AIハッキングの恐怖の中、イギリスNHSはソフトウェアの隠蔽を急いでいる
国民保健サービスが作成したソフトウェアは通常、一般に公開されています
マレクス・パーコンス/アラミー
NHS England は、最先端の人工知能によるハッキングの危険性が認識されているため、作成したすべてのソフトウェアを公開から急いで削除しています。セキュリティ専門家は、この動きは不必要で逆効果だと主張している。
国民保健サービスが作成したソフトウェアは、公的資金で作成されているため、これまでオープンソース化され、GitHub にリストされていました。これにより、他の組織はこれを基にして、労力を重複させることなく、より良いサービスをより安価に作成できるようになります。
しかし、NHSイングランドはスタッフ向けに新たなガイダンスを発行し、それが共有されている 新しい科学者そのためには、既存および将来のソフトウェアを公の場から削除し、密室に保管する必要があります。新しいガイダンスには、「すべてのソースコードリポジトリは、デフォルトでプライベートでなければなりません。明示的かつ例外的な必要性があり、パブリックアクセスが正式に承認されていない限り、リポジトリをパブリックにしてはなりません」と記載されています。プライベートコードの作成期限は5月11日まで。
先月、Anthropic が作成した Mythos と呼ばれる AI は、事実上あらゆるソフトウェアの欠陥を発見する能力があり、それを実行しているシステムにハッカーが侵入できる可能性があると広く報告されました。
NHS イングランドからのガイダンスでは、新たな措置の原因としてミトスが特に指摘されています。 「パブリックリポジトリは、特に大規模なコードの取り込み、推論、推論が可能なAlモデル（例：Mythosモデルの開発）の急速な進歩を考慮すると、悪用可能なソースコード、アーキテクチャ上の決定、構成の詳細、コンテキスト情報が意図せず公開されるリスクを大幅に増大させる」と書かれている。 「この赤い線は、組織がこれらの変更の影響を評価し、コードの公開リリースが意図的で検討された正当な決定であることを保証する一方で、コードに対するデフォルトのクローズド姿勢を確立します。」
しかし、英国政府が支援する AI Security Institute (AISI) は Mythos を調査した結果、Mythos が攻撃できるのは「小規模で防御が弱く脆弱なビジネス システム」のみであることが判明し、真に安全なソフトウェアやネットワークがほんの少しも危険にさらされている兆候はないと結論付けました。
この新たな措置は、職員が作成するソフトウェアをオープンソースにすることを義務付けるNHSのサービス基準に反している。 「公共サービスは公的資金で構築されています。したがって、特別な理由がない限り、そのベースとなるコードは、 [on] 他の人が再利用したり構築したりできるようにする必要があります。オープンソースコードはコンピュータを救うことができる [from] 努力を倍増させ、より良いサービスをより迅速に構築できるように支援します」と、以前のガイダンスには記載されています。
公共サービス用のオープンソース ソフトウェアも、より大きな信頼と透明性を生み出します。たとえば、英国郵便局が窃盗と詐欺の容疑で無実の人々を起訴するきっかけとなったホライズンのITシステムのコードが公開されていたら、スキャンダルは何年も続かなかったかもしれない。
英国公務員で公共データへのアクセスの開放に取り組んだ豊富な経験を持つテレンス・エデン氏は、この動きは論理的に意味がないと言う。
「Mythos がリポジトリをスキャンしてバグを見つけることは可能でしょうか? はい、その可能性は 100% です。それはどこかの稼働中の NHS サービスにセキュリティ上の問題を引き起こすバグでしょうか? ほぼ確実にそうではありません」と Eden 氏は言います。 「ミトスが私たちが知っているような安全性の終焉を引き起こすという誇大宣伝を買って、少しパニックになっているのはイギリスのNHSの誰かだと思います。」
エデン氏は、オープンソース ソフトウェアは多くの人がバグをテストできるため、実際にはより安全であり、いずれにしても、ほとんどの NHS ソフトウェアはセキュリティ クリティカルではない、と述べています。重要なのは、このコードは何年も前から公開されているため、さまざまなバックアップやダウンロードに依然として存在するということです。
「今電源を切るのは、馬がいなくなった後に納屋のドアをボルトで締めるようなものです」とエデンは言う。 「私もNHS内で話した人々も、彼が何を達成しようとしているのか完全に混乱しています。」
NHSイングランドの広報担当者は、「AIモデルの急速な開発の影響を評価する間、サイバーセキュリティをさらに強化するため、一部のNHSイングランドのソースコードへのアクセスを一時的に制限している。明らかに必要な場合にはソースコードの公開を継続する」と述べた。
テーマ:
