木曜日, 11月 28, 2019

ロボット警察犬。すでに2事件で出動

ロボット警察犬、誕生。Boston DynamicsのSpotが就職してた

ロボットに聞き込みとかされる日も近い。
Boston Dynamicsの犬型ロボット｢Spot｣は、建設現場で作業したり大型トラックを引っ張ったりといった実験を経て、最近では普通に買えるようにまでなっています。なので今はどんな現場に出ててもおかしくはないんですが、じつは米国の警察ですでにトライアル中であることが発覚しました。

すでに2事件で出動

アメリカ自由人権協会（ACLU）のマサチューセッツ州支部が入手した資料などによると、米マサチューセッツ州警察（以下MSP）は遅くても2019年4月以前からSpotの実用実験を開始しており、すでにふたつの｢事件｣での出動実績があるそうです。どんな事件だったのかは不明で、またSpotを人間がコントロールしていたのか、それともある程度自律稼働していたのかもわかりません。ただSpotの法人向けリースが正式に始まったのは2019年10月なので、それより若干早く開始していたのはたしかです。米GizmodoはMSPにメールで質問しましたが、まだ回答はありません。

この件を最初に伝えたボストンの公共ラジオ局・WBURによると、ACLUが入手した資料の中にはメールや契約書があり、その内容からは警察がロボットをどう活用していくかの将来像がうかがえます。MSPのRobert G. Schumaker氏は資料の中で、ロボットは｢戦術運用の重要なコンポーネント｣であり、州の｢安全保障戦略｣を支えるのに必須だと訴えています。

Spotには90分持続する充電式バッテリーとさまざまなセンサーが搭載されていて、360度動画も撮影できます。Spotの最高速度は時速3マイル（約4.8km）、最大積載量は約30ポンド（13.6kg）です。｢頭｣の部分から伸びる特殊な腕を使い、ドアを開けることもできます。

入隊経緯が不明で、モヤっとする

ちょっと変わってるのは、SpotがMSPで使われるようになった経緯です。Boston Dynamicsが普通に売り込んだとかじゃなく、Boston Dynamicsの上層部が、警察内部と個人的につながっていたから、らしいんです。州警察K-9部門のメンバーが2018年9月1日にSchumaker氏に送ったメールには、｢私の友人は現在Boston Dynamicsのセキュリティオフィサーをしています。彼は研究開発チームに対し、Spotを警察組織に見せて、開発や警察コミュニティへのマーケティングに対するフィードバックを得てはどうかと提案しました｣と書かれています。

Boston DynamicsとMSPの契約書には、興味深い条文もあります。たとえばMSPはロボットの写真を公開しちゃいけなくて、Spotの写真を撮るだけでもNG、とかです。でもBoston Dynamics自身は、MSPがSpotを使っているところを撮影し、今年行なわれたカンファレンスで公開（以下動画の10：20あたり）していました。

今回発見された契約書は2019年8月7日から11月5日までをカバーしていますが、Boston DynamicsのCEO・Marc Railbert氏はこの動画の2019年4月時点で、MSPのSpot活用について語っています。Spotが警察官の指示でドアを開ける様子も、10:25あたりから見られます。

今回、MSPの文書を発見したACLUのTechnology for Libertyプログラムのディレクター、Kade Crockford氏は次のように語っています。｢マサチューセッツ州内でこれらロボティクスシステムがどこでどのように使われているか、わからないことが多いのです｣｢こうした技術の現場への適用は、我々が社会的、政治的、法的に対応できるより早く行なわれがちです。我々は政府機関のさらなる透明性を強く必要としていますし、彼らは新しい技術のテストや実用の計画について前もって公開すべきです。加えて、我々は人工知能時代において、市民の自由、権利、人種間の正義を守るため、州全体としての規制を必要としています｣。

そして｢マサチューセッツ州は、セーフガードが技術革新に追いつくようもっと努力すべきです｣とCrockford氏。｢ACLUは、我々の法が技術についていくための解決策を見出し実装するために、地域・州当局と進んで協力します｣。

ただ、上のWBURの記事にあるように、警察がロボットを使って犯罪捜査にあたるのは、Spotが初めてじゃありません。2016年にはテキサス州ダラス警察が、爆弾処理ロボットで｢銃撃犯｣とされる人物を爆殺しました。米Gizmodoはそのとき連邦情報公開法に基づいて爆殺時の動画と音声データの開示を要求したんですが、却下されました。米国の警察は、ロボット利用に関してすごく秘密主義的なんです。

