AIセキュリティのベストプラクティス：このホワイトペーパーの内容

AIを導入すると、攻撃対象領域が拡大します。追加するすべてのモデル、データストア、APIが保護対象となるため、AIシステムのセキュリティ確保は導入後ではなく、評価の段階から始める必要があります。このガイドでは、AIを本番環境に導入する前にセキュリティリーダーが把握しておくべき、AIセキュリティのベストプラクティス、コントロール、ガバナンスに関する確認事項を示します。

AIのセキュリティ確保を先延ばしにできない理由

承認の有無にかかわらず、AIはすでに環境内に存在しています。Darktraceの調査では、アクティブな顧客の74%で従業員が生成AIを使用していることが判明した一方、各種調査によると、ほとんどの組織では依然として正式なAIポリシーが策定されていません。このギャップによって、データ損失、シャドーAI、知的財産の漏えいが発生します。信頼できるAIは、セキュアなAIによってのみ実現できます。セキュリティが確保されていないモデルは、誤動作したり、操作されたり、情報を漏えいしたりします。

AIのセキュリティを確保する方法：管理すべき3つのリスク

効果的なAIセキュリティガイドラインでは、3つの障害モードから保護します。

• 機能停止 — モデルの誤動作、性能低下、機能停止
• 欺瞞 — プロンプトインジェクション、ジェイルブレイク、敵対的入力により、モデルが意図に反して動作する
• 情報漏えい — トレーニングデータ、モデルの重み、機密性の高い入力データの漏えい

今すぐ適用できるセキュアなAIフレームワーク

AIセキュリティコントロールは 決して特殊なものではありません。 AIはデータとモデルの組み合わせに過ぎません。したがって、他の領域で既に適用している標準（可視性の拡張、継続的な監視、検知と対応、最小権限アクセス制御、ゼロトラスト、多層防御、脆弱性管理）を同様に適用してください。 それに加えて、AI特有のプラクティスも適用されます：

• リリース前にテスト、評価、検証、妥当性確認（TEVV）計画を策定
• 敵対的機械学習のリスクに備えて、モデル、データストア、APIに対するレッドチームテストを実施
• データ整合性プロセスを確立し、データポイズニングとバイアスを防止
• 精度を測定し、信頼度スコアリングと説明可能性を必須化
• 自動化から拡張、自律化へと移行する中で、ヒューマンインザループを維持

すべてのAIベンダーに確認すべき質問

このホワイトペーパーには、トレーニングデータの来歴、事前トレーニング済みモデルと継続的に学習するモデルの違い、再トレーニングの頻度、モデルへのアクセス権限、TEVVプロセス、バイアスの軽減、データの保存方法とプライバシー保護を網羅したベンダーのデューデリジェンスチェックリストが含まれています。

ホワイトペーパーをダウンロードして、セキュアなAI導入の完全なロードマップとベンダー評価チェックリストをご確認ください。