概要

  • Stefan Savage は UC San Diego の Irwin and Joan Jacobs Professor であり、ネットワーク攻撃の測定、サイバー犯罪の経済、クラウドシステム、車両、その他の接続インフラを研究する実証的システムセキュリティ研究者である。
  • 確率的パケットマーキングとバックスキャッターに関する初期研究は、サービス拒否攻撃を測定可能なシステム問題として捉え直した。同時に、導入状況、送信元偽装、観測地点に関する前提を明示し、いずれの手法もあらゆる攻撃を可視化できるとは主張しなかった。
  • その後の研究では、ドメイン、アフィリエイト、配送、決済の関係を通じてスパムや偽造医薬品市場を追跡した。分散した不正活動も、少数の商業的な要所に依存し得ること、介入後にその効果を測る必要があることを示した。
  • 大規模な共同研究チームによる自動車セキュリティ研究は、実験的な侵害を車両アーキテクチャ、脆弱性開示、更新管理、公共安全へ結び付けた。証拠は試験対象となった特定のシステムに適用されるもので、単一の「自動車ハッキング」物語にまとめるべきではない。
  • Savage の持続的な影響は、一つの発明よりも方法論にある。仕組みを特定し、測定可能なシステムを構築し、不確実性を残したまま、実際に介入できる機関を見いだし、その介入が攻撃者の経済性やシステムの挙動を変えたかを検証する方法である。

パケットだけでは攻撃の全体像は分からない

攻撃について最も有用な事実は、到着したパケットではなく、そのパケットを利益につなげるシステムであることが多い。サービス拒否攻撃は、端末、アドレス偽装、通信経路、被害側の応答に依存する。スパム事業は、アフィリエイト、ドメイン、ホスティング、配送、決済処理業者、顧客に依存する。車両への遠隔攻撃は、外部から到達可能な部品と安全に関わるネットワークを結ぶアーキテクチャに依存する。Stefan Savage の研究歴は、こうした連鎖を繰り返し測定可能な対象へ変えてきた。

この手法が重要なのは、セキュリティ事件が誤った層で語られやすいためである。大量のパケット送信は、どの端末が送り、どの送信元アドレスを偽装でき、どのネットワークを通り、どの緩和サービスが対応に十分な可視性を持つかを問うまでは、単なるネットワーク問題に見える。スパムは、顧客獲得、ホスティング、配送、決済まで事業を地図化するまでは、コンテンツ問題に見える。車両への攻撃も、経路が無線、ヘッドユニット、車内バス、制御装置、クラウドサービス、ソフトウェア更新工程を横断するまでは、一つのソフトウェア欠陥に見える。

Savage の研究を一つにまとめるものは、特定のプロトコルや製品ではない。「直感を範囲の明確な証拠に置き換えるには、何を十分に観測できるか」という実証的な問いである。確率的パケットマーキングの初期研究は、すべてのルーターに全パケットを保存させずに、被害者が送信元を偽装した通信の経路を再構築できるかを問うた。バックスキャッター研究は、偽装された送信元アドレスへ返される応答を利用し、ネットワークテレスコープからサービス拒否攻撃の活動を推定した。その後の研究は、スパムや違法医薬品市場の商業的依存関係を追跡した。自動車研究は、接続された物理システムの信頼境界を地図化した。クラウド研究は、事業者が示す分離を当然視せず、共有インフラに関する前提を検証した。

ここでは「範囲が限られる」という点が重要である。どの観測手段もすべてを見ることはできない。パケットマーキングは導入状況と攻撃通信に左右される。バックスキャッターが捉えるのは、適切な種類の応答を発生させる攻撃である。決済経路の研究は、観測された取引とエンティティの照合に依存する。車両実験は、特定のモデル、ソフトウェア版、攻撃経路に適用される。強い実証結果はこうした境界を消すのではなく、別の研究者、運用者、銀行、メーカー、政策担当者が、検討中の行動に十分な証拠かを判断できるほど明確にする。

Savage は 2001 年に UC San Diego に加わり、現在は Computer Science and Engineering の Irwin and Joan Jacobs Professorship を務める。1991 年に Carnegie Mellon University で Applied History の学士号を取得し、2002 年に University of Washington で Computer Science の PhD を取得した。2015 年の ACM Prize in Computing、2017 年の MacArthur Fellowship、2023 年の National Academy of Engineering 選出などの経歴を持つ。UC San Diego は 2023 年、査読付き論文が 150 本を超えたと報告した。

これらの栄誉は評価の証拠ではあるが、功績の帰属に代わるものではない。Savage に関連付けられる主要なシステムや研究には、共著者、学生、研究スタッフ、協力機関がいる。実用的な IP トレースバック論文は David Wetherall、Anna Karlin、Tom Anderson との共著だった。バックスキャッター研究には David Moore、Geoffrey Voelker らが参加した。サイバー犯罪の経済研究には Kirill Levchenko、Damon McCoy など幅広いチームが関わった。自動車セキュリティ研究には Tadayoshi Kohno、Stephen Checkoway ほか多数の共同研究者が参加した。正確な人物像は、一人の発明者の物語ではない。セキュリティ上の主張をデータで検証可能にし、そのデータの限界へ繰り返し立ち返った研究者であり、研究拠点の構築者でもある。

