解説ねえ智也くん、この「コンテ…
TL;DR
本論文は、自然言語で書かれたシステム記述（レガシー文書など）を入力として、MCP（Model Context Protocol）経由で脅威情報を確定論的に取得し、NIST OSCAL形式のセキュリティ計画書・評価報告書を自動生成する8フェーズのマルチエージェントパイプラインを提案。能動スキャンが不可能な重要インフラ（OT環境）向けに設計され、CVE再現率0.90、D3FEND再現率1.00を達成。LLMの幻覚リスクをフェーズ0のエンティティ抽出に局所化し、残りのフェーズはMCPによる確定論的API呼び出しで検証可能な知識グラフを構築する点が特徴。
解説
ねえ智也くん、この論文のタイトル見て！「MCPエージェントパイプラインで自然言語のシステム記述からOSCAL準拠の監査成果物を生成」って、すごく難しそうだけど何やってるの？
ああ、これは自然言語で書かれた古いシステムの説明書とかを入力にして、セキュリティ監査に必要な書類を自動で作る仕組みだよ。特に工場の制御システムみたいな、スキャンできない重要インフラ向けなんだ。
へー、監査って手間がかかるイメージだけど、それをAIで自動化しようってこと？でもAIってよく幻覚起こすじゃん？監査書類に嘘が混ざったら困るよね。
そこがミソで、この論文では幻覚リスクを最初のフェーズ0のエンティティ抽出だけに閉じ込めてるんだ。残りの7フェーズはMCPっていうプロトコル経由で確定論的に脅威情報を取得して、知識グラフを組み立てる。だから検証可能なんだよ。
なるほど！最初だけLLMに頼って、あとは決まったAPI呼び出しで確実に情報を集めるってことか。それでどんな結果が出たの？
評価ではCVEの再現率が0.90、D3FENDっていう防御策の再現率が1.00だった。つまり既知の脆弱性は9割、推奨対策は全部拾えたってこと。OT環境向けとしてはかなり良い数字だと思う。
すごい！でもそれって、もともと文書がちゃんと書けてないとダメなんじゃない？レガシー文書って曖昧だったり古かったりしそうだけど。
その通り。フェーズ0のエンティティ抽出の精度に依存するから、文書がひどいとそこから先も歪む。あと、このパイプラインはあくまでOSCAL形式の計画書と報告書を生成するだけで、実際の脆弱性を発見するわけじゃない。能動スキャンができない環境向けの補助ツールって位置づけだね。
なるほどねー。でもこれ、監査の下準備がめっちゃ楽になりそう！私も卒論で使いたいけど、まずはちゃんとシステム説明書を書くところから始めないとダメか（笑）
そうだね。まずは日本語の文章を書く練習からだな。