「暗黒時代」の到来？法執行機関によるハッキング捜査のリアル

現在、デジタル化の進展に伴い、捜査機関が暗号化された通信にアクセスできなくなる「Going Dark（暗黒化）」問題が深刻化しています。これに対抗するため、警察などの法執行機関が独自にハッキング技術を駆使する「デジタル捜査の時代」へと突入しています。プライバシーと公共の安全、この境界線がかつてないほど曖昧になっており、技術者としてこの潮流をどう捉えるべきか、議論が求められています。

アメリカ政府やイスラエルがみんなのスマホをハッキングできなくなることを、僕が心配しなきゃいけないってこと？

片方では、潤沢な予算を持ち、最高の技術と頭脳を駆使するシリアスなアクター同士が絶えず争っているような記事がある一方で、もう片方では、ルートアクセス権を持つセキュリティ責任者が基本的な技術知識を（何度も）理解しておらず、セキュリティのベストプラクティスにある「やってはいけないこと」リストを全てやってしまい、結果として顧客全員がハッキングされるというニュースが流れてくる。まるで同じ場所に同時に存在する二つの平行世界が、なぜか交差していないような感じだね。

これは専門家に対して洗練された計画のもとに結集せよという呼びかけではない。AI革命に関する多くの事柄と同様に、私たちは現在とは異なる場所に向かう長く滑りやすい坂道を下っているのだと、今ふと思ったんだ。

へえ、「長く滑りやすい坂道」か。本当にそんな感じがするよ。

現実世界では、私たちが使えるバグの数には上限があり、おそらくすぐにその上限に達するという意見は説得力がある。

自分にはしっくりこないな。企業がAIを使って雑なコードの機能をどんどん追加しているのを目の当たりにしているし、自分が使うソフトウェアでもバグは減るどころか増えている気がする。ソフトウェアがよりバグまみれになると同時にセキュリティも向上する可能性もゼロではないけれど、自分としてはその二つは逆方向ではなく同じ方向に動いているんじゃないかと思うんだ。

推測だけど、AIのおかげで「既存の」セキュリティ問題を見つけて修正する能力は向上している一方で、それよりも速いペースでセキュリティの穴（サーフェスエリア）を広げているんじゃないかな。

どうだろうね。スタックのあらゆる層でAI生成コードが溢れ返るような状況なら、脆弱性は残ると思うよ。

もし私たちが新しいコードの追加をやめて、小さなセキュアなコードベースに絞る覚悟があれば、AIがそのコードベース内の脆弱性を全て見つける手助けをしてくれるかもしれない。

でも、みんな一貫してそれをやりたがらないんだよね。もしコードの追加をやめる覚悟があれば、何十年も前にそうできたはずだし、どこでもSQLiteレベルのテストを行って、おそらくバグのほとんどは既に見つけられていたはずだよ。

実際、このダイナミクスの最悪な点は、これら潜在的な新しいバックドアが、主にアメリカが自らのシステムを弱体化させるために使われるようになり、その結果、外国の敵対勢力が私たちの通信を攻撃する新たな方法を見つけることを可能にしてしまうことだ。この意図的な自爆行為は、私たちがようやく自らのインフラを守る方法を学ぼうとしているまさにその瞬間に起こるだろう。

法執行機関（や諜報機関）が他者に強制的に意図的なバックドアを仕込ませるという主張と、全員がAIを使ってソフトウェア内の「全ての」潜在的な穴を見つけて塞いでしまうから脆弱性はなくなるという主張が、どう両立するのかが理解できない。

意図が違うだけで他のセキュリティ脆弱性と全く同じ見た目になるんだから、AIのどれかがこの意図的なバックドアを検知して報告しちゃうんじゃないの？

著者のことは尊敬しているから、自分の方が著者よりこのトピックについて理解しているなんてことはなくて、文章全体のどこかを読み違えているんだろうな。「だからこれがどう問題なの？」という箇所までは頷きながら読めたんだけど、そこから先がうまく理解できていないみたいだ。

コンピュータ化された中央局ができる前は、電話の盗聴には物理的な配線が必要だったことを認識しておく価値があるね。ルドルフ・ジュリアーニが組織犯罪を訴追していた頃は、物理的な配線を引くだけでなく、警察はその費用を高額な専用回線として支払わなければならなかった。彼の特別調査班は、New York Telephoneへの盗聴費用として年間約100万ドルを費やしていたんだ。
あるケースでは、法執行機関が支払いを怠り、盗聴されていた人物の請求書に盗聴回線の接続料が記載されてしまい、事件が露呈してしまったこともある。

それがきっかけで「通信支援法（CALEA）」が制定され、中央局はリモート盗聴を提供することが義務付けられた。回線の最大1%の容量を確保することが求められているんだ。

電気機械式の時代には、収集できる通話データは「ペンレジスタ」[1] を使用した発信時のダイヤルパルスのみだった。（Wikipediaに載っているやつは僕のものだよ。美しいアンティークの真鍮製電信技術だ。ダイヤルパルスをダッシュとして記録するんだけど、時計みたいに大きな真鍮の鍵でネジを巻く必要があるんだ。）令状なしで「ペンレジスタ」を許可した最高裁の判決は、これらの「極めて限定的な」デバイスを指している。その定義は、法執行機関によって、通信会社が収集する全ての非音声データにまで際限なく拡大解釈されてきたんだ。

法執行機関は、今でもさらに多くを求めているよ。

完璧にセキュアなソフトウェアが可能であるという前提で考えてみよう。それが諜報活動に課す制限が、必ずしも正味の損失になるとは思えないんだ。

プライバシー侵害や、漁師が魚を釣る場所を決めるかのように偏った捜査（フィッシング遠征）を行うという明らかな害は別として、データは、特に文脈がない場合、誤解を招く可能性があるという単純な事実がある。傍受された通信は、本質的に傍受者の信頼性に依存するデータの一部でしかない。特定の意図を持つ少数の人間が協力すれば、同じことを異なるソースから「発見」することで、真実らしく見せかけることだってできる。

情報の保持者に対して令状を要求してデータを提供させることは、悪用から守るという目的だけでなく、検証可能な証拠の履歴を作り出すことにもなる。

また、能力にある程度の対称性を提供することで、一時的な優位性があるという理由だけで他者に対して行動を起こそうとするような動きを抑制することにもつながるんだ。

ちょっと指摘しておきたいんだけど、世界のどこの法執行機関も誰かの電話を盗聴できなかった最後の年は1876年だよ。

150年前に電話が発明されて以来、今回のような記事は、それ以前には警察は犯罪者を一人も捕まえられなかったと言わんばかりの前提に立っているように見えるね。

最高の頭脳を雇った無制限の予算を持つ政府が、悪党を捕まえるために真剣な努力をしなければならず、世界中を気軽にスパイする価値がないと判断せざるを得なくなるなんて、本当に胸が痛むよ。

刑務所ビジネスを潤そうとする連中が、一般市民を刑務所に送り込むための口実を簡単に見つけられなくなるなんて、もうどうしていいか分からないほどだ。

悲しくて仕方ないよ、みんな。