［ニュース解説］NVIDIAとCrowdStrikeが攻防AIエージェントを閉ループ化——オープンモデルの検知は汎化したのか

2026-09-08

はじめに

　NVIDIAが2026年9月1日、CrowdStrikeと共同で構築したエージェント型サイバーセキュリティシステムの評価結果を公開しました。攻撃側と防御側のAIエージェントを閉ループでつなぎ、オープンモデルのNemotronで検知ルールの生成と検証を回す試みです。本稿では、その構成と評価結果を解説します。

参考記事

メイン記事:

タイトル: Building an Adaptive Agentic Cybersecurity System with NVIDIA Nemotron
著者: Roberto Rodriguez、Neha Hudait
発行元: NVIDIA Developer Blog
発行日: 2026年9月1日
URL: https://developer.nvidia.com/blog/building-an-adaptive-agentic-cybersecurity-system-with-nvidia-nemotron/

要点

NVIDIAとCrowdStrikeは、攻撃側エージェントと防御側エージェントを連続した閉ループでつなぐ検証システムを、隔離環境で評価した
防御側のハーネスは、スキーマ知識ベース、テレメトリへの接地、専用モデルによる検知作成、自動リンティング、検知リプレイ、独立レビューの6つの仕組みで構成される
防御全体の統括をNemotron 3 Ultraが担い、検知ルールの生成と修復は追加学習したNemotron 3 Superが担当する分業構成である
バックテストでの平均検知率は41.9%となり、既定ハーネスとUltra単体による16.5%から2.5倍に向上した
未知の8種類の攻撃を用いたライブ検証では、オープンモデル側の検知の45%が機能し、最上位の「gold」判定を得た検知は3件、フロンティアモデル側は0件である

詳細解説

攻撃と防御を一本のループにつなぐ

　従来のレッドチームとブルーチームの演習は、手作業の受け渡しに依存してきました。攻撃を実行し、テレメトリを確認し、検知ルールを書き、再テストする。この受け渡しのたびに時間がかかるため、検証できる攻撃パターンの数が限られます。

　今回の構成は、この一連の流れを機械速度で回る閉ループに置き換えています。ループは4段階です。まず脅威を想定した目的から攻撃エージェントが攻撃経路を選んで実行し、CrowdStrike Falconのエンドポイントセンサーがテレメトリを取得します。次に防御エージェントが行動トレースとテレメトリを受け取り、どの事象が再構成できるか、既存の検知は反応したか、可視性の欠落はどこかを判定します。続いて候補となる検知ルールを生成し、検証ハーネスが記録済みテレメトリに対して逆検証します。最後に、検証を通った検知を配備したうえで、別の乱数系列で同じ目的の攻撃を再実行し、その結果を再び攻撃エージェントに戻します。

　NVIDIAによれば、ループは環境内で有効な攻撃経路が見つからなくなるまで継続します。防御が固まるほど攻撃側はより難しい経路を探す構造になっており、双方が同時に鍛えられる点が設計上の要点だと考えられます。エージェントの性能を引き出すにはモデル単体ではなく周辺の枠組みが重要になるという論点は、ハーネス設計をめぐる議論としてこれまでも扱われてきたテーマです。

検証環境と、防御ハーネスの専門化

　検証環境は、NVIDIAが自社のアクセラレーテッドコンピューティング基盤をサニタイズした自然言語仕様として提供し、それをエージェント支援のワークフローで隔離環境へ変換して構築されました。評価はエージェント自身の申告ではなく、行動トレースとセンサーテレメトリから観測できる到達点で測られています。同一環境をすべての実行で使うことで、構成間の比較が成立する設計です。

　防御側のハーネスには、6つの仕組みが組み込まれています。Falconセンサーのスキーマやフィールドを列挙できるツール（存在しないフィールドの捏造を防ぐ）、攻撃トレースとテレメトリへの接地、検知の生成・修復に特化した専用モデル、構文エラーや特定IP・ホスト名への依存を弾く自動リンティング、記録済みテレメトリに対する検知リプレイ、そして別文脈の判定モデルによる独立レビューです。

