CrowdStrike、Fal.Conでアイ駆動型セキュリティを強化

CrowdStrike（CRWD）は2026年9月3日（木）、Fal.Con第3日目において、AI駆動型サイバーセキュリティへの大規模な転換を打ち出した。新たな研究ツールと主要なプラットフォーム変更を組み合わせた内容であった。同社は強力なイノベーションの方向性を示す一方、攻撃がより高速化・低コスト化・阻止困難化している脅威環境についても説明した。

基調講演では、CrowdStrikeがフロンティアAIモデル、エンドポイントレベルの推論、再設計されたセンサーアーキテクチャを通じてこうした変化に対応しようとしている方針が中心的に語られた。株価は4.4%上昇し212.37ドルとなり、52週レンジである85.68ドルから233.88ドルの上限付近に位置した。

主要ポイント

• CrowdStrikeは、サイバーセキュリティAIに特化した研究機関「Cyber Superintelligence Lab」および「SafeMind」を発表した。
• 同社のFalconプラットフォームは1エクサバイトを超える非圧縮データを保存し、1日あたり7兆件以上のイベントを分析していると説明した。
• エンドポイント保護の近代化とカーネルベース設計への依存度低減に向けた主要な取り組みとして、WESP、Ascent、Modularityを紹介した。
• 最新のWindowsセンサーにおいて、データ保護と分類のためのエンドポイント上のローカルAI推論が一般提供開始となったと発表した。
• 財務業績の開示はなく、セッションは製品戦略、技術的能力、将来のアーキテクチャに集中した。

財務業績

基調講演では売上高、利益、その他の業績指標は開示されなかった。CrowdStrikeはプレゼンテーションを財務業績ではなく、製品開発と技術戦略に集中させた。

• 四半期および年間財務業績は開示されなかった。
• 業績見通しの変更も発表されなかった。
• 主なメッセージは戦略的なものであり、同社はエンドポイント保護の販売にとどまらず、より広範なAIセキュリティプラットフォームの構築を目指している。

Cyber Superintelligence LabとSafeMind

CrowdStrikeの最高イノベーション責任者であるBartley Knableは、同社が「世界初のCyber Superintelligence Lab」と称する研究機関を発表した。このラボは、汎用AIではなくサイバーセキュリティ専用のフロンティアAIモデルを構築するために設計されている。

Knableは、この取り組みがシンプルな考え方を反映していると述べた。「集中することは超能力だ」と語り、CrowdStrikeは防御者にとって中心的な問いに答えたいとした。それは、攻撃者に対して「克服不能な優位性」を取り戻すために何が必要かという問いである。

• ラボはフロンティアサイバーセキュリティモデル、専門化されたハーネス、安全なテスト環境、透明性のあるベンチマークという4つの分野に注力する。
• CrowdStrikeによれば、ラボには270名の博士号取得者、500名以上の脅威研究者、数百名のAI研究者が在籍している。
• 同社はAIによってサイバー脅威の速度と複雑性が約1,000倍に増大したと述べた。
• SafeMindは、攻撃的AIと防御的AIをクローズドループでテストするための同社の包括的なシステムである。

競争優位としてのデータ規模

CrowdStrikeは、同社のAI活動がFalconプラットフォームのデータ規模の上に構築されていると説明した。テレメトリのサイズと品質が、より小規模なデータセットや汎用AIツールに依存する競合他社に対する優位性をもたらすと主張した。

• Falconプラットフォームは1エクサバイトを超える非圧縮データを保存しており、CrowdStrikeはこれが米国議会図書館のデジタルコレクションの50倍に相当すると述べた。
• プラットフォームは1日あたり7兆件以上のイベントを処理しており、地球上の1人あたり約840件のイベントに相当する。
• CrowdStrikeは1日あたり約14ペタバイトのファーストパーティおよびサードパーティデータを取り込んでいると述べた。
• 同社はその1日分のデータ量を、4K動画を20億時間ストリーミングするのに十分な量と比較した。

Knableは、同社の目標はオープンソースのAIモデルを本番環境で使用可能な専門的なセキュリティツールに変換することだと述べた。

SafeMind：攻撃、防御、デジタルツイン

SafeMindは、Red Tempestと呼ばれる攻撃モデル、Blue Solanoと呼ばれる防御モデル、そしてデジタルツインとして機能するサイバー環境という3つの要素で構成されている。CrowdStrikeは、このシステムが厳格な評価、透明性、信頼のために設計されていると述べた。