うちのロボットは怖くない、とBoston Dynamics

Boston Dynamicsは、彼らのロボットが恐れられることを（意外と）嫌っているようです。それならもうちょっと怖くない外見を考えてもいいのでは…とかつい思ってしまうんですが、きっと見た目がどうであれ、ロボットって怖いんですよね。Boston Dynamicsが犬型ロボットのSpotを二足歩行ロボットのAtlasより先に警察に使わせているのは多分意図的で、人間っぽいロボットが犬っぽいロボットより深い恐怖感を与えるのを意識しているはずです。その人間っぽいロボットが容疑者追跡に使われるとしたら、なおさら恐怖です。
｢ニュース記事を数多く見ましたが、その大半がロボットを怖いと言っていました｣Railbert氏は今年10月、Boston.comで語っています。
｢たしかに我々のロボットは、ある面では人間のように見えるし、人間の中には悪事を行なう者がいます｣とRailbert氏。｢ですが人間のように見えるのは、そこに腕があり、足があり、歩けるというだけなのです。そこには必ずしも、感情や性格、自我といった、人間の悪行の動機づけになるようなものは存在しません。｣
ちなみに米GizmodoからBoston Dynamicsに対し、警察でのSpotの活用について質問したところ、以下のような回答がありました。

…マサチューセッツ州警察は、我々にとって唯一、公共安全に特化した関係です。今後5〜10年で、消防や救急、警察などの人員がSpotを危険な場面で目として使い、不審な荷物を点検したり、緊急事態において有害ガスを検知したりといったことに利用できるようになるでしょう。Spotのように敏捷なロボットをこれらの状況に活用することで、命をも脅かしうる環境から人間を外しつつ、危険な現場の状況把握が可能になります。こうした能力は、石油やガス、電気、原子力施設閉鎖や採鉱といった業界のユーザーも活用でき、人員を危険にさらすことなく重要な安全点検を実施できます。
我々がSpotユーザーと交わしているライセンス契約書では、人に危害や威嚇を与えるような目的でのSpotの利用は許可していないことを、改めて強調いたします。

ロボコップの時代が始まってしまった

ロボットが、自律的でもそうでなくても、警察官の後を追って町に出始めている今、我々は何か新しい世界の入り口に立っています。次のステップでは多分、こうしたロボットが武器を持つようになるでしょう。

問題は我々がロボコップを現実として受け入れられるかどうかですが、残念ながら一般市民に選択権はなさそうです。Spotが警察で使われていることも、ACLUがわざわざ情報開示請求しなければわからなかったんです。そして開示される情報は氷山の一角にすぎず、これからロボットがどんな風に使われていくのか、引き続き多くのことがわからないままになっています。

数千ものAndroidアプリに「脆弱性のあるコード」

Facebookからヤフーまで、数千ものAndroidアプリに「脆弱性のあるコード」が含まれている：調査結果

フェイスブックや日本のヤフーによるアプリを含む数千ものAndroidアプリに、コードに由来する脆弱性が含まれていることがセキュリティ企業の調査で明らかになった。

あなたが利用しているアプリの多くは、完全に独自につくられたものではない。開発者が誰でも利用できるように、あらかじめ用意されたコードを使っていることが多いからだ。
こうしたコードのライブラリーには、ほかのソフトウェアと同じようにセキュリティの脆弱性が含まれている可能性がある。そのコードをそのままアプリに利用すると、気づかないうちに脆弱性までコピーされてしまう。いまAndroidの世界において、こうした事態が大きな問題になっているのだ。

数千ものアプリに脆弱性を発見

古い脆弱なヴァージョンのコードを利用していることが原因で、セキュリティのリスクを抱えているアプリがどれほどあるのか──。その実態を定量化しようとする新たな研究が、このほどセキュリティ企業のチェック・ポイント・ソフトウェア・テクノロジーズによって実施された。このなかで同社の研究者らは、「Google Play ストア」にある数千のアプリにセキュリティ上の欠陥が含まれており、なかには数年前から存在しているものもあることを発見したのである。

「アプリには多くの脆弱性が含まれています」と、チェック・ポイントのサイバーリサーチ部門を統括するヤニフ・バルマスは言う。「そうした脆弱性の一部はアプリ固有のものではなく、コードライブラリーから見つかりました。現代のアプリは、数十、数百ものそうしたライブラリーを利用して動作しているのです」

コードライブラリー（ソフトウェアライブラリーと呼ばれることも多い）のおかげで、開発者はJavaScriptなどの特定の分野で専門的な知識をもたなくても、すでに作成されたコードを利用することができる。

