昨日、データベースにアクセスして情報を入手する必要があったのですが、アクセスポイントが分からず、スキーマも不明のままで対応に困っていたところ、ChatGPTが一般的な設計慣習から「可能性の高いパラメータ」を推定し、そのアクセスポイントを言い当て、想定されるスキーマ構造まで構築して見せました ―― 正直、ゾッとしました。
Yesterday, when I needed to retrieve information from a database but lacked the access point or schema, ChatGPT inferred likely parameters based on standard design conventions, correctly identified the access point, and even constructed a plausible schema. Honestly, it sent a chill down my spine.
以前、高校生が生成AIを用いてクレジットカード情報の不正取得を補助し、結果として不正行為に成功したというニュースを聞きました。私は今日、そのニュースを「遠い世界の話」だとは思えなくなりました。
I once heard a news story about a high school student who used generative AI to help commit the illegal acquisition of credit card information, ultimately succeeding in the fraud. Today, that story no longer feels like something from a distant world.
その高校生が「間抜け」だった点は、それを他人に自慢していた、という一点に尽きます。正直『ガキだな』と思いました。
The one truly foolish thing the student did was to boast about it to others. Frankly, I thought, "What a kid."
---
私がシステムをクラックする側になるなら「同じ対象に二度とアクセスしない」という原則だけは守るでしょう。
If I were on the malicious side, the one rule I would strictly follow is never approaching the same target twice.
生成AIによって侵入のしきい値は格段に低くなっています。「一撃離脱」を徹底すれば、追跡は相対的に困難になります。これから、システム侵入を試みる人間が増えるのは、むしろ自然です。
With generative AI, attempts at intrusion have become dramatically easier. If "hit-and-run" tactics are thoroughly applied, tracking becomes relatively complex. It is only natural that more people would come to think this way.
私が言いたいのは、『攻撃が、驚くほど安く、簡単に、再現性のある行為になりつつある』という現実です。そして、その知識を持つ人間が、もはや一部の専門家ではなくなってきている、という点です。
What I am saying is not that the number of attackers has increased. It is the reality that attacks are becoming astonishingly cheap, clever, and reproducible, and that such knowledge is no longer confined to a small group of specialists.
犯罪者の無知に期待する時代は、終わりつつあります。まだそれに望みを託している人がいるとすれば、それは楽観ではなく、思考停止です。
The era of relying on criminals’ ignorance is over. If anyone is still betting on that, it is not optimism but a failure to think.
では、どうするのか
So, what should we do?
私がたどりついた解は、「IT化・DX化からの撤退」です。
The conclusion I arrived at is "withdrawal from ITization and DX."
---
「いよいよ江端が狂ったか？」と思われるかもしれません。しかし、私の知る限り、この選択肢を真面目に検討した人を、私は知りません。
Some may think, "Has Ebata finally lost his mind?" However, to my knowledge, no one has seriously examined this option.
だからこそ、一度くらい、真顔で考えてみてもいいと思いました。
That is precisely why I believe it is worth considering at least once, seriously.
ここで言う「完全撤退」とは、ITを使わない、という話ではありません。
By "withdrawal," I do not mean abandoning IT altogether.
DXという、「長期間」「きちんと」「多人数で」「統一的に」使えるシステムを作ろうとする発想から撤退する、という意味です。
I mean, withdrawing from the mindset of DX that seeks to build systems that are "for the long term," "properly," "by many people," and "in a unified manner."
現場の人間がPCを使うのは構いません。Excelで計算してもいいし、スクリプトを書いてもいい。ただし、それを組織の"公式システム"にしない。情報共有も、統一基盤など作らず、メールやチャットで場当たり的にやる。
It is fine for people on the ground to use PCs. They can calculate with Excel or write scripts. However, those should not become the organization’s "official systems." Information sharing should also be ad hoc, via email or chat, rather than by building a unified platform.
現場が勝手に小さな仕組みを作り、飽きたら捨てる。一定期間使われなければ、自動的に壊れて消えるようにしておく。そういう、『雑で、局所的で、無責任に見えるIT運用』です。
The field creates small mechanisms at will and discards them when they are no longer helpful. If something is not used for a specific period, it degrades and disappears. This is a form of IT operation that looks messy, local, and irresponsible.
---
これは何も新しい話ではありません。
There is nothing new about this.
現実世界の業務は、もともとこうです。ホワイトボードは消され、メモは捨てられ、やり方は人が変われば変わる。それを、ITの世界だけ「10年使える統合システム」にしようとするから、悲劇が始まるのです。
This is how work in the real world has always been. Whiteboards are erased, notes are discarded, and methods change as people change. Tragedy begins when only the IT world tries to make "integrated systems that last ten years."