同社はこの仕組みを敵対的な共進化の形態として説明した。攻撃エージェントと防御エージェントが互いにテストされ、その結果が双方の強化に活用される。

• 防御エージェントが攻撃の試みをブロックし、次のテストラウンドに向けて強化された環境を返す。
• このプロセスは、攻撃と防御がどのように共に進化するかを示すことを目的としている。
• CrowdStrikeは、このシステムが抽象的なAIの主張ではなく、測定可能で再現性のある結果を生み出すことを目的としていると述べた。

Red Tempest：攻撃モデル

Red TempestはCrowdStrikeの攻撃AIモデルである。同社によれば、270億パラメータのデンスモデルで、256Kのコンテキストウィンドウを持ち、長時間タスクには100万まで拡張可能である。

• スウォーム環境におけるオーケストレーターを備えたマルチエージェントアーキテクチャを採用している。
• CrowdStrikeは、1,000以上の攻撃シナリオにわたって155のMITRE ATT&CKテクニックをカバーしていると述べた。
• このモデルは、複数の実行にわたって数千のアクションを必要とする可能性のある長期的なタスクのために設計されている。
• その機能には、脆弱性の発見、悪用、権限昇格、横方向移動、持続性確保が含まれる。
• 同社によれば、Red Tempestはテスト1回あたり21ドルで100%の侵害を達成し、フロンティアモデルの96〜100ドルと比較してコストを80%削減した。

Blue Solano：防御モデル

Blue SolanoはSafeMindの防御側を担うモデルである。CrowdStrikeによれば、事後学習済みのNemotron-3 Super 128Bパラメータの混合エキスパートモデルをベースとし、120億のアクティブパラメータを持つ。

このモデルは最大100万のコンテキストウィンドウを持つNemotron 3 Ultraの推論オーケストレーターを使用している。CrowdStrikeは、検知エンジニアの310万時間分の専門知識を用いた教師あり微調整と強化学習によって訓練されたと述べた。

• Blue Solanoは新たな防御策と修復策を自律的に作成するよう設計されている。
• CrowdStrikeは、主要な防御・修復機能と比較して6倍高速であると述べた。
• 主要な検知・修復手法と比較して70%精度が高いと述べた。
• また、既製のフロンティアモデルの10ドルに対して約0.03ドルと、コストを99%削減すると述べた。

テストと検証

CrowdStrikeは、SafeMindを検証するための大規模なテスト環境を構築したと述べた。同社は、モデルが合成例だけでなく実際のテレメトリと検証済みの敵対的目標に対してテストされていることを強調した。

• 1,000以上の異なる攻撃シナリオが含まれている。
• テストにはマルチ実機VM環境が使用されている。
• 各シナリオは10,000回以上実行されている。
• 同社は、意図しないエージェントの逸脱なしに数万件の攻撃的攻撃が実行されたと述べた。
• システムの強化を継続するため、さらに数百万件の攻撃を実行する計画である。

プラットフォームの近代化：WESP、Ascent、Modularity

CrowdStrikeの最高技術イノベーション責任者であるAlex Ionescuは、同社のエンドポイントアーキテクチャの大規模な再設計について説明した。この変更は、プラットフォームをより柔軟で近代的なものにし、カーネルレベルのコードへの依存を低減することを目的としている。

WESPの統合

CrowdStrikeは、マイクロソフトと共同でWindows Endpoint Security Platform（WESP）に取り組んでいると述べた。WESPは現在プライベートプレビュー段階にあり、まもなく一般提供開始となる見込みである。目標はユーザーモードからカーネルと同等の保護を提供することである。

• 同社はWESPにより、ユーザーモードに留まりながらカーネルに到達するものを制御できると述べた。
• カーネルコンポーネントなしにEDRキラー攻撃と脆弱なドライバーの読み込みをブロックしたと述べた。
• WESPはEarly Launch Anti-Malwareを使用して悪意のある脆弱なドライバーを阻止する。
• 多くの従来型EDRツールでは阻止できないBring Your Own Vulnerable Driver攻撃のブロックに役立つと述べた。
• CrowdStrikeはWESPを、Linux eBPFおよびmacOS Endpoint Security Frameworkに続く3番目の主要なオペレーティングシステムの進化として位置付けた。

Ionescuは「WESPを使えば、eBPFやmacOS Endpoint Security Frameworkと同様に、ユーザーモードにいながらカーネルに入るものを決定する立場に立てる」と述べた。

Ascentプロジェクト

AscentはCrowdStrikeがセンサーの内部設計を近代化するための取り組みである。同社はカスタムシステムを標準的なツールとプロトコルに置き換えていると述べた。