トレースバックは完全な帰属ではなく導入上の制約から始まった

Wetherall、Karlin、Anderson と執筆した 2000 年の論文Practical Network Support for IP Tracebackは、サービス拒否攻撃への防御が抱える構造的な弱点を扱った。攻撃者は送信元アドレスを偽装でき、被害者の手元に届くパケットからは通過経路をほとんど把握できなかった。すべてのルーターで完全なパケット履歴を保持するのは現実的ではなく、世界規模のログシステムにはストレージ、プライバシー、導入に関する別の問題が生じる。

提案された答えが確率的パケットマーキングだった。ルーターが通過するパケットに経路情報の断片を一定確率で書き込む。十分な攻撃通信を受け取った被害者は、その断片を組み合わせて可能性の高い経路を再構築できる。すべてのルーターに全パケットを記憶させず、中央運用の世界的追跡サービスを前提とせずに証拠を加える設計だった。

この研究の重要性は、実用性だけでなく、前提が可視化されていた点にもある。再構築はパケット量、マーキングの挙動、経路の安定性、攻撃者の通信に左右された。断片化や偽装のパターンは、被害者が復元できる内容に影響した。また、ルーターへの導入が必要だが、論文が公共インターネット全体にそれを強制することはできない。経路を再構築できても、特定できるのは経路上のインフラであり、攻撃の背後にいる個人や組織の法的身元を証明するものではない。

「トレースバック」が帰属の略語として使われると、この境界は失われやすい。ネットワーク証拠は調査範囲を絞り、可能性の高い流入地点を特定し、運用者の連携を助け、どの事業者が行動できる立場にあるかを示せる。しかし、それだけで意図、所有、責任を立証することはできない。2000 年の研究は、送信元の帰属を解決した万能な仕組みではなく、不透明な出来事を段階的に検証可能にする試みとして理解するのが適切である。

この区別は、Savage の後の研究にも共通する型を先取りしていた。セキュリティ問題は、世界全体が一度に採用しなければならない理論上完全な仕組みを設計するだけでは解決できない場合が多い。より導入しやすい方法は、既存または段階的に変更されたインフラが示せる証拠を特定する。得られる観測手段は不完全でも、その不完全さを分析し、出力を他の制度的知識と組み合わせられる。

したがってトレースバックは、測定責任をどこに置くかを問うた点でインフラ史に属する。ルーターは情報を提供し、被害者は再構築し、運用者は経路を解釈する。どの対応が正当かは、なお別の機関が決めなければならない。この論文はそれらの役割を一つのシステムに混同しなかった。この分離は、独立運用される複数のネットワークをセキュリティ対策が横断する現在も有用である。

バックスキャッターは未使用アドレス空間を観測所に変えた

送信元を偽装したサービス拒否攻撃は、元の要求を送っていないアドレスへの応答を発生させる。偽装されたアドレスの一部が、ネットワークテレスコープで監視する大規模な未使用空間に含まれると、その一方的な応答が攻撃活動の標本になる。Savage が Moore、Voelker らと行ったバックスキャッター研究は、この副作用を利用して攻撃の頻度、継続時間、被害者のパターンを推定した。

攻撃者や被害者の協力を必要としない点が、この手法の強みだった。観測装置はダークアドレス空間へ届く通信を監視し、別の場所で起きている活動を推定した。未使用に見えるインフラがセンサーになった。被害を公表する意思のある組織から事件報告を集める代わりに、研究者は独立した観測地点から分散現象を観測できた。

ただし、完全な全数調査ではない。十分にランダムな送信元アドレスを偽装し、被害者がテレスコープまで届く応答を返す攻撃が観測されやすかった。送信元を偽装しないボットネット、異なる反射パターンを使う攻撃、上流で遮断された通信、想定した応答を生成しないサービスへの攻撃は、過少に表れるか、見えない可能性があった。テレスコープまでのルーティングや、監視するアドレスブロックの規模と場所も推定に影響した。

この測定が強力だったのは、偏りがないからではなく、その偏りを明示して調べられたからである。観測装置は可視化できる母集団を定義した。研究者は、その母集団の中で継続時間、被害者の種類、攻撃強度を比較しつつ、標本をインターネット上のすべてのサービス拒否攻撃と同一視しないようにできた。

攻撃手法が変われば、観測装置と母集団の関係も変わる。現代のボットネットは実在する送信元アドレスから送信し、反射サーバーを悪用し、異なる副作用を生むサービスやプロトコルを使える。ある時代の偽装行動を基に開発された手法は、時代を超えた全数調査として繰り返すのではなく、再検証しなければならない。攻撃者は攻撃の仕組みを変えることで観測過程も変えられる。

ネットワークテレスコープは、スキャン、ワーム、設定ミスなどのネットワーク挙動も一方的な通信から明らかにできるため、現在も重要である。長期的な価値には、安定したルーティング、慎重なデータ管理、構造変化と短期的なノイズを区別できるだけの歴史的連続性が必要になる。運用者や政策担当者がその観測に依存するようになれば、テレスコープ自体が、アクセス、プライバシー、運営、継続性の要件を伴う測定インフラとなる。

バックスキャッター研究は、Savage の研究歴を貫く別の区別も明確にした。可視性は観測地点によって生まれ、どの観測地点にも政治がある。誰がアドレス空間を管理するのか。誰がパケットデータへアクセスできるのか。どの識別子を保持するのか。どの被害者に通知するのか。法執行機関がデータを求めたらどうするのか。技術的に洗練された観測装置は、どの事象を行動可能なほど可視化するかを決めるため、制度的な力を生み得る。