　これらは、検知エンジニアリングの現場で人手のレビューとして行われてきた確認作業を、機械的に実行できる形に落とし込んだものだと言えます。生成物が「もっともらしいだけ」で終わらないよう、検証可能性を先に用意しておく設計思想は、コード生成など他の領域にも通じる考え方だと思います。

統括役と専門役でモデルを分ける

　オープンモデル構成では、Nemotron 3 Ultraが攻撃系列の再構成、検知エンジニアリングの手順計画、ツール呼び出しを担当します。検知ルールを書く、あるいは直す段階になると、カスタマイズされたNemotron 3 Superが限定領域の専門家として呼び出されます。長い文脈を扱う統括処理と、短く専門的な生成処理を分ける構成です。

　CrowdStrikeはNemotron 3 SuperをNL2LogScaleモデルの基盤とし、サイバーセキュリティ知識での継続事前学習、教師ありファインチューニング、検証可能な報酬による強化学習（RLVR）を順に適用しています。ファインチューニングには、59種類のプログラム生成されたエラー型にわたる9,349件の検知生成・多段修復の事例が用いられました。強化学習ではNeMo Gymが生成クエリをFalcon LogScale上で実際に実行し、無効なクエリには実エンジンのエラーを返して最大5回まで修復を試行させ、解決できなければ報酬はゼロになります。有効なクエリは参照クエリと同じ合成ログに対して実行され、返ってきたイベントのF1一致度が報酬となります。モデルの更新にはNeMo RLのGRPO（群相対方策最適化）が使われました。

　構文が通るかではなく、実行結果が一致するかを報酬にしている点が特徴です。ベースとなったNemotron 3 Superは、総パラメータ1,200億・アクティブ120億のハイブリッドMamba-Transformer型MoEモデルで、100万トークンの文脈長を持つとNVIDIAは説明しています。長時間動き続けるエージェント用途を想定した設計であり、限定タスクの専門役として追加学習する対象として選ばれた背景にも合致すると考えられます。

バックテストとライブ検証の結果

　評価は2段階で行われました。まず検知ルールを作る元になった攻撃を再検出できるかを確かめるバックテスト、次に同系統の未知の攻撃8種に対するライブ検証です。

　NVIDIAによれば、Nemotron 3 Ultraと既定ハーネスの組み合わせでは、生成された検知のうち記録済み攻撃を検出できたものは8セッション平均で16.5%でした。ここに調整済みハーネス、カスタマイズしたNemotron 3 Super、ドメイン文脈、ツール、検証を加えると、6セッション平均で 41.9% へと2.5倍に上昇しています。ただしハーネスとモデル構成の両方を同時に変えているため、モデル単体の寄与を切り出した結果ではないとNVIDIA自身が注記しています。

　ライブ検証では、バックテストを通過した検知をオープンモデル構成から11件、フロンティアモデルによる完成系システムから35件配備しました。少なくとも1つの攻撃を検出したのは、オープン側が11件中5件（45%）、フロンティア側が35件中10件（29%）です。1検知あたりの平均検出数はオープン側2.6、フロンティア側1.1でした。さらに、良性トラフィックで誤検知を出さないこと、独立レビューで挙動への接地・複数シグナルの利用・環境固有文字列の不使用が確認されることを条件とする「gold」判定では、オープン側が3件、フロンティア側は0件という結果です。この3件で8種の攻撃すべてを網羅しています。

この結果をどう読むか

　フロンティアモデル側はバックテストを通過する検知の数そのものは多く生成しています。一方でオープンモデル側は、未知の攻撃へ汎化した比率と品質面で上回ったという構図です。

　ただしNVIDIAは限界も明示しています。評価対象は1つのシナリオ系統に限られ、検知の件数も少数です。良性トラフィックが限定的なため、誤検知率は本番環境の水準を代表しません。8回のライブ実行のうち3回はハーネス側の障害が発生しています。NVIDIA自身がこれを一般的なベンチマークではなく、方向性を示すシステムレベルの事例研究と位置づけている点は、読む側も踏まえておきたいところです。数値の大小より、検証を組み込んだ設計が汎化する検知を生みやすいかという問いのほうが、実務上は重要だと思います。