AIがもたらした新たな脅威「シャドウAI」 企業が取るべき対策3つを紹介

ImpervaがシャドウAIの危険性を公開した。企業が取るべき対策には3つのステップがあるという。

[後藤大地，有限会社オングス]

　Impervaは2023年6月29日（現地時間）、大規模言語モデル（LLM）に基づいた新たな生成AI（人工知能）が内部者によるデータ侵害「シャドウAI」の増加を引き起こす可能性があると警告した。インサイダー脅威はデータ侵害の主要な原因であるが、多くの企業がこの脅威を重視していないと分析されている。

Impervaがインサイダーデータ侵害を警告（出典：ImpervaのWebサイト）

新たなAI技術がインサイダーデータ侵害を急増させる

　インサイダー脅威はデータ侵害の主要原因だ。Impervaによれば、この5年間に発生したデータ漏えいの24％が人為的なミス（詐欺、窃取、身代金要求、データ損失、認証情報を偶発的にまたは故意に使用するなど）だ。一方、企業の33％はインサイダー脅威を重要な脅威とは認識していない。

　従業員はLLMに基づくチャットサービスを業務効率化の目的で使うケースがほとんどだ。Impervaは「企業がこうしたサービスへのアクセスを禁止しても効果が薄い」としている。同社はこうした問題を従業員に対する規制で解決するのではなく、データ保護に注力すべきとする。Impervaが提唱する組織が取るべき対策は以下の通りだ。

データの可視性

　全てのデータリポジトリを検出して可視化することが重要で、シャドーデータベースには重要な情報が存在することもある。

データ分類

　全てのデータを種類や機密性、価値などで分類する。効果的なデータ分類は組織におけるリスク低減につながる

データの監視と分析

　異常な動作やデータ流出、特権昇格、疑わしいアカウントの作成などの脅威を検出するために、データ管理および分析機能を実装する。

　2022年11月に登場した「ChatGPT」などは業務の効率化を実現しているが、サイバーセキュリティの懸念も増えている。企業内のデータを整理し、適切な対策を取ることが重要だ。