ワームは時間をセキュリティ境界の一部にした

ワーム研究は、個別攻撃から伝播へ実証的な論理を広げた。ワームは悪意あるコードだけではない。スキャン戦略、アドレス空間、ソフトウェア分布、防御のタイミングが作る制約の下で、脆弱な端末群を移動する過程である。その過程をモデル化すると、対応速度がセキュリティ設計の一部になる。

実務上の価値は比較にある。防御側は、パッチ適用、フィルタリング、レート制限、アドレスの拒否リスト、協調対応が伝播をどう変えるかを検討できる。モデルは正確な脆弱端末数や、攻撃者が行うすべての適応を知ることはできない。それでも、結果が未知の要素にどの程度左右されるか、端末群が回復困難な状態になる前に防御機構がどれほど速く動く必要があるかを検証できる。

この研究は、セキュリティをシステム全体の時間で考える方向への転換を助けた。脆弱性が既知でも、端末群にパッチが適用されていないことはある。自動化された攻撃は通常の変更管理より速く伝播し得る。そのため、防御上の問題は欠陥の発見だけでなく、別の障害を起こさずに、開示、パッチ提供、試験、導入の間隔を短縮することでもある。

同じトレードオフは現在、クラウドイメージ、OS 群、ソフトウェア供給網、ネットワーク機器、接続車両、管理対象機器に見られる。迅速なパッチ適用は危険にさらされる時間を減らす一方、拙速な変更による運用リスクを高める。慎重な検証はサービスの安定性を守る一方、脆弱性が利用可能な期間を残す。組織は「パッチ提供」と「リスク除去」を同じ出来事として扱わず、その間隔を明示しなければならない。

Savage の可用性に関する幅広い研究も、技術的な仕組みが制度の中で動くことを示している。統制実験で機能する封じ込め設計でも、運用者が完全な資産一覧を持たず、ソフトウェアに互換性がなく、利害が一致せず、通信を生成するシステムへの権限もなければ失敗し得る。セキュリティはコードの問題であると同時に、日程と調整の問題になる。

そのため、特定のマルウェアやネットワーク条件が変わった後も、歴史的なワーム研究には意味がある。持続する問いは、攻撃者が端末群の構造を悪用する速度と、防御側が観測、判断、導入する速度の比較である。答えは攻撃コードだけでなく、ツール、所有関係、連絡体制、リスク許容度に左右される。

サイバー犯罪の経済研究は分散インフラを通る資金を追った

スパムと偽造医薬品の研究は、分析単位を変えた。迷惑メッセージを数えれば量は推定できるが、事業が存続する仕組みは説明できない。Savage と共同研究者は、ドメイン、アフィリエイト、ホスティング、配送、決済の関係を結び付け、価値連鎖の一部を再構築した。目に見えるインフラは高度に分散していても、商業的な依存関係ははるかに集中している場合があった。

その集中は、異なる種類の介入地点を生んだ。侵害されたサーバーやドメインを削除しても、違法事業の運営者は安価に復旧できるかもしれない。一方、加盟店契約を扱う銀行、カード処理関係、安定した配送経路を失えば、より大きな費用が生じ得る。この研究は、目立つ技術的要素ではなくシステムの経済性を対象にした方が、セキュリティ政策が有効に働く場合がある理由を示した。

ただし、この知見は誇張されやすい。ドメイン、加盟店、決済記録を横断するエンティティ照合には不確実性がある。試験購入で分かるのは観測された取引だけである。インフラを共有する事業者が同じ組織とは限らない。決済関係は急速に変わり得る。データに現れない仲介者へ依存する市場もあり得る。研究倫理と法的制約は、調査者が収集できる内容を限定する。

したがって、正当化できる結論はより限定的である。測定対象となった市場では、分散した不正活動が、地図化でき、影響を与えられるほど集中した商業関係に依存していた。これは、サイバー犯罪経済全体に一つの決済上の要所があるという主張より強固である。同時に、要所を遮断すると何が起きるかという次の実証的な問いを生む。

ここで Savage の方法は、記述的な地図化から介入研究へ進む。依存関係を特定しても、それを変えることで攻撃者の費用や行動が変わらなければ意味はない。銀行、決済処理業者、ホスティング事業者、ドメイン登録事業者が行動した後、研究者は代替、継続期間、移動、意図しない結果を測る必要がある。そうしなければ、一時的な減少を持続的な成功と誤認しかねない。

この転換は責任も再配分する。ネットワーク防御側は悪意ある通信を特定できても、その事業モデルを変える力を持たない場合がある。銀行やカードネットワークは決済に影響を与えられるが、法的権限に適した加盟店単位の証拠を必要とする。規制機関や法執行機関は、研究者にはできない方法で行動できる。研究は、仕組みと、それを実際に変えられる機関の間に証拠の橋を築くとき価値を持つ。

決済上の要所は代替費用が高い場合にのみ意味を持つ

「要所」という言葉は、通常の証拠が示せる以上に恒久的な印象を与える。実際には、要所とは、代替が十分に希少、高額、または遅いため、介入によって攻撃者の事業経済が変化する依存関係である。違法な加盟店が一つの銀行を失っても、同じ日にほとんど摩擦なく別口座を開けるなら、介入は構造的依存を取り除いていない。事業の経路を変えただけである。

このため、介入前後の測定が重要になる。研究者は取引の成功率、観測可能な販売、ドメインの入れ替わり、価格、活動量、他の仲介者への移行を調べられる。一つの経路での減少は、需要低下、介入成功、別の処理業者への移動、介入自体が生んだ測定上の欠落のいずれかかもしれない。介入によって観測対象のシステムが変わるため、因果推論はかえって難しくなる。

