人工知能（AI）、特に生成AIへの注目の高まりは、企業がセキュリティに力を入れる必要も高まっていることを意味する。しかし企業は、まだ重要データを保護するための基本的な対策さえ十分にできていない。
提供：Getty Images/Oscar Wong
OpenAIの「ChatGPT」が大きなきっかけとなって生成AIへの関心が高まったことで、企業はこの技術をどう活用すべきかを検討するようになった。
IBMが米国時間6月26日に発表したレポートによれば、同社の調査に回答した企業の最高経営責任者（CEO）の半数近く（43％）が、自社はすでに戦略的な意思決定に生成AIを利用していると述べており、36％は業務運営上の意思決定にこの技術を利用していると答えていた。また、回答者の半数が、自社の製品やサービスに生成AIを統合しようとしていた。これらの数字は、シンガポールと米国を含む世界30市場の3000人を超えるCEOを対象としたインタビュー調査に基づくものだ。
企業のCEOは、AIが抱えているバイアスや、倫理面、安全性などに関する潜在的なリスクを警戒しており、回答者の57％はデータのセキュリティについて、48％はデータの正確性や偏りについて懸念していると述べている。また76％は、ビジネスのエコシステム全体のサイバーセキュリティを効果的に実現するには、一貫性のある基準やガバナンスが必要だと考えていることも分かった。
さらに、回答者の56％は、一貫性のある基準の欠如が原因で、少なくとも1件の大規模な投資を留保していると述べていた。データのセキュリティやプライバシーに関して利害関係者が求めている情報を、正確かつ包括的に報告できる能力があると確信できていた回答者は、全体の55％に過ぎなかった。
このような自信のなさは、企業が潜在的な脅威の管理方法を再考する必要があることを意味している。GartnerのバイスプレジデントアナリストであるAvivah Litan氏は、AIに関するさまざまなリスクについて議論する記事の中で、生成AIは、攻撃側のソーシャルエンジニアリングやフィッシング攻撃を高度化させるだけでなく、攻撃コードを生み出すことも容易にすると述べている。
生成AIの基盤モデルを提供しているベンダーは、サイバーセキュリティに脅威を及ぼすようなリクエストを拒否するようにモデルをトレーニングしていると主張しているが、Litan氏は、導入されているセキュリティ対策を監査できるようなツールが顧客に提供されているわけではないと指摘している。
ほかにも、従業員が生成AIのチャットボットとのやりとりの中で機密情報や占有データを暴露してしまうような場合もある。「これらのアプリケーションは、ユーザーの入力から得た情報を無期限に保存しているかもしれず、それらの情報が他のモデルのトレーニングに使われ、さらに機密が損なわれる可能性すらある。またそうした情報は、セキュリティ侵害が起きれば悪者の手に落ちるかもしれない」と同氏は言う。
Litan氏は、企業に対して、新たに生じるリスクやセキュリティ要件を管理する戦略を策定し、ユーザーと生成AIの基盤モデルをホストする企業の間を流れるデータやプロセスを管理するために、必要なツールを新たに導入することを勧めている。
同氏は、ChatGPTのようなツールの無許可利用の監視や、ポリシー違反の検出に、既存のセキュリティ管理の仕組みやダッシュボードを活用すべきだと述べている。例えば、ファイアウォールを使えばユーザーのアクセスをブロックできるし、セキュリティ情報イベント管理システム（SIEM）を使えば、ポリシー違反のイベントログを監視することが可能になる。また、セキュアウェブゲートウェイを導入すれば、無許可のAPI呼び出しを監視することもできる。