IT技術は毎年変わり続けます。OSも言語もフレームワークも、セキュリティの前提も変わり続けています。そんな世界で「10年間連続で使えるシステム」を作ろうとするのは、はっきり言って「思い違い」をしています。
IT keeps changing every year. Operating systems, languages, frameworks, and security assumptions all continue to evolve. Trying to build a system that lasts ten years in such a world is, quite frankly, a conceptual mistake.
そもそも、10年以上、全く運用が変わらなかったシステムなんて、あるのでしょうか(メールシステムくらいかな)。
Is there a system that has operated for more than 10 years without any change? (Perhaps only email systems.)
結果として、誰も好んで使わない巨大な負債が生まれ、しかも攻撃者にとっては、実に親切な金庫になります。
As a result, substantial liabilities that no one wants to assume are created. and they become extremely considerate vaults for attackers.
比べて、現場で小さく作られた仕組みは、攻撃対象として魅力がありません。
By contrast, small mechanisms created locally on the ground are not attractive targets.
集約されていない。寿命が短い。壊れても影響が限定的。守る価値がないものは、狙われません。これは高度なセキュリティ対策ではなく、『単なる経済原理』です。
They are not centralized. Their lifespans are short. Even if they break, the impact is limited. Things not worth protecting are not targeted. This is not an advanced security measure but simply an economic principle.
---
DXとは、業務をデジタルにすることではありません。業務を「長期間・統一的に固定する」という思想です。
DX is not about digitizing work. It is a philosophy of fixing work in a unified form over the long term.
そして私は、その思想こそが、いま一番危険だと思っています。
And I believe that this very philosophy is the most dangerous thing right now.
こちらが「ちゃんとしたDXシステム」を作るたびに、「ここに価値があります」「ここを狙ってください」という案内板を、律儀に立てていることに、気づいてしまったからです。
Because I have finally realized that every time we build a "proper DX system," we are dutifully putting up signposts saying, "Value is here" and "Please target this."
AIはそういうものを見つけるのが、とても得意です。ちゃんとしたDXシステムになればなるほど、AIにネタを提供しているようなものです。
AI is extremely good at finding such things. The more "proper" a DX system becomes, the more it feels like we are handing AI material to work with.
比して、集約されていない。寿命が短い。壊れても影響が限定的なシステムは、小さく、汚く、バラバラで、すぐ消える。誰も全体を把握できない ―― それは、攻撃者から見れば「金庫」ではなく、「触る気もしないゴミの山」です。
By contrast, systems that are not centralized, have short lifespans, and cause limited damage when they fail are small, messy, fragmented, and quickly disappear. Can no one grasp the whole? From an attacker’s perspective, they are not vaults but piles of garbage, not even worth touching.
これからの時代、『一番セキュリティが高いITシステムとは、誰も「システム」だと思っていないもの』なのかもしれません。
In the coming era, the most secure IT systems may be those no one even considers "systems."
---
もっとも、こんな話を真面目に聞いてもらえるとは、私自身、期待していません。
That said, I myself do not really expect anyone to take this talk seriously.
それに、私の頭の中には、こんな反論も聞こえてくるんですよ。
And in my head, I can already hear a counterargument like this.
「『医療』『金融』『社会インフラ（水、電気、ガス、情報）に通用する話になっているのか」と ―― 特に「マイナンバーカードのシステム」は、その代表格です。
"Does this argument really apply to healthcare, finance, or social infrastructure such as water, electricity, gas, and information?" The My Number card system is a prime example.
私のしょぼいWebシステムですら、毎日数千以上の攻撃を受けています(いや、本当です。ログを見てうんざりしています)。ましてや、「マイナンバーカードのシステム」という日本システムへの本土攻撃は、シャレにならないレベルになっているはずです。
Even my modest web system is subjected to several thousand attacks every day (no exaggeration—I’m honestly fed up after looking at the logs). When it comes to a national system for all Japanese citizens, such as the “My Number Card,” the level of direct cyberattacks must be on an entirely different, far more serious scale.
これも、システムの分散化によって、ある程度の対応が可能になるとは思います ―― 残っている課題は、そのようなシステムを攻撃された時のリスク計算だけです。
Even here, I believe a certain level of ?? is possible through system decentralization. The remaining question is whether the risks associated with such systems when attacked are being properly weighed.
---
なぜシステムを攻撃するのか？ そこにシステムがあるから ――
Why attack a system? Because there is a system there.
別段、登山者でなくても、そう考えてしまう人間が一定数いる、という前提でITシステムは設計されているはずです。
This should be designed assuming that a certain number of people will hold this view, even if they are not mountaineers.
なにしろ、ITシステムは自宅のPCから、誰でも辿りつけます。
After all, IT systems can be accessed by anyone from a home PC.
なにしろ、年齢制限も、免許も、覚悟も要らない。
No age restriction, no license, and no resolution are required.