代替決済は状況をさらに複雑にする。暗号資産、仲介型デジタルウォレット、口座型決済、新たな清算経路は、従来の加盟店契約銀行への依存を弱める一方、取引所、法定通貨への換金、本人確認、流動性に新たな依存関係を作り得る。古い要所が消えても、システムが依存関係から解放されることはほとんどない。

介入には付随的な影響があるため、この点は政策上重要である。決済処理業者、ホスティング企業、ドメイン事業者は、不正利用者と同時に正当な利用者にもサービスを提供している場合がある。ネットワーク遮断が無関係な通信へ影響することもある。加盟店の身元には不確実性があり得る。そのため、運用上の影響力を持つ主体には、行動の可逆性と重大性に見合う証拠が必要になる。

一時的な監視、レート制限、追加確認は、公的な告発、取り消し困難な口座停止、法的制裁より低い確信度でも正当化できる。これは実証的セキュリティの弱点ではない。測定と意思決定を適合させる必要があるという認識である。範囲の限られた結果は範囲の限られた対応を支え、追加測定によって対応強化が妥当かを検証できる。

したがって、サイバー犯罪の経済研究のより深い貢献は、銀行が「スパムを解決できる」という主張ではない。犯罪市場を、測定可能な依存関係と代替可能な構成要素を持つシステムとして捉え直したことである。セキュリティ政策は弾力性の問いになる。ある依存関係で防御側がどれほど費用を課せば攻撃者は移動するのか、その移動にはどれほど費用がかかるのかという問いである。

車両セキュリティはソフトウェア設計を公共安全の問題にした

Tadayoshi Kohno、Stephen Checkoway、Karl Koscher ほか多数の共同研究者による自動車セキュリティ研究は、実演が具体的だったため大きな注目を集めた。現代の車両には、異なる工学分野で信頼前提が発展してきた車内ネットワーク、電子制御装置、外部インターフェースが含まれていた。研究は、侵害がその境界を越え、娯楽システムをはるかに超える機能へ到達し得ることを示した。

この研究を一度の「自動車ハッキング」に縮小すると、システム上の貢献を見失う。研究計画はアーキテクチャを地図化し、攻撃経路を実証し、脆弱性開示を調整し、長年使用される機械のライフサイクルセキュリティについて幅広い議論を促した。ソフトウェア更新、診断機能、無線アクセス、供給業者間の境界、安全上の結果を結び付けた。

実験は、特定の車両、部品、ソフトウェア版、試験条件に限定されていた。すべてのモデルに同じ経路があることや、研究者がどの車両でも自由に遠隔操作できることを示したわけではない。業界の対応には、メーカー、供給業者、規制機関、後続の研究者、社内セキュリティチームも関わった。脆弱性は一行のコードではなくエコシステムの特性だったため、共同の功績を明示することが重要である。

運用上の意味は、接続性によって車両がデジタルインフラの一部になることである。無線インターフェース、クラウドサービス、テレマティクス、モバイルネットワーク、診断、更新システム、車内バスが連鎖を形成する。信頼境界が弱ければ、攻撃は消費者向けソフトウェアから安全関連機能へ進み得る。修正にはパッチだけでなく、分離、更新管理、供給業者との契約、監視、リコール工程の変更が必要になる場合がある。

これはソフトウェアのライフサイクル経済も変える。車両は一般的な消費者向けソフトウェアより長く利用される。ハードウェア交換は高額で、所有者が速やかに更新するとは限らない。供給業者ごとに部品の保守日程も異なる。メーカーが技術的修正を用意しても、脆弱性が車両群に残り続ける可能性がある。

したがって、責任ある開示は工学的成果と切り離せない。早すぎる公開は、修正が車両群へ届く前に所有者を危険にさらす。長すぎる延期は重大な危険を隠す。研究者とメーカーは、知見の公益性を保ちながら対応を可能にする詳細と時間を調整しなければならない。重大性、悪用可能性、更新能力はそれぞれ異なるため、一つの開示規則で緊張を解消することはできない。

車両研究は、より広いサイバーフィジカル化を先取りした。接続された医療、産業、航空システムも同様の問いを抱える。外部接続が物理工程へ及び、ソフトウェアはウェブサービスより長く使われ、供給業者間で責任が分かれ、安全上の結果が実験への許容度を制限する。Savage が 2026 年時点で車両セキュリティ研究に関与していることはこの流れの継続を示すが、現在のシステムに関する主張は、その時点で記録された特定の基盤と研究計画に結び付ける必要がある。

クラウドのサイドチャネルは共有インフラの前提を検証した

クラウドコンピューティングは異なる種類のセキュリティ境界を作る。顧客はハードウェア、ネットワーク、制御システムを共有しながら、あるテナントが別のテナントを推測したり影響したりできないほど強い分離を期待する。事業者は分離モデルを説明できるが、実証的セキュリティは、観測された挙動が実際にそれを裏付けるかを問う。

Savage のクラウドとサイドチャネルに関する研究は、共有インフラの前提を設計上の約束として受け入れず、検証する伝統に属する。同一設備への配置を示す信号、配置の挙動、ハードウェアからの漏えいは、分離されているように見えるテナント間の関係を実証的な問いに変える。事業者がスケジューラー、プロセッサー、仮想化層、緩和策を変更すれば、具体的な仕組みも変化する。

