DARPA AIサイバーチャレンジ（AIxCC）は開始から1年を経て、参加者を準決勝進出者7名にまで絞り込んだ。
2023年のブラックハットで突然発表されたこのコンテストでは、重要なインフラで使用されている多くのシステムを支えるオープンソースコードのセキュリティ強化を可能にするAIモデルの構築を競うチームが集まった。42チームが準決勝に進み、先週末ラスベガスで開催されたDEF CONで決勝が行われた。そのうち7チームがそれぞれ200万ドルの賞金と来年の決勝進出権を獲得した。
「DARPAらしく、このプログラムを開始した当初は、私たちの仮説が証明されるかどうか分かりませんでした」と、AIxCCプログラムマネージャーのアンドリュー・カーニー氏は、最終候補者を発表する声明の中で述べた。「今では、AIシステムは脆弱性を特定するだけでなく、パッチを適用して重要なインフラを支えるコードを保護できることがわかりました。」
DEF CON 32のAIxCCビレッジのチャレンジダッシュボードをご覧ください - クリックして拡大
準決勝進出者向けに設定された5つのチャレンジプロジェクトには合計22件の脆弱性が見つかり、そのうち15件は修正可能でした。準決勝進出者の目標は、チャレンジプロジェクトを「自動処理できるサイバー推論システム」を開発することでした。
チャレンジ内の脆弱性は人工的なものでしたが、その使用事例は人工的なものではありません。チャレンジは、重要なインフラストラクチャに関連付けられたシステムで一般的に使用されている Jenkins、Linux カーネル、Nginx、SQLite3、Apache Tika のストレス テストを行うように設計されました。
DARPAは、「競合他社のシステムは、C言語ベースのチャレンジに対して11個の固有のパッチ、Javaベースのチャレンジに対して4個の固有のパッチを特定しました」と述べています。「競合他社のシステムはまた、SQLite3に1個の実世界のバグを発見しましたが、これはSQLite3のバグ報告ガイドラインに従って責任を持って開示されています。」
大きな賞を獲得するにはオープンソース化が必要
決勝進出には前述の200万ドルの賞金が付与され、プロジェクトの累計賞金総額は2,950万ドルとなります。ただし、決勝進出を希望するチームには大きな条件があります。それは、作品をオープンソース化することに同意しなければならないということです。
- DEF CONフランクリンプロジェクトは、重要なインフラを強化するためにハッカーを動員する
- オープンソース ソフトウェアのセキュリティ保護: そもそもそれは誰の仕事なのでしょうか?
- DEF CONバッジの論争は、ファームウェア開発者がイベントステージから排除されたことで物理的なものに発展した。
- CISAはC/C++プロジェクトを調査し、多くのC/C++コードを発見しました。そのうちのどれか一つでもRustで書き直してみませんか？
AIxCCのテクニカルプロジェクトマネージャー、ジェフ・ディークス氏はDEF CONで、オープンソース化に同意したチームは、プロジェクトをLinux FoundationのOpen Source Security Foundation（OpenSSF）に引き渡す必要があると語りました。OpenSSFはモデルの管理者となります。DARPAによると、契約の詳細は来年の最終選考まで確定・発表されないとのことです。DARPAに詳細を問い合わせました。
「これを正しく行えば、世界をより良くすることができます」と、OpenSSFのゼネラルマネージャーであるオムカール・アラサラトナム氏は、彼とディークス氏とのインタビューで語った。
優勝チームのデザインの詳細は公表されていないが、優勝者のリストは以下の通り。42-b3yond-6ug、all_you_need_is_a_fuzzing_brain、Lacrosse、Shellphish、Team Atlanta、Theori、Trail of Bitsは200万ドルのオファーを受けたが、各チームがまだ賞金を受け取ったかどうかは不明である。
DARPAに加え、保健省高等研究計画局（ARPA-H）もこのプロジェクトに資金提供しており、ARPA-Hは2,000万ドルの自己資金を投入しています。ファイナリストは優勝賞金400万ドルを競い合い、2位と3位にはそれぞれ300万ドルと150万ドルが授与されます。®
