VR「インセプション」攻撃は、開発者モードの抜け穴とVRの夢のような非現実性を悪用して、何を操作しますか？

VR ヘッドセットは、ニール・スティーヴンソンの『スノウ・クラッシュ』 （1992 年）や実際にクールなメタバースなどの SF 古典作品で約束された没入型テクノロジーにこれまで以上に近づけることを目的としているが、現在、研究者らは VR ハイジャック攻撃が『インセプション 』（2010 年）のような SF スパイ活動に近いことを実証している[h/t Hackster ]。

しかし、これらのVRサイバー攻撃を「没入型ハイジャック」または「インセプション攻撃」と名付けても、まだ確信を抱くには至りません。幸いなことに、コーネル大学の論文（「インセプション攻撃：仮想現実システムにおける没入型ハイジャック」）でこれらの概念を初めて公開した研究者たちは、「潜在的なインセプション防御」についても説明しており、現時点では少なくとも攻撃はMeta Quest VRヘッドセットに限定されています。

「没入型ハイジャック」は、ユーザーと通常バージョンのオペレーティングシステムの間にあるいわゆる「インセプション VR レイヤー」を使用することで機能し、攻撃者はユーザーと内部アプリケーション、外部サーバーなどとのやり取りをすべて傍受して制御できます。

この攻撃は実に多岐にわたりますが、対象となる攻撃ベクトルに絞り込んでみましょう。まず、調査対象となった27人のボランティアには、本格的な攻撃は行われておらず、Beat Saberの通常のプレイ中にハイジャックが発生したことに気づく能力のみがテストされていたようです。唯一の視覚的な兆候は、プレイ前のホーム画面のちらつきでしたが、気づいた10人のうち1人を除く全員が、無害なシステム不具合によるものだと回答しました。

さらに、これらのデバイスには悪意のあるVRChatのクローンが存在していました。シカゴ大学教授でこの研究を率いたヘザー・ジェン氏は、MITテクノロジーレビューの取材に対し、「生成AIによって、誰でも瞬時に人の声を複製し、視覚的なディープフェイクを生成できるようになるため、この脅威はさらに悪化する可能性があります」と述べています。

最も不吉なことに、クローンブラウザはウェブバンキングセッションを完全に乗っ取る能力も示しました。これには、ユーザーが確認できる残高の変更、さらにはエンドユーザーが送金した金額を意図的に変更することまで含まれており、オンラインバンキングプロセスに対するユーザーの制御を完全に奪い、影響を受けたユーザーは知らないうちに破産してしまう可能性があります。

これは、VRが進化し続けるにつれて、サイバーセキュリティ対策もそれに合わせて進化する必要があることを示しています。技術的に没入感が高まることと、より安全になることは必ずしも同じではありません。