「FBIでテロ対策などに従事してきて、後追いの対策から逃れることはできないと思っていた。米Dell時代に米Cylanceの技術を知り、後追いの対策ではなく予測型の予防防御がとれることを知った」（米Cylanceで副社長兼特使を務めるJohn E.McClurg氏）
パターンファイルではなくアルゴリズムでマルウェアを判定するウイルス対策ソフトが、米Cylance（日本法人はCylance Japan）の「CylancePROTECT」だ。同社は1月16日、都内で会見し、他社と比べた優位性として、AI（人工知能）だけでマルウェアを検知することなどをアピールした。
米Cylanceで副社長兼特使を務めるJohn E.McClurg氏
John E.McClurg氏がDellに在籍していた当時、Dellの最高技術責任者（CTO）は「生贄の子羊はもう要らない」と言ったという。「ウイルス対策のシグネチャを作成するという大義のために、ユーザー企業のエンドポイントを生贄としてこれ以上差し出したくない」との願いだ。
この経緯からDellは、高度なエンドポイント防御策を持っている企業に声を掛けた。集まった60社に対して、4160件のマルウェアを投げた。60社のうち米Cylanceが最も優れており、検知できなかったのは4160件中わずか12件、つまり99.7％の検知率だった。
John E.McClurg氏は、最初はこの結果を信じなかった。社員に調査させたところ、検知率が真実であることを知ったと主張する。
マルウェアのモデルを機械的に学習してアルゴリズムに落とし込む
CylancePROTECTの最大の特徴は、パターンマッチングや振る舞い検知といった既存の手法ではなく、対象のファイルがマルウェアの特徴を備えるかどうかをアルゴリズムで判定するという手法を採用したこと。
マルウェアを含んだ大量のファイルのビットパターンを機械的に学習してマルウェアの特徴を抽出し、マルウェアを検出する計算式に落とし込んでいる。10億個を超えるファイルから600万以上の要素を特徴点として抽出している。
個々のエンドポイントにインストールするエージェントソフトにアルゴリズムを搭載しており、スタンドアロンで動作する。このため、シグネチャ型のウイルス対策と異なり、パターンファイルの更新が要らないことも特徴だ。
AIを使っていることを標榜するベンダーは、他にもある。ところが、Cylance JapanでCTOを務める乙部幸一朗氏は、「CylanceはAIで先を行っており、他社は追いつけない」と主張する。
他社が追いつけない理由の1つは、AIのハンドリングの仕方だという。「シグネチャの生成などに機械学習を応用するのではなく、Cylanceはマルウェアをモデルとして定義して機械的に判定している。これをやっているのはCylanceだけだ」（乙部氏）
組み込み機器などのIoTデバイスにも搭載
Cylance Japanで最高技術責任者を務める乙部幸一朗氏
将来は、コンシューマー版の製品も市場に投入する。これによって、より広範にエンジンが流通することになるが、犯罪者がマルウェアを製作しやすくなるということはない、と乙部氏は主張する。
Cylanceのエンジンがあればマルウェアかどうかを判定できるが、機械学習のアルゴリズムなので、どうしてマルウェアと判定したのかの理由は分からない。「判定エンジンをバイパスするテクニックを見つけることはできない」（乙部氏）
Cylanceのエージェントは、クライアントPCだけでなく、Windows組み込み機器などのIoTデバイスや各種ネットワークアプライアンスなどにも搭載されている。動作の軽さや、シグネチャ更新が要らないことが、特に組み込み機器にとってのメリットとなる。
IoTデバイスでは独Siemensや米Honeywellなどと取り組んでおり、アプライアンスでは米A10 Networksや、米Symantecが買収した米Blue Coat Systemsにエンジンを提供しているという。