チェック・ポイントの研究者らは、脆弱性を含む既存のコードライブラリーを調査し、Playストアのアプリと比較した。現在進行形の脅威を発見するために、同社のセキュリティチームは定期的にAndroidアプリを精査しているという。

「結果は驚くべきものでした。一部に脆弱性が見つかることは予想していましたが、これほど多いというのは予想外でした」と、バルマスは語る。「実際に数千というアプリに（脆弱性が）見つかりました」。さらにチェック・ポイントが発見した脆弱性のなかには、数年前から存在していて長期間パッチが当てられていないものもあったという。

「あるオープンソースプロジェクトに脆弱性が存在し、それが固定化された場合、その脆弱性に影響を受ける可能性のあるネイティヴライブラリーや、そのライブラリーを利用しているアプリを（通常は誰も）コントロールできません」と、チェック・ポイントは今回の研究についてブログ記事で指摘している。「そのため脆弱性が発見されても、長年古いヴァージョンのコードを使い続けているアプリが存在するのです」

フェイスブックやヤフーのアプリにも脆弱性

研究者らは、数十種類の脆弱性を発見したという。だが今回の研究で引用されているのは、3つのみだ。そこで触れられている脆弱性は、オーディオソフトウェア、動画ストリーミング、そしてそのメディアの扱われ方に関する問題である。チェック・ポイントは、発見したすべての問題を公表するのは適切ではないと指摘している。

世界最大規模のアプリの一部も問題を抱えていると見られている。チェック・ポイントによると、フェイスブックの「Facebook」「Messenger」「Instagram」に加えて、「WeChat」、日本のヤフーのアプリなどが脆弱性を抱えているという。同社は500万～10億ダウンロード以上を記録しているアプリを例に挙げている［編註：調査結果によると、「Yahoo!カーナビ」「Yahoo! MAP」などヤフーの4つのアプリが含まれる］。
フェイスブックの広報担当者は、同社のサーヴィスの利用者は「これらのコードを利用しているわたしたちのシステムの設計上、チェック・ポイントが指摘したいかなる問題に対しても脆弱ではありません」と語っている。同社は現在のコードベースに脆弱性が存在しないとは主張していない。ただし、Instagramについてはチェック・ポイントが指摘した脆弱性に晒されている可能性があり、パッチを当てているという。

チェック・ポイントのバルマスは、問題の本質は個別の欠陥にはないのだと言う。「わたしたちが発見した特定の脆弱性は興味深いものですが、そこが重要というわけではありません」と、バルマスは言う。「フェイスブックのアプリに脆弱性が見つかったと指摘することはできますが、問題はコンセプトにあると思っています」

現在進行形の問題

ではその解決策は？チェック・ポイントによると、アプリの開発者は最新のパッチが当てられたヴァージョンのコードベースを使い続けるべきだという。それと同じく「Play ストア」をはじめとするアプリストアも、サーヴィス内で提供しているアプリの精査により力を入れるべきだと指摘する。

「アプリ開発者に対して“総当たり攻撃”を仕掛けるのは有効かもしれません」と、バルマスは語る。当初、数カ月前に調査を実施したチェック・ポイントは、グーグルに問題を報告していた。グーグルの広報担当者は、報告された結果に対して調査を実施しており、開発者とセキュリティ研究者との協力を促すためにPlay ストアにおいて脆弱性の発見に関する報奨金システムを拡充したという。

この取り組みは現在進行中だが、バルマスによると脆弱性を含むアプリは、いまもPlay ストアに存在しているという。エンドユーザーには、アプリをアップデートし続ける以外にできることはほとんどない。

「今回公開した脆弱性は、2カ月前に実施したテストで発見されたものです」と、バルマスは言う。「もし同じテストを改めて実施したら、まったく異なるアプリからまったく異なる脆弱性が見つかるでしょう。

Androidスマートフォンに潜む脆弱性、146件

Androidスマートフォンの一部に「最初から」潜む脆弱性、新たに146件も見つかる

Androidスマートフォンの多くには、さまざまなアプリがプリインストールされたり、システムに組み込まれたりしている。これらのアプリに個人情報の流出につながる脆弱性が計146件も見つかった。

29社が発売しているスマートフォンの一部は、買ったときから“危険”な状態にあるというのだ。この問題には、Android端末ならではの課題も潜んでいる。

iPhoneは、いま購入できるデヴァイスのなかで最もセキュアな製品のひとつだ。悪質なウェブサイトから長期にわたりハッキングを受けるという大きな失策が明らかにされたものの、いまだに安全であることには変わりない。