変化が速いため、歴史的な結果には特に注意が必要である。ある世代のクラウドで実証されたサイドチャネルは、後のアーキテクチャでは緩和済みか、無関係かもしれない。逆に、新しいアクセラレーター、メモリー構成、配置方針が別の漏えい経路を作る可能性もある。持続的な貢献は、一つの実験結果を無期限に一般化することではなく、分離が主張されている環境でそれを検証する方法にある。

クラウド研究は Savage の研究をインフラ経済へも結び戻す。共有システムは、多重化によって利用率を高め、計算資源の提供費用を下げられるため価値がある。分離機構は、その共有を受け入れ可能にする。セキュリティ境界が弱まれば、顧客が専用資源、追加対策、分離環境を求め、経済的な利点が損なわれ得る。

測定上の課題も可視性にある。テナントが見られるのはスケジューラーやハードウェアの一部だけである。事業者はより多くの運用データを持つが、公開するとは限らない。研究者は配置や漏えいを間接的に推定しなければならない場合がある。そのため、技術的に正しい結果でも、影響を受けるインフラの割合が不明なら、母集団全体での意味には不確実性が残る。

これは Savage の研究に繰り返し現れる型である。観測装置が範囲の限られた視界を作り、解釈はその範囲に合わせなければならない。実証された仕組みは、特定条件の下で前提が崩れ得ることを示す強い証拠である。ただし、すべての事業者、地域、ハードウェア世代を調べた全数調査ではない。次の問いは、事業者がその問題を設備群全体で検知、緩和、検証できるかである。

測定は誰に行動を求めるかという政治を変える

測定は脅威を説明するだけではない。注目と責任の向きを変えることがある。バックスキャッターでサービス拒否攻撃を数えれば、ネットワーク運用者や緩和サービス事業者は攻撃規模の証拠を得る。スパム活動を決済関係から地図化すれば、銀行やカードネットワークがセキュリティ上の主体になる。車両インターフェースが安全境界を越えると示されれば、メーカー、供給業者、規制機関は、通常の IT チームだけには任せられない問題に直面する。

この責任の再配分こそ、実証研究が政策上の結果を持つ理由の一つである。技術コミュニティーは、パケットや脆弱なコードに最も近い主体へ注目しがちである。システムの地図は、別の主体がより大きな影響力を持つことを示せる。仲介者自身が不正を生み出したわけではなく、多数の正当な顧客にもサービスを提供している場合、この知見は扱いにくい。介入はリスクだけでなく費用も移動させる。

行動を求められる主体には、その権限に適した証拠が必要である。ネットワーク運用者にはプレフィックス、経路、通信の特徴が必要かもしれない。銀行には加盟店と取引の証拠が必要である。メーカーには再現可能な脆弱性と影響を受けるアーキテクチャが必要である。規制機関には均衡の取れた行動を支える記録が必要になる。責任を持つ機関への証拠の橋を用意せずに要所だけを特定する研究は、実際の介入ではなく見出しだけを生む可能性がある。

Savage の一連の研究は、領域ごとに結果は異なるものの、この橋を繰り返し築いてきた。問題の測定方法を変えた仕組みもある。開示や業界慣行へ影響した研究もある。介入地点を示したものの、適応から長期的効果を切り分けるのが難しかった研究もある。正確な人物像では、影響を政策上の普遍的成功へ変換せず、これらを区別する必要がある。

逆方向の危険もある。権限を持つ機関が、可逆的な防御措置には十分な証拠があるのに、達成不可能な確実性を要求する場合がある。セキュリティ判断で完全な帰属を得られることはまれである。成熟した手続きは、可逆的な行動と不可逆的な行動を分け、それぞれの確信度を示し、導入後に結果を測る。

この規律は判断の両面を守る。範囲の限られた測定が、裏付けられない懲罰的結論へ拡張されるのを防ぐ。同時に、限定的な防御措置が妥当な場面で、不確実性が不作為の口実になることも防ぐ。測定は全知を主張することではなく、主張を判断に適合させることで権威を得る。

対象者が参加を選んでいない研究では倫理が難しくなる

インターネットセキュリティの測定は、研究参加を選んでいない人やシステムを観測することが多い。テレスコープには、攻撃者、被害者、設定を誤った機器から通信が届く。スパム調査では試験購入を行い、商業記録を収集することがある。車両研究は、公開によって所有者やメーカーへ影響する欠陥を明らかにし得る。倫理問題は付録ではなく、何を測定、保持、公開し、行動に使えるかを左右する。

研究者は被害を最小化し、機微なデータを保護し、開示を調整し、測定自体が新たな攻撃面にならないようにする必要がある。政策担当者や企業が、推定されたエンティティ間の関係を証明済みの身元として扱わないよう、不確実性も説明しなければならない。データが行動に使いやすくなるほど、誤検知の結果は重大になる。

同じ問題は介入研究にも現れる。決済上の要所を特定すれば、正当な商取引も扱う仲介者への行動を促す可能性がある。脆弱性を大規模に測れば、所有者が修正する前にシステムを危険にさらす場合がある。注目の高まりは修正を速めることも、攻撃者へ知識を与えることもある。そのため倫理審査は、基礎データが技術的に取得可能だったかだけでなく、対応の仕組みも検討しなければならない。

責任ある開示は実務的な橋の一つである。研究者は影響の大きな欠陥を公開する前に、ベンダーや機関と調整し、知見を記録する能力を保ちながら修正を可能にできる。ただし、ベンダーが追加時間を求め、研究者が無期限の延期を懸念し、法的リスクが公開へ影響し、不完全な修正が利用者を危険にさらすこともあるため、この過程には争点が残る。

