重要
年末年始休業 2023年12月29日～2024年1月3日
先月は、『ChatGPTをはじめとする生成AIがサイバーセキュリティにおよぼす影響と課題』という題で、CSAのレポート "Security Implications of ChatGPT"（弊社私訳『ChatGPTのセキュリティへの影響』）についてまとめてみましたが、今月は、生成AIおよびAI全般のセキュリティについて、世の中のまとめを幅広く見ていこうと思います。
ChatGPTを提供するOpenAI社では、自社のセキュリティ情報を「OpenAI Security Portal」で提供しています。
これを見ると、CCPA（※）・GDPR（※）・SOC 2（※）に準拠していることと、ペネトレーションテストの結果・SOC 2レポート・CAIQ Lite（※）への回答などセキュリティチェックシートへの回答があることが分かります。
CAIQ Lite: Cloud Security Alliance（CSA）が提供しているクラウドサービスセキュリティの自己評価ツールです。CAIQの簡易版で、質問項目をCAIQフルセットの約4分の1にしています。
なお、内容を確認するにあたってはNDAの締結が必要です。
クラスメソッド社のブログにも記載がありますので、参考にしてみてください。
もちろん、以上の情報でセキュリティのすべてを判断することはできませんが、筆者としては、OpenAI社が、自社のセキュリティ情報をオープンな標準に準拠した形で公開していることには、一定の信頼がおけると感じました。
生成AIの急速な普及を受けて、利用ガイドライン策定が相次いでいます。
ChatGPTを使った経験をもとに、主に利用時の情報漏えいを防ぐ観点から出されたものとしては、以下が挙げられます。
さて、先月のブログに書いた通り、「AIの責任ある使用」も必要です。そして、「AIの責任ある使用」には情報セキュリティ上の責任だけでなく、コンプライアンス上の責任も含まれます。NECは、経済産業省のAI原則実践のためのガバナンス・ガイドラインに基づいて、AI全般についてガバナンスという大きなくくりではありますが、体制と全社規程を制定しています。全文が公開されているわけではありませんが、「AIの責任ある使用」をするうえで、参考になる事例のひとつといえます。
クラスメソッドやZaim以外にも、企業が生成AIの利用ガイドラインを策定するうえで、参考となる記事がまとめられていますので、紹介します。
個人情報保護委員会が令和5年（2023年）6月2日に、生成AIの利用について、個人情報取扱いの観点から、企業や一般利用者が注意したいポイントをまとめています。OpenAI社への注意喚起としてニュースになったことから話題が先行している面もありますが、ガイドラインとしても機能する内容になっています。企業が生成AIの利用ガイドラインを策定するうえで、この注意喚起も無視することはできないでしょう。
生成AIの利用ガイドラインを策定するにあたって、どのようにルールを作ればいいかと考える前に、どのようなリスクがあるかを把握したいなどのニーズもあるかと思います。CSAのホワイトペーパー以外で、参考となる記事を紹介します。
今後、生成AIはもとより、AI全般において、応用した開発が盛んになってくることも想定されます。AIを応用した開発で気をつけるべきことは多数ありますが、総務省と三井物産セキュアディレクション（MBSD）が協力して情報発信しているポータルが、情報収集や考察のためのよい起点になりますので、紹介します。
また、世界に目を向けると、
生成AIを応用したアプリで気をつけるべき脆弱性にプロンプトインジェクションというのがあります。AIに対して特殊な質問を入力し、開発者が想定していない結果を引き出すことで、AIが保持する機密情報をはじめとした公開すべきでないデータを引き出すなどの応用が可能です。
対策としては、ハッシュ復唱などが提唱されています。
前述の『AIセキュリティ 情報発信ポータル』に掲載されている「AIセキュリティマトリックス」には直接記載されていない手法ですが、進歩が続く新しい技術に対しては、新しい脆弱性（新しい攻撃手法）が発見されることもあるので、新しい技術におけるセキュリティのトレンドを知るという考え方は非常に大切です。
生成AIの急速な進歩もあり、AI全般の動向が活発になっています。AIやそのAPIを応用したSaaSが次々と誕生する中、AIについてはセキュリティ面でも進歩が急速に続いています。
セキュリティを確保しながらAIを活用するべく、AIを利用したSaaSの社内利用をチェックするにあたっては、AIの特徴を踏まえたガイドラインが作成されていることが必要です。
今回紹介した記事を起点に、各社がAIやそのAPIを応用したSaaSを必要に応じて活用できるよう、迅速・適切に利用ガイドラインを策定していくことが望まれます。本稿がその一助となれば幸いです。
