Amazonが生成AIを安全に使うために気を付けている“3つの指針”：Cybersecurity Dive

AmazonはAIのメリットとリスクをどのように評価しているのか。同社のCSOであるスティーブン・シュミット氏が組織が生成AIを使う際に注意すべき“3つの指針”を紹介した。

[Matt Kapko，Cybersecurity Dive]

　生成AI（人工知能）のようなテクノロジーは、組織が直面するセキュリティの重要な課題に対処できるが、これらの能力を過度に重視する専門家は、人とそのユニークな才能を最優先する基本的な必要性を見逃している。

　AmazonのCSO（最高戦略責任者）であるスティーブン・シュミット氏は、2023年11月27日（現地時間）に米国ラスベガスで開催された「AWS re:Invent」におけるプレゼンテーションの中で、次のように述べた。

　「セキュリティは人間の問題だ。コンピュータは互いを攻撃しない。外部で起こるあらゆる敵対的な行動の背後には人間がいる」

AmazonのCSOが考えるセキュリティとチェスの共通点

　シュミット氏にとってセキュリティはチェスに似ている。そこには盤面に焦点を当て駒がどのように動き、どのように相互作用するのかに集中する心理学の実践が含まれている。セキュリティ専門家は自分自身の傾向や相手の動機など、人間的な要素を理解する必要がある。

　シュミット氏は「ただしあなたは1つのチェスの試合をプレイしているわけではない。異なる動機を持つさまざまな敵対者があなたを狙っているため、同時に数十または数百のゲームをプレイしているのだ」と話す。

　このようなセキュリティの競争に圧倒されるように感じるかもしれないが、多くの防御担当者は反復的なタスクを自動化できる生成AIを味方と見なしている（注1）。セキュリティベンダーはこの技術を組み込んだツールを提供しており（注2）、さらに多くのツールが開発中だ。つまり、生成AIはセキュリティにおける持続的かつ深刻なスキル不足を緩和する可能性もある（注3）。

　シュミット氏は「生成AIのような作業を自動化して拡張できるツールは、複雑な意思決定や微妙に集中している状態から緊張感を取り除くために重要だ。ちなみに私の目標は、ソフトウェアでは解決できない最も曖昧でダイナミックな問題に人々が集中できるようにすることだ」と語る。

AmazonはAIのメリットとリスクをどのように評価しているのか？

　「AIは既に私たちのビジネスを根本的に変えているが、どんなツールにも限界がある」とシュミット氏は述べた。

　Amazonは、組織がセキュリティコントロールを強化するためにAIを活用する際のメリットとリスクに取り組んできた。同社はAIが特定の目標達成に役立つ領域を特定し、事業運営に伴うセキュリティニーズを形成するために役立つ3つの質問を考えた。

質問1．データはどこにあるのか

　大規模言語モデル（LLM）のトレーニングにおいてデータがどのように扱われるかを理解することは（注4）、データセキュリティにとって重要だ。それは、特に生成AIモデルがどのように企業情報にアクセスし、潜在的に公開できる状態にするかに関連している。

　シュミット氏は「組織は転送中や静止中のデータを暗号化し、データに対するアクセス権が最小限の範囲に設定されていることを確認する必要がある」と指摘する。

質問2．生成AIのクエリと関連するデータはどうなるのか

　「生成AIのクエリの一部として送信されたファイルや情報は、より良い予測や結果につながる。しかし、その企業データを扱うサービスがデータを保護し続けるという保証が必要だ」とシュミット氏は述べた。

　AIチャットbotのクエリにおける反復的なやりとりは、規制やコンプライアンス要件を満たす組織の能力を危険にさらす可能性があると見なすべきである。

質問3．生成AIモデルによるアウトプットは十分に正確か（注5）

　生成AIモデルによるアウトプットの質は着実に向上しているが、人間の監視なしにこれらに過度に依存すると、組織はその利点を相殺しかねない課題にさらされる可能性がある。

　シュミット氏は「LLMを使用してカスタムコードを生成している組織は、コードを本番環境に展開する前に、そのコードが適切に記述されてベストプラクティスに従っていることを検証する必要がある」と話す。

　「これらの質問はAmazonのセキュリティチームが生成AIやLLMを社内で使用する際に考慮する指針となっている。顧客はデータをコントロールし、安全な方法で選択したモデルを使用できる。AIに関する私たちの指針はシンプルだ。それはあなたのデータはあなたのものであるという内容だ」（シュミット氏）

（注1）The role for AI in cybersecurity（Cybersecurity Dive）
（注2）Cyber CEOs are all-in on generative AI（Cybersecurity Dive）
（注3）White House looks to close massive cyber skills gap（Cybersecurity Dive）
（注4）For security to benefit from AI, companies need to shore up their data（Cybersecurity Dive）
（注5）AWS bets on accuracy in generative AI deployment race（Cybersecurity Dive）