測定倫理には、付随的に届く通信とデータ保持も含まれる。ネットワークテレスコープは、研究者が求めていない識別子や通信内容の断片を受け取る場合がある。決済研究は実際の顧客取引に触れ得る。車両実験には高価で希少な機材が必要になる場合がある。観測装置は技術的な妥当性だけでなく、説明責任のあるアクセスを考慮して設計しなければならない。

Savage の研究は、こうした限界を残したまま読むとき最も有用である。測定は逸話を証拠へ変えることで影響力を生む。同時に、標本を定義し、関係者へ名称を付け、介入を選ぶ主体に力を与える。成熟した実証的セキュリティ研究は、その力を可視化し、不確実性を記録し、他者が結果に基づいて行動した後に何が起きたかを評価する。

UC San Diego 自体が測定インフラの一部になった

Savage の制度的役割は、UC San Diego と Center for Networked Systems に密接に結び付いている。同センターの公式ページでは時期により director と co-director の両方の表記が使われてきたため、現在の正確な肩書は一つに統合せず、日付を付けて確認すべきである。より安定した事実は、2001 年以降 UC San Diego が彼の学術拠点であり、センターでの指導的役割が研究を組織する環境の一部であることだ。

研究センターは、ルーターやテレスコープとは異なる意味でのインフラである。教員、学生、技術者、業界との関係、機器、データセット、管理支援を長期間まとめ、一つの論文を継続的な研究計画へ発展させる。大規模な実証研究は、一人の研究者だけでは維持できない特殊なアクセスに依存することが多い。

この構造は、共同執筆者の明示が単なる礼儀ではない理由を説明する。学生や共著者は仕組みを設計し、コードを書き、実験を行い、データへのアクセスを調整し、結果を解釈する。業界の協力者はシステムや開示経路を提供する場合がある。外部機関は測定地点を提供できる。センターは、すべての結果を上級責任者個人へ帰属させることなく、こうした資源を調整する。

センターの指導的役割は、研究者が持ち得る影響の種類も変える。研究課題の設定、指導、業界との共同研究は、どの問いが検証可能になり、どのデータセットが利用できるかを左右する。上級研究者は最も引用される論文を発表するだけでなく、測定を繰り返せる機関を構築することで分野へ影響し得る。

この制度的効果を数量化するのは難しい。論文数や受賞歴は成果と評価を示すが、どのインフラ費用を助成金が負担し、どのアクセスを共同研究者が提供し、公開成果に至るまでに何件の実験が失敗したかは示さない。資料は、研究室全体の統合予算や完全な資金地図を裏付けていない。

明確な財務数値がないことは、人物像の欠陥ではない。大学研究は、職位、政府や財団の助成金、センターとの提携、業界支援、研究計画別の資金手配によって支えられる。編集上重要なのは、確認できる場合に支援の種類を示し、共同研究を所有権や、資金提供者が結果を支配したという主張へ変えないことである。

賞が評価するのは研究計画であり単独所有ではない

Savage は 2015 年に ACM Prize in Computing を受賞し、2017 年に MacArthur Fellow となり、2023 年には National Academy of Engineering に選出された。UC San Diego は 2023 年の公式記事で、査読付き論文が 150 本を超えたと報告した。これらは、システムとセキュリティの両分野における持続的影響を示す強い指標である。

ただし、複数著者による研究の内部で功績を確定するものではない。トレースバック、バックスキャッター、決済介入、自動車セキュリティの各研究には、発想、コード、測定、制度的支援を提供した共同研究者がいた。学生や研究スタッフが大規模研究を可能にするシステムを構築することも多かった。センターは機器、アクセス、継続性を提供した。

この区別は礼儀以上の意味を持つ。インフラに関する知識は、方法、データセット、制度的慣行が一人の研究者を超えて存続するとき残る。学生を育成し、測定システムを維持するセンターは、研究の系譜を生み出せる。すべての成果を上級研究者へ集中させる人物像は、分野が進歩する仕組みを見えなくする。

また、技術的な誤りも生む。一人が研究計画を「発明した」と考える読者は、その人物がすべての実装、データセット、後続研究を管理していると誤解するかもしれない。実際には、共著者は別の機関へ移り、データセットの管理者は変わり、後続研究が方法を変更する。共同の功績を示す方が、知識と意思決定権の所在を正確に描ける。

したがって Savage の受賞歴は、幅広い研究計画への評価として人物像に含めるべきである。特定の仕組みが正しいことを示す技術的証拠でも、介入が政策成果を生んだ証明でも、企業所有や個人資産の証拠でもない。資料は、一般的な企業所有の主張や、個人の純資産または持分の推定を裏付けていない。

研究対象はサイバー犯罪の経済だけではない

Savage は実証的なサイバー犯罪測定と関連付けられることが多いが、研究対象はネットワーキング、システムセキュリティ、可用性、クラウドインフラ、サイバーフィジカルシステムに及ぶ。この幅は重要である。各方法が生み出す成果や権限は同じではない。

IP トレースバック研究は、パケット証拠から可能性の高い攻撃経路を再構築するためのプロトコルとアルゴリズムを開発した。バックスキャッター測定はネットワークテレスコープで攻撃活動を推定した。ワーム研究は伝播と封じ込めを検討した。スパムと電子犯罪の研究は商業的依存関係を地図化した。決済介入研究は、経済的な要所が行動を変えられるかを問うた。

