生成AIを安全に利用するにはどうすれば良いか?

ChatGPT：生成AIへのアクセスを保護

生成AIプラットフォームの登場は生産性の向上とイノベーションにつながりましたが、特にサイバーセキュリティの分野では、大きな懸念も生じています。セキュリティおよびITチームは、生成AIの利用を推進しながら、データの流出や回避的なフィッシング攻撃から組織を守る方法を見つける必要があります。

生成AIの可能性とリスク

ChatGPTは2022年11月のリリース以来、史上最も急速に成長したプラットフォームの1つとなり、わずか2か月で1億人を超えるユーザーを獲得しました。同じ数のユーザーを獲得するまでに、TikTokは9か月、Instagramは2年半かかりました。ChatGPTは世界中の人々の注目を集めていますが、広く利用されている多くの生成AIプラットフォームのうちの1つにすぎません。これらのプラットフォームは、コンテンツの改善、インスピレーションの獲得やブレインストーミングの支援、日常的なタスクのアウトソーシングなど、人々の働き方を大きく変革しています。これにより、組織は生産性と仕事の質を向上させる多くの機会を得ています。

しかし、生成型人工知能（AI）プラットフォームやChatGPTなどのチャットボットの使用は、サイバーセキュリティにも大きな影響を及ぼしており、データやプライバシー保護、あるいはフィッシング攻撃などの脅威に関して懸念が生じています。

フィッシング攻撃の脅威

多くの人々が、これらのツールによって攻撃者が大規模に回避的な脅威を生み出すことを懸念しています。それに加えて、ChatGPTのようなプラットフォームのおかげで、ハッカーがより洗練された効果的なフィッシング攻撃を仕掛ける際の障壁が低くなりました。ChatGPTが世界中の組織や個人にもたらすリスクについて、サイバーセキュリティの専門家が世界へ向けて警告するのは正しいことですが、そればかりに気を取られると、これらの生成AIプラットフォームやチャットボットが持つ、より差し迫ったマイナス面、即ち機密データやその他の知的財産（IP）が流出する可能性を見逃してしまう可能性があります。

データ流出のリスク

従業員がChatGPTやBardなどの生成AIツールを使用する際に、企業の機密データを外部と共有したり、公開したりする可能性があります。これには、顧客データ、企業秘密、機密データ、さらには知的財産が含まれるかも知れません。生成AIを使用した場合、機密性の高いデータが、他の一般的なデータ流出経路に比べてはるかに幅広いユーザーに届く可能性があります。ChatGPTおよびその他の生成AIプラットフォームは、チャット履歴のようなデータを保存して、モデルをトレーニングおよび改善します。つまり、入力されたデータはモデルのトレーニングに使用され、後で他のユーザーへの回答に含まれる可能性があるのです。

現実世界の例：
最近、Samsungの半導体グループのエンジニアのグループが、同社が開発中の新機能のコードをより効率的にできるかどうかを確認するために、ソースコードをChatGPTに入力したことが報告されました。ChatGPTやその他の生成AIツールは、入力データを保持して自身をさらにトレーニングするため、入力されたSamsungのソースコードを使用して、他のユーザーからのリクエストへの回答を作成するかも知れません。これには、脆弱性を探す攻撃者や機密情報を探す競合他社が含まれます。

組織を保護するために、一部の企業は生成AIサイトの利用を完全に禁止しました。イタリアはデータプライバシーへの懸念から一時的にChatGPTを全国で禁止しましたが、それは約1カ月後に解除されました。生成AIサービスへのアクセスを防ぐことは、潜在的なセキュリティリスクに対する解決策のように見えるかもしれませんが、長期的な解決策とはなり得ず、場当たり的な対応に過ぎません。ChatGPTとその他の無数の生成AIプラットフォームは、ビジネスプロセスを合理化し、退屈なタスクを自動化し、執筆やデザイン、コーディングなどのプロジェクトを効率化できる、強力なビジネスツールです。これらのサイトをブロックすると、生産性やビジネスの機敏性も妨げられてしまいます。

生成AIを安全に活用する

既存のデータ漏洩防止（DLP）やCASB（Cloud Access Security Broker）やその他の内部脅威向けのソリューションでは、残念ながらこの新しいテクノロジーの微妙な取扱いに対処することはできません。組織には、画一的なソリューションではなく、多層的なアプローチが必要です。

DLPと組み合わせることで、文字数を制限したり既知のコードをブロックしたりするなど、入力フィールドに貼り付けるコンテンツを制限できます。数千行ものソースコードを手動で入力する人はいないため、貼り付け機能を制限することで、この種のデータ流出を効果的に防ぐことができます。また、ユーザーも入力しようとしている情報について、よく考えるようになるでしょう。

組織は、問題の解決とイベント後の分析を支援するために、イベントログやブラウザー記録の開始など、付加的なセキュリティ制御を起動するためのセキュリティポリシーも設定しておく必要があります。内部関係者による侵害の調査では、作為の証拠が必要になることを覚えておきましょう。イベントとブラウザーセッションの記録から、ユーザーが悪意を持っていたのか、それとも不作為であったのかを可視化し、洞察を得ることができます。

Menlo Securityを選ぶ理由

Menlo Securityは、分離されたブラウジングセッションと分離されていないブラウジングセッションの両方において、Webファイルのアップロードとユーザー入力に対して信頼性の高い検査を適用し、従業員が機密ファイルをアップロードしたり、企業秘密などを生成AIソリューションに入力したりするのを阻止します。コピー&ペーストの制御と組み合わせることで、Menlo Securityは機密データが悪用される可能性のある外部サイトに公開されないように保護しますが、ユーザーがサイトから結果をコピーすることは可能です。Browser Forensicsにより、セキュリティチームはWebセッション内で発生したマウスクリックやデータ入力などのアクションを「再生」し、エンドユーザーの行動の意図と影響を理解することができます。