• gRPCがカスタムワイヤープロトコルに取って代わる。
• HTTPSとコンテンツデリバリーネットワークがカスタムファイル転送ツールに取って代わる。
• 標準的な管理ツールが独自の管理システムに取って代わる。
• GoやモダンC++などの現代的な言語がより容易に使用できるようになると述べた。
• CrowdStrikeは、この変更により後方互換性が維持され、単一のデプロイメントパッケージ、単一の更新プロセス、再起動不要が実現すると述べた。

同社はこの転換を「必要性によるカスタム」から「選択による標準」への移行と表現した。

Modularityプロジェクト

Modularityはセンサーの内部モジュールを分離し、それぞれが独立したスケジュールで動作できるようにすることを目的としている。CrowdStrikeは、これにより顧客が必要な機能のみをデプロイできるようになると述べた。

• モジュールにはEDR、データ保護、アイデンティティ、エクスポージャー管理、クラウド、IT管理、Guardianが含まれる。
• 同社はこのアーキテクチャが単一のデプロイメントモデル、単一のコンソール、単一の更新プロセスを維持すると述べた。
• 主要なユースケースとして、フルセンサーインストールなしにFalcon Seraphic Enterprise Browserを通じた請負業者アクセスが挙げられる。
• CrowdStrikeはブラウザが既存のブラウザをラップできるため、顧客はブラウザの変更を強制する必要がないと述べた。
• このアプローチはハードウェアの配送やフルエージェントのインストールなしに管理対象外デバイスをサポートすることを目的としている。

エンドポイント推論とローカルAI

CrowdStrikeはエンドポイント上のローカル推論についても説明し、最新のWindows 8.10センサーで一般提供が開始されたと述べた。同社はエンドポイントを推論速度で判断を下せる推論マシンとして位置付けた。

Ionescuは「エンドポイントが再び主役となっている。今やエンドポイントは推論速度で推論も行っている」と述べた。

• モデルはクラウドではなくエンドポイント上で直接動作する。
• インテル、アドバンスト・マイクロ・デバイセズ、クアルコム、アップルのCPU、GPU、NPUを含む既存のシリコンを使用する。
• CrowdStrikeは、このシステムがHIPAAで保護された医療情報のデータ分類に対応できると述べた。
• 顧客リストや四半期報告書などの機密ファイルを識別しながら、食堂のメニューなど無関係なものを無視できると述べた。
• あるデモでは、未承認のクラウドアップロード試行において10件の保護医療情報ファイルを検出し、送信前に情報流出をブロックした。
• 同社はこの機能がNPU使用率約20%、ベースラインCPU使用率12%程度で動作し、ローカル呼び出しと同等のレイテンシと最小限の電力消費を実現すると述べた。

脅威の状況と市場の背景

CrowdStrikeはサイバー犯罪の経済性の変化に繰り返し言及した。攻撃者は以前よりも多くのツール、より高度な自動化、より迅速な手口の共有にアクセスできるようになっていると述べた。

• 不正AIの脅威、内部リスク、攻撃対象としてのAIを挙げた。
• オープンウェイトモデルが人間のチームが対応できる速度を超えて1,000以上の新たなマルウェア亜種を生成できると述べた。
• 攻撃チェーン全体が商品化されたと述べた。
• CrowdStrikeが追跡するほぼすべての主要なランサムウェアオペレーターがBYOVD亜種をツールキットに持っていると指摘した。

Knableは「私たちは防御を商品化した。防御は商品化されている」と述べた。同社の広範なメッセージは、防御者がAI駆動型攻撃の速度と規模に対応できるシステムを必要としているというものであった。

カンファレンスでの発表と見通し

CrowdStrikeは、いくつかの製品と機能がすでに一般提供されており、その他はリリースに向けて進んでいると述べた。

• Falcon Guardianは一般提供が開始されており、顧客は当日中に有効化したと報告した。
• Agentic Identity Providerが利用可能となっている。
• サプライチェーンポリシーが利用可能となっている。
• Agentic SOCが利用可能となっている。
• データ保護と分類のためのローカル推論モデルが利用可能となっている。
• WESP統合機能は方向性が示されており、WESPの一般提供開始に依存している。

Michael Sentonasは今週の発表と同社の継続的なイノベーションへの注力を指摘して基調講演を締めくくった。CrowdStrikeはFal.Con 2026に10,000人以上が参加したと述べ、Fal.Con 2027の開催を予定していると発表した。

詳細については、以下の完全な議事録を参照されたい。

この記事は一部自動翻訳機を活用して翻訳されております。詳細は利用規約をご参照ください。