自動車研究は、統制された条件で車両アーキテクチャと遠隔攻撃経路を検証した。クラウド研究は、同一設備への配置と共有インフラからの漏えいを検討した。脆弱性開示の研究は技術的証拠を修正工程へつないだ。教育と指導は、その方法を他組織へ持ち込む学生を通じて、研究計画を人材インフラへ広げた。

各活動には異なる実務上の限界がある。トレースバックは世界共通のサービスにはならなかった。バックスキャッターには標本の偏りがある。ワームモデルは歴史的なネットワーク条件と不明確な脆弱端末数に依存する。サイバー犯罪市場は適応する。決済手段は代替できる。車両の知見はモデルと版に固有である。クラウド事業者はスケジューラー、ハードウェア、緩和策を変更する。

統一的な資産は仕様や商用製品ではない。隠れた依存関係を観測可能な仕組みに変える方法である。このため、Savage を一人の「競合相手」と比較するのは難しい。CAIDA などの測定組織は、関連するインターネット観測インフラを運用する。セキュリティ経済の研究者は動機と市場を調べる。商用脅威情報企業は非公開の不正利用データを収集する。自動車セキュリティ研究室は別のメーカーやアーキテクチャを検証する。法執行機関は、研究者が持たない調査権限と証拠を持つ。

これらの集団は Savage の研究と重なるが、代替関係ではない。商用脅威情報事業者は研究者にはない最新の顧客データを持ち得る一方、方法やデータセットの公開度は低い場合がある。大学のテレスコープは再現可能な長期証拠を生み出せるが、一種類の通信しか見えない。法執行機関は情報を強制的に取得できるが、方法を公開しない場合がある。学術研究者はアーキテクチャや因果関係を明らかにできる一方、直接修正する権限を持たない。

この比較により役割が明確になる。Savage の特徴的な貢献は、技術システムと経済システムを横断し、測定可能な依存関係と介入地点を一貫して探したことである。この方法が強力なのは、特殊なデータセット、共同研究チーム、観測装置に見えないものを明示する姿勢に依存しているからでもある。

資金、所有、地理が物語の境界を定める

Savage の研究は、大学での職位、研究助成金、センターとの提携、研究計画別の支援によって資金を得ている。業界支援の研究やセンター会員制度は、機器、データへのアクセス、技術者との関係を提供し得る。資金提供だけで知見の妥当性が決まるわけではないが、提供主体、研究計画、利益相反の開示状況は可視化すべきである。

確認できる証拠には、現在の監査済み個人研究室予算がない。一般的な企業所有の主張、個人の純資産推定、研究計画全体の統合的な金銭価値も裏付けていない。賞に研究助成や顕彰金が含まれる場合があっても、資産の証拠として扱うべきではない。

制度上の拠点は米国カリフォルニア州 San Diego だが、研究対象のシステムは世界規模である。攻撃通信は国境を越える。ホスティングと決済の経路は複数の管轄区域にまたがる。車両供給網には複数地域のメーカーと供給業者が関わる。クラウドインフラは世界に分散している。したがって、研究の地理的意味は大学の住所より、対象システムと標本にある。

一つのアドレスブロックや一つの商業市場にある観測地点が、自動的に世界を代表するわけではない。地理は標本モデルの一部になる。決済関係は国ごとに異なる。ホスティング市場では集中度や執行制度が異なる。開示法制も管轄区域で違う。車両モデルとソフトウェア版は地域ごとに異なる時期に公開される。

同じ点は歴史にも当てはまる。Savage は Seattle の University of Washington で博士課程を終え、2001 年に UC San Diego へ加わった。初期のネットワーク条件は当時のアーキテクチャと攻撃手法を反映していた。その後の研究は商業決済システム、クラウド基盤、サイバーフィジカルインフラへ移った。連続しているのは実証的方法であり、同じデータセットや介入が数十年にわたり適用できるという前提ではない。

経歴では解消できない制約

第一の構造的制約は観測地点の偏りである。すべてのテレスコープ、取引データ、試験基盤、実験車両群が見られるのはシステムの一部だけである。観測技術を改善すれば不確実性は減らせるが、データセットが大きいだけで完全な全数調査になることはない。

第二は攻撃者の適応である。介入後、攻撃者はプロトコル、事業者、ドメイン、決済手段、攻撃経路、活動時期を変えられる。行動前には正確だった結果も、その行動がシステムを変えたことで代表性を失い得る。

第三はエンティティ照合である。ドメイン、アフィリエイト、処理業者、活動、インフラを不完全な記録から結び付けなければならない。共有サービスによって無関係な主体がつながって見える一方、意図的な隠蔽で関連主体が見えなくなる。誤った関連付けは市場構造と介入の正当性をともにゆがめる。

第四は共同の功績である。主要な成果には多数の著者と協力機関がいる。著名な上級研究者を中心に記録を単純化すると、編集上は魅力的でも技術的には誤った英雄物語になり得る。

第五は開示リスクである。攻撃方法の公開は防御側と攻撃側の両方を助け得る。延期すれば利用者が危険にさらされ続けることもある。適切な時期は重大性、修正可能性、車両群などへの更新能力、影響を受ける機関の対応意思に左右される。

第六は研究倫理である。測定は一方的な通信を収集し、試験購入を伴い、実在するシステムに触れる可能性がある。測定対象が観測されていることを知らない場合、プライバシー、付随的被害、同意の前提は通常の実験室研究と異なる。

第七は介入の因果関係に関する主張である。市場は複数の理由で同時に変化する。決済介入後の減少だけでは、その介入が唯一の原因とは立証できない。その後の回復も、元の測定の失敗ではなく適応を反映している可能性がある。

