「AIに機密情報を入れない」で止まる企業の危うさとは

このニュースの要点

多くの企業が生成AIの業務利用において、「AIに機密情報を入れないでください」という注意喚起に留まっている。しかし、IT技術者やセキュリティ担当者の視点からは、この対応は不十分である。企業はすでにメールやチャット、SaaSなどで日常的に社外秘情報を扱っており、問題は外部サービスに情報を入れることそのものではなく、そのサービスが入力データをどう扱い、誰がアクセスでき、どこに保存され、どのような操作権限を持ち、何がログとして残るのかを設計・統制できているかどうかにかかっている。

AIセキュリティは、単に社員に注意を促すだけでなく、業務システムとしてAIを導入・運用するための設計課題である。AIセキュリティは一つの問題ではなく、データ保護、アクセス制御、出力リスク、エージェントリスクといった複数の観点から考える必要がある。特に、チャットAIとAIエージェントを区別し、AIエージェントがファイル操作やコード実行などを行う可能性を考慮した設計が重要となる。

また、AI利用でよくある誤解として、社員が手で入力するプロンプトだけを問題視することが挙げられるが、実際にはAIアプリが扱うデータは、モデルが学習済みのデータ、ユーザー入力とAI応答、AIが接続する外部サービス、RAGで参照する社内データといった4種類に分かれる。IT技術者が特に注意すべきは、外部サービス連携とRAGであり、社員がプロンプトに機密情報を入れなくても、AIが社内ファイルやメールを検索できる設定になっていれば、機密情報に到達する可能性がある。

RAG（Retrieval Augmented Generation）を導入する際は、元の文書のアクセス制御が破壊されないよう、権限継承、検索時認可、チャンク単位制御、メタデータ保持、削除反映、応答根拠表示、応答ログ監査などの対策が最低限必要となる。RAGは単なる検索基盤ではなく、認可付きデータ提供基盤として設計する必要がある。

どのAIサービスを使っても良いかを決めるには、社内情報の分類が不可欠である。公開情報、社内一般、機密情報、高機密・法令制限といった区分ごとに、利用可能なAIサービスや条件を定める必要がある。「機密情報を入れない」と一律に言うのではなく、情報区分ごとに扱えるAIサービスや条件を明確にすることが重要である。

社員が個人アカウントの生成AIに業務情報を入力してしまうシャドーAIは、会社として許可されたAIツールがない、申請手続きが重すぎる、使ってよい情報と悪い情報が曖昧、現場業務に合うAI環境が用意されていない、といった状態があると起きやすい。シャドーAI対策の本質は禁止ではなく、安全に使える標準環境を用意することである。

AIエージェントは、調査や文章生成だけでなく、コード生成・修正、コミット、チケット更新、メール送信、ファイル操作、API呼び出し、コマンド操作など、実際に操作を行うため、高権限を持ちうる非決定的な自動実行主体として扱うべきである。プロンプトインジェクションのリスクも高く、権限の最小化、重要操作への人間の承認、サンドボックス化、プラグイン・拡張機能の審査が必須となる。

APIキーやトークンの扱いも重要であり、生成AI APIキーの漏洩は、高額なAPI利用料の不正請求、社内データへのアクセス、モデル利用履歴やプロンプトの漏洩、外部サービス操作、CI/CDやGitHub Secretsからの横展開につながる可能性がある。APIキーは業務遂行能力そのものへのアクセス権として、厳格な管理が必要である。

背景にある業界トレンド

生成AIの業務利用が急速に拡大する中で、多くの企業がそのセキュリティ対策に頭を悩ませている。当初は「AIに機密情報を入力しない」という単純な注意喚起で対応しようとする企業が多いが、IT技術者やセキュリティ担当者の視点からは、この対応だけでは不十分であることが指摘されている。企業が日常的に利用しているメール、チャット、グループウェア、SaaS、クラウドストレージといった既存の外部サービスと同様に、AIサービスも入力データをどのように扱い、誰がアクセスでき、どこに保存され、どのような操作権限を持ち、何がログとして残るのかを設計・統制することが求められている。