この安全性には、アップルが承認したアプリのみダウンロードできるという「App Store」のエコシステムが大きく貢献している。ところが、見落とされることもある。App Storeには、アップルの監視の目をすり抜けた悪意あるアプリが18個も含まれていたのだ。

これらの悪意あるアプリのうち17個は、モバイルセキュリティ企業のワンデラ（Wandera）によって発見され、すべて同じデヴェロッパーによるものだった。残るひとつもアップルが同様の手法を使って発見した。現在、これらはすべてApp Storeから削除されている（電卓からヨガポーズ集のアプリまで幅広いアプリが含まれていた）。

これらのアプリは、最近取り沙汰されている別のiOSの欠陥のように、被害者のデヴァイスからデータを盗んだり、デヴァイスをコントロールしたりすることはなかった。その代わりに、デヴァイスのバックグラウンドで見えない広告を流して広告収入を水増しするために、広告がクリックされたようにでっち上げていたのだ。

ちょっとしたきっかけで発覚

こうしたアドウェアは、Androidではよくみられる。これはAndroidプラットフォームのアプリストアに悪意をもったデヴェロッパーが数多くいることが一因だ。

では、iOSはどうだろうかといえば、Androidほどではない。

アドウェアによってユーザーが被る最悪の影響は、バッテリーが早くなくなってしまうことと、データ使用料の請求が高額になってしまうことだろう。一方、iOSのマルウェアの最新事情で注目すべき点は、マルウェアが何をするのかではなく、どのように侵入してきたのかである。

これらのマルウェアは、ちょっとしたきっかけで見つかった。あるときワンデラのセキュリティソフトウェアが、顧客のiPhoneで発生した異常なアクティヴィティにフラグを立てた。ある速度計アプリが、コマンド＆コントロール（C&C）サーヴァーと予期せぬ通信を行ったのだ。

このC&Cサーヴァーは、別のAndroid向けのキャンペーンにおいてアドフラウド（広告不正）を実施するマルウェアに指令を出しているとされたことがあった。要するに、このiOSアプリは不正な動作を行っていたのだ。

単純だが“スマート”な手口

ワンデラはそこから逆向きにたどっていった。このアプリのデヴェロッパーがインドのAppAspect Technologiesであることを突き止め、さらなるテストのために同社が提供する多数のアプリをiPhoneにインストールした。まず実施したのは静的解析だ。コードにじっくりと目を通し、悪意のある部分がないかを確認する。次は動的解析によって、遠く離れたサーヴァーへ悪意をもって外部接続していないかを探す。

「普通だと、ここで怪しいアクティヴィティが見つかります」と、ワンデラの製品担当ヴァイスプレジデントのマイケル・コヴィントンは語る。「しかし今回、この段階では怪しいアクティヴィティは見つかりませんでした」

まったく何もだ。ヒントすら見つからなかった。しかしワンデラは調査を進めた。同社の標準的なテストセットアップでは、Wi-Fiに接続した数台のiPhoneを使っていた。大量のダウンロードが行われるので、結局のところ、そのデータすべてを使用する必要はない。しかし分析で行き詰ったあと、調査員たちはSIMカードを挿入すると何が起きるのかを見ることに決めた。

そして待った。数日後になって、17個のアプリが同じアドウェアサーヴァーにつながり始めたのである。

「これらのアプリはただ数日待つだけでなく、デヴェロッパーが意図したほかのコンテキストが揃うまで実際に待つような“知性”ももち合わせていました」とコヴィントンは語る。今回のケースでSIMカードの利用は、そのスマートフォンが実際のユーザーの所有物であることを示していた。つまり、セキュリティの調査員や、App Storeの承認のためにアプリのスクリーニングを行う人の目をかいくぐろうとしていたのだ。

単純だが賢い手口だ。そしてさらに重要なのは、今回のケースでこの手口が有効だったということだろう。こうしたアプリのひとつをダウンロードした場合、そのアプリはあなたが調査員などではなく実際のユーザーであることを確信できるまで、完全に普通のアプリであるかのように振る舞う。そして、ユーザーだと判断する段階まで来たときに、このアプリのボス、つまりC&Cサーヴァーに接続し、見えないクリックを生成するように指示を受けるのだ。

コードに潜む悪意

AppAspect Technologiesは質問に対して、この問題を認識していなかったとメールで反論した。アップルがアプリを削除したあとで初めてこの問題に気づいたのであり、現在はコンプライアンスの基本に立ち戻って取り組んでいるという。