第八は技術の歴史的変化である。インターネット設計、ボットネット、決済手段、クラウドハードウェア、車両ソフトウェアは急速に変わる。過去の研究は方法論上重要であり続けても、現在の運用状況を正確に表さなくなる場合がある。

第九は受賞歴の過大解釈である。著名な賞は研究歴を幅広い言葉で要約する。仕組み単位の功績や、現在の実運用に関する証拠の代わりにはならない。

第十は現在の役割の曖昧さである。UC San Diego の公式ページでは、Savage の Center for Networked Systems における役割について director と co-director の両方が使われてきた。重要な場合は一つの恒久的な肩書へ整えるのではなく、現在の表記を確認すべきである。

これらの制約は研究計画を弱める脚注ではない。中心的な教訓の一部である。実証的セキュリティは、観測装置、母集団、結論の関係が見える状態を保つことで信頼性を得る。

盲点を見えるままにして初めて測定は権威を得る

実証的セキュリティ研究が影響力を得るのは、推測を、他の機関が利用できる観測へ置き換えるためである。その影響力には危険もある。印象的なデータセットは、観測地点が許す以上に完全に見えることがある。ネットワークテレスコープ、試験購入、実験車両は仕組みを明確に示せる一方、母集団の大部分を視野の外に残し得る。

バックスキャッター研究がその例である。ダークアドレス空間へ届く一方的な応答により、攻撃者や被害者の協力なしで、送信元を偽装した攻撃の一部を測定可能にした。前提を明示できるため推論は強力だった。異なるアドレス指定や反射パターンを使う攻撃は見えにくかった。攻撃者が変化すると、観測装置と母集団の関係も変わった。

サイバー犯罪の供給網研究は、別の観測地点を作った。ドメイン、アフィリエイト、配送サービス、決済関係は、パケット数だけでは見えない依存関係を明らかにした。加盟店契約や清算の集中は影響力を生んだが、主体の特定は確率的で、市場は適応できた。一つの経路で観測売上を減らした決済介入が、取引を別の場所へ移した可能性もある。

車両研究には開示問題が加わった。外部インターフェースから安全関連機能への経路を示せば、修正と社会的理解を促せる一方、公開時期は研究参加を選んでいない所有者やメーカーへ影響する。研究の価値は、統制された試験、共同の功績、影響を受ける主体に現実的な対応機会を与える開示手続きに依存した。

これらの例は、介入と測定を一体で設計すべき理由を示す。要所を特定する研究は、介入が機能した場合に予想される観測可能な変化を明示すべきである。考えられる代替手段と付随的影響も特定する必要がある。そうすれば、機関は不可逆的な行動へ進む前に、均衡の取れた可逆的対応を選べる。

行動する権限は論文の外にある。ネットワーク運用者、銀行、メーカー、規制機関は、それぞれ異なる手段と法的義務を持つ。研究者は仕組みを説明し重要性を推定できるが、証拠を提供しただけで機関の権限を得るわけではない。反対に、機関も限定的な防御行動が妥当な場面で、不可能な確実性を要求すべきではない。

攻撃者が適応するため、長期的な研究インフラが重要になる。データセット、テレスコープ、実験基盤、業界との関係は、観測された効果が続くかを検証できる期間にわたり存続しなければならない。学生や共同研究者は方法を新しい環境へ持ち込み、証拠を生み出すシステムを構築することも多い。すべての成果を上級研究者へ集中させる人物像は、実証的セキュリティが知識を蓄積する制度的仕組みを見失う。

持続する方法は大きな問題の中に狭い依存関係を見つけること

サービス拒否攻撃、ワーム、スパム、決済、クラウドシステム、車両を通じて繰り返されるのは、広い脅威を観測可能な仕組みに分解する手法である。攻撃者が分散していても通信には経路がある。市場が数千のドメインを使っても決済は集中する場合がある。車両に多数の部品があっても、信頼は特定のインターフェースを横断する。依存関係が見えれば、防御側はどの主体にそれを変える権限があるかを問える。

ただし、システムが測定より速く適応すると、この方法には限界がある。攻撃者は監視される経路を学ぶ。暗号化やサービス集中によって詳細が隠れる。法的、商業的な関係も変化する。重要な指標がパケット量からアカウント作成へ、カード決済から別の清算手段へ、車両インターフェースからクラウドサービスへ移る可能性がある。成功する測定計画は観測装置を変え続けなければならない。

公益上の基準は具体的である。規模の推定、仕組みの説明、介入の評価能力を改善するか。共同研究者と証拠の限界を明示しているか。対応の効果を仮定せず測定するところまでつながっているか。これらは論文が影響力を持ったかと問うより厳しく、実証的セキュリティがインフラ運用者にとって重要な理由に近い。

したがって、将来の研究に求められる基準は厳しいが実行可能である。新しい測定は観測地点を明示し、共同の功績を保ち、倫理的管理策を開示し、どの観測結果が結論を弱めるかを定義すべきである。介入は、代替を検知できるだけの期間にわたり評価する必要がある。証拠に基づいて行動する機関は、均衡性と誤りへの責任を持ち続けなければならない。

Savage の持続的な貢献は、この分解の規律にある。広い脅威を、観測可能な通信、依存関係、動機、意思決定地点へ縮小する。結果が攻撃者の全体像を示すわけではない。それでも、どの機関が介入できるのか、どの行動が均衡を保つのか、システムが単に移動したのではなく変化したと示す証拠は何かを、運用者と政策担当者がより適切に問うための基盤になる。