを表明しており、国をあげてリスキリングの重要性が叫ばれている状況といえます。茶圓氏のデジライズ社による企業向けの研修も、こうした助成制度を利用すれば75%オフで受けることができるといいます。 「企業でのAI活用は助成制度を利用して普及していくと思う。ツールに関してもIT導入補助金を活用すれば半額以下で導入することも可能。そこをうまく使いながら進めることがポイント」（茶圓氏） 一方、AGI（汎用人工知能）やシンギュラリティの実現を15年前から信じており、IT革命を加速するためにエンジニアスクールを開講したことが現在の事業につながっているという木内氏。来年以降、人間より賢いAIが登場することは十分予想されるとします。 「OpenAIのAssistants APIのようにさまざまなシステムにGPTを埋め込むことができるようになると、アプリケーション同士が連携しあってスムーズにシステムをつなぎ込めるようになる。そうなると、もはや分散型のAGIと呼べるのではないかという考え方も出てきている。 生成AIの性能の指標となるパラメーター数が増大するなか、近い将来人間より賢いAIが登場することが予想される。だからこそ、活用するかどうかで生産性の差はより大きくなってくる。そうした意味で、リテラシー向上やリスキリングは重要」（木内氏） 変化を受け入れて楽しむことが重要 まだまだAI自体に課題はあるものの、個人や組織において活用しなければならないという意識は高まっている状況にあるといえます。李は「AIをはじめテクノロジーが指数関数的に進歩していくなかでは、変化の波を恐れず楽しんでいくことが大切。変化を受け入れて、柔軟に対応することで、可能性は無限に広がるはず。クリエイター・エンジニアのみなさんは、ぜひ変化を楽しみましょう！」と聴講者にメッセージを送り、セッションを締めくくりました。 アーカイブ 映像はアーカイブ公開しておりますので、まだ見ていない方、もう一度見たい方は 是非この機会にご視聴ください！ https://www.youtube.com/watch?list=PL-nSubl7UrR4WFlNKWsMjKLRUqsfD1JRi&v=j8EIZsH0rzI&feature=youtu.be