公平な立場から言えば、「アプリがこのような動作をしていることを知らなかった」という言い分はもっともだと言えるだろう。デヴェロッパーは、サードパーティーや無認可の製造元のコードをアプリの開発に組み込むことがある。このため誤ったコードを組み込んでしまった場合、簡単に、そして図らずもアプリを悪意あるものにしてしまう。

アップルは、今回より大きな規模の問題を経験したことがある。2015年には、一部のデヴェロッパーフォーラムがホストしたXcodeソフトウェアツールに、データを盗み出すコードが追加されていたのだ。その結果、多数の感染したアプリがデヴァイスに忍び込むことになった。

アドウェアは、それに比べれば深刻な問題ではない。そして再三になるが、iOSよりもAndroidに蔓延した問題だ。セキュリティ企業のESETはこのほど、「Google Play ストア」でアドウェアに感染したアプリを42個発見したと発表した。アプリのダウンロード数は数百万件にもなる。こうした事例はiOSでも前代未聞ではないが、特にこれほどの件数を出すようなケースは、Androidの場合よりもずっとまれだ。

「よく今回のマルウェアを見つけたと思います」とSudo Security Groupの創業者で、iOS向けGuardian Firewallアプリの開発者であるウィル・ストラファックは言う。

これらは「マルウェア」ではない？

この事実は、アップルのApp Storeのスクリーニング手順が思っているほど堅牢ではないということも示している。アドウェアに関しては特にだ。「アドフラウドはユーザーにとって実際に害のあるアクティヴィティとは関係ないので、アップルによる取り締まりの優先度はあまり高くないようです」とストラファックは話す。

「アドウェアはアップルによるチェックの対象外でした。アドウェアが発見されたことによって、アップルがチェックする内容が少し変わったのではないかと思います」と、ワンデラのコヴィントンは話す。

この点において、アップルは同社の規定に違反しているアプリを削除したこと、および今後このような禁止アクティヴィティをもっと検出できるようにスクリーニングツールをアップデートしたことを認めている。

しかし同時に、これらを「マルウェア」と呼ぶことについては異議を唱えている。アドフラウドはスマートフォンの使用体験を直接妨害したり、スマートフォンからデータを盗んだりするものではないからだ。つまり、権威主義国家がもしかしたら実施しているかもしれない大規模な監視行為とは、わけが違うということだ。

より大きな問題

マルウェアの定義はさておき、おそらくiPhoneの所有者のほとんどは、App Storeでアプリを探す際に、クリックをでっちあげるようなアプリが見つからないことを望むだろう。しかし今回の問題は、そうしたことが起こりうるもので、実際に起こったという教訓になる。

「このようなアプリを取り締まったり、防止したりするのは本当に難しいと思っています」と、サイバーセキュリティ企業マルウェアバイツ（Malwarebytes）でMacおよびモバイルリサーチディレクターを務めるトーマス・リードは語る。

「こうしたことが起きたというのは、そこまで大きな問題ではありません。元来は避けられないことですから。それより問題なのは、人々が非現実的なレヴェルの信頼をアップルのApp Storeに寄せてしまっていることです。まるでかつて多くの人が『Macはウイルスに感染しない』と信じ込んでいたように。

火曜日, 11月 26, 2019

Tesla Cybertruck　テスラ｢サイバートラック｣

テスラは、同社初のピックアップトラック｢サイバートラック（Cybertrack）｣を発表した。

テスラは11月21日（現地時間）に、初のピックアップトラックを発表した。6人乗りの｢サイバートラック｣だ。
同社は、超硬質ステンレス鋼と防弾ガラスで作られたトラックのボディを貫通できるものはないと言っていたが、そうではなさそうなことが明らかになった。
2021年後半に生産を開始するこのトラックが持つという機能を紹介する。

テスラのCEO、イーロン・マスク（Elon Musk）は11月21日の夜、｢トラックはとても長い間、まったく変わっていない｣と述べた後、この斬新なデザインのトラックを紹介した。
サイバートラックの価格は、後輪駆動のシングルモーターモデルが3万9900ドル（約434万円）から、全輪駆動の3モーターモデルが6万9900ドル（約760万円）。自動運転機能はオプションで7000ドル（約76万円）だ。生産開始は2021年後半を予定している。
今や電気ピックアップトラックを販売するメーカーはテスラだけではない。フォードは電動式のF-150を開発しており、ボリンジャー・モーターズは最近、電動で4輪駆動のB2ピックアップトラックを発表、価格はサイバートラックよりも安い。そして、フォードとアマゾンが支援するスタートアップのRivianも電気ピックアップを開発している。
テスラはサイバートラックを｢これまで当社で開発した中で最も強力な道具｣と表現した。その理由を見てみよう。