AIセキュリティは、単なる社員への注意喚起に留まらず、業務システムとしてAIを導入・運用するための設計課題として捉え直す必要がある。特に、AIエージェントのように、ファイル操作、コード実行、API呼び出しなど、実際の業務システムに対して行動する可能性のあるAIについては、そのリスクの大きさを十分に理解し、従来のWebアプリケーションだけでは整理しきれない新たなリスク（Prompt Injection、Sensitive Information Disclosure、Excessive Agencyなど）に対応する必要がある。

また、RAG（Retrieval Augmented Generation）のような、社内データをAIに参照させる技術の普及は、情報漏洩のリスクを高める可能性がある。元のファイルサーバーでアクセス権限が厳格に管理されていた情報でも、RAG化された際に意図せず全社員から検索可能になってしまうといった事態が考えられる。これは、AI固有の問題というより、検索インデックス化に伴うアクセス制御の破壊であり、自然文での検索が可能になったAIでは、漏洩に気づきにくく、被害が広がりやすい傾向にある。

さらに、社員が許可されていないAIサービスに業務情報を入力してしまう「シャドーAI」の問題も深刻化している。これは、企業が安全に利用できる公式なAIツールやガイドラインを提供していない場合に発生しやすく、禁止するだけでなく、安全に使える標準環境を用意することが対策の本質とされている。

AIエージェントの登場は、AIのセキュリティリスクをさらに複雑化させている。AIエージェントは、人間の作業者やRPAに近い存在として、コードの生成・修正、API実行、コマンド操作など、高権限を持ちうる操作を行う可能性がある。そのため、権限の最小化、重要操作への人間の承認、サンドボックス化といった、より厳格なセキュリティ対策が不可欠となっている。

APIキーやトークンの管理も、AI時代の重要なセキュリティ課題となっている。これらの情報が漏洩すると、高額な利用料の不正請求や社内データへのアクセス、モデル利用履歴やプロンプトの漏洩など、深刻な被害につながる可能性がある。APIキーは、単なる開発用秘密情報ではなく、業務遂行能力そのものへのアクセス権として、厳格な管理が求められている。

影響と今後の見通し

「AIに機密情報を入れない」という単純な注意喚起でAIの利用を制限している企業は、生成AIの持つ潜在的なメリットを享受できず、競争力の低下を招く可能性がある。一方で、AIセキュリティを単なる技術的な問題としてではなく、業務システム設計の一部として捉え、データ保護、アクセス制御、出力リスク、エージェントリスクといった多角的な観点からリスク管理プロセスに組み込んでいる企業は、安全かつ効果的にAIを活用し、業務効率化や新たな価値創造を進めることができるだろう。

今後、AIエージェントの普及に伴い、AIによる自動実行のリスクはさらに高まることが予想される。これに対応するためには、AIエージェントに対する権限管理、承認フロー、サンドボックス化といった対策がより一層重要になる。また、AIサービス選定においては、入力データの学習利用、保存期間、データ所在地、管理者機能、ID連携、認証・認可、第三者認証、契約条件、API管理、インシデント対応といった多岐にわたる項目を確認し、自社の情報分類に基づいた適切なサービス選定が不可欠となる。

シャドーAI対策としては、禁止措置だけでなく、現場のニーズに応じた安全な公式AI環境の提供、利用ガイドラインの整備、申請フローの簡素化、CASB/SWGやDLPといった監視・制御ツールの導入、そして具体的な使い分けを教える教育が重要となる。現場にとって使える公式手段がなければ、非公式利用は減らないという認識が広まるだろう。

NISTのAI Risk Management FrameworkやGenerative AI Profileのような、AI特有のリスクを組織の目的に合わせて識別・管理する考え方が、今後のAI導入における標準的なアプローチとなっていくと考えられる。AI導入は、単なるツール選定ではなく、組織全体のリスク管理プロセスに組み込まれるべき重要な取り組みとなるだろう。

まとめ

AIの業務利用におけるセキュリティ対策は、「AIに機密情報を入れない」という初期段階の注意喚起を超え、より高度で包括的なアプローチが求められている。企業は、AIを単なる便利なツールとしてではなく、業務システムの一部として捉え、データ保護、アクセス制御、エージェントリスク、シャドーAI、APIキー管理といった多岐にわたるリスクを考慮した設計・運用体制を構築する必要がある。情報分類に基づいた適切なAIサービス選定と、リスク管理プロセスへの組み込みが、今後のAI活用における成功の鍵となるだろう。

出典: https://qiita.com/mhamadajp/items/adcec6c735213c46c3c2