AI導入のリスクと課題トップ8

• AI のアタックサーフェスは、従来のセキュリティツールでは可視化できません。これらのセキュリティ・ツールは、急速で分散化されたAIの採用を検出したりマッピングしたりすることができないため、シャドーAIと公開されたサービスの層が形成されます。
• AI リスクは連鎖的に発生します。AIエクスポージャーが単一の資産であることは稀です。 それは、クラウドインフラ、非人間の過剰な特権を持つアイデンティティ、機密データのフロー間の複雑で隠れたつながりから生まれます。
• AIを含む広大なアタックサーフェスを保護するには、孤立したポイントツールから、AIの使用を継続的に検出し、AIワークロードを保護し、AIポリシーのガードレールを実施できる統合的なサイバーエクスポージャー管理プラットフォームに移行することを意味します。

AIツールの急速かつ分散的な導入により、アタックサーフェス全体にAIエクスポージャー管理のギャップが生じます。 このセキュリティ・ギャップは、ほとんど目に見えない。 シャドーAIの使用、データフロー、AIインフラストラクチャを管理するために、セキュリティチームは苦労しています。

その結果、組織は分散型AIワークフローがもたらす3つの重大リスクに直面することになります。

1. 見えないアタックサーフェス

   組織でAIを使用しているすべての場所は把握できません。ブラウザの拡張機能、デプロイメント忘れ、公開されたサービスなど、一元管理されたシステムの外部に存在し、シャドーAIとして静かにアタックサーフェスを拡大しています。

2. 隠された攻撃経路

   AIワークロードは、インフラ、アイデンティティ、アプリケーションにまたがる複雑なリスクチェーンを生み出します。 これらの相互接続された部分は、孤立したサイバーセキュリティ・ツールでは見ることも接続することもできない、影響力の大きい攻撃経路を形成します。

3. データ流出

   すべてのAIとの対話は、機密データ、保護されたデータ、または専有データを公開する可能性があります。 可視化とガードレールがなければ、プロンプト、アップロード、応答などのAIワークフローが、機密データ、知的財産、社内ナレッジを誤って暴露してしまう可能性があります。

Tenable One 向け AI Exposure がどのように役立つかをご確認ください。

AI サイバーセキュリティのギャップを埋めるには、攻撃者が自組織の環境に侵入するために悪用される特定のベクトルを見つけ、軽減する必要があります。 このようなAIのリスクと課題は、基盤となるインフラ、アクセスするアイデンティティ、そしてそれらが消費するデータにまで及んでいます。 これらが一体となって複雑な脅威の状況を作り出し、統一されたサイバーエクスポージャー管理戦略が求められています。

ここでは、サイバーエクスポージャー管理のギャップの原因となる主な AI リスクをご紹介します。

1.AIモデルのバイアスとトレーニングの欠陥

AI リスクは、自組織で構築したAIモデルや、自組織の従業員が使用する公共のAIツールに適用されます。 不完全なデータで訓練した社内のAIモデルであれ、幻覚を見るような公開の大規模言語モデル（LLM）であれ、欠陥のあるAIに依存すると、安全でないコード生成、偏った自動決定、事実と異なる決定がリードされる可能性があります。 AIが生成したアウトプットが新たな負債を環境に持ち込まないようにするためには、こうしたリスクを可視化する必要があります。

サイバーエクスポージャー管理でAIのリスクと課題を軽減： Tenable Oneのようなサイバーエクスポージャー管理プラットフォームは、AIソフトウェアとライブラリの統一されたインベントリを作成するため、脆弱性や設定ミスのあるコンポーネントを見つけ、実際のリスクコンテキストに基づいて修正に優先順位を付けることができます。

2. 意思決定の可視性の欠如

AIエージェントやモデルが、その方法や理由を示すことなく意思決定を行う場合、セキュリティチームは、それらが機密データとどのように相互作用するのか、または特定の許可を要求する理由を確認することができません。 この場合、隠されたつながりを理解し、保護された情報や機密情報を暴露する心配なくAIモデルの出力を信頼できるように、コンテキストが不可欠です。

サイバーエクスポージャー管理でAIのリスクと課題を軽減： サイバーエクスポージャー管理は、AIワークロード、アイデンティティ、データを他のアタックサーフェスとともに単一のビューで関連付けることで、セキュリティチームに脅威とビジネスのコンテキストを提供し、隠れた攻撃経路を検出して閉じ、AIモデルが機密リソースとどのように相互作用するかを理解します。

3. 未承認のAIツールの使用

データ流出は、善意の従業員が生産性を上げるために無許可のAIアプリを使うことから始まります。 監督がないと、従業員がうっかり文書をアップロードしたり、独自のコードを外部モデルに貼り付けたりして、知らないうちにデータを無許可の第三者に渡してしまう可能性があります。 これらのデータフローをロックダウンし、どのツールが安全に使用できるかを正確にガバナンスするために、AI使用ポリシー（AI AUP）を実施する必要があります。

サイバーエクスポージャー管理でAIのリスクと課題を軽減： サイバーエクスポージャー （EAP）は、ポリシーベースのガードレールを適用して従業員をセキュアな環境に導き、 AIのためのデータ損失防止 （DLP）を使用して、AIのプロンプトやアップロードで機密データや知的財産が共有されるリスクを検出して低減することができます。

4. プロンプト・インジェクションと攻撃者

悪者は生成AIを操ることができます。攻撃者はすでに、モデルを騙して有害な出力を生成させたり、内部ロジックを明らかにさせたりするプロンプトを作成しています。入力のバリデーション、モニタリング、セーフガードがすべてのレイヤーで必要です。

サイバーエクスポージャー管理でAIのリスクと課題を軽減： サイバーエクスポージャー管理ソリューションは、敵対的AI防御機能を使用して、プロンプト・インジェクションの試み、脱獄行為、悪意のある命令を検出します。 そして、セキュリティチームに警告を発し、AIシステムを操作しようとするアクティブな試みを知らせることができます。

5. 自動化への過度の依存

コード生成から顧客とのやり取りまで、重大な意思決定を人間の監視なしに自動化してしまうと、脆弱性や運用上の失敗が環境に入り込む直接的な経路を作り出してしまいます。 最良の防御策は、AIが作業を加速させるが、それがビジネスに影響を及ぼす前に人間がアウトプットを検証する、ヒューマン・イン・ザ・ループ戦略です。

サイバーエクスポージャー管理でAIのリスクと課題を軽減： サイバーエクスポージャー管理ツールは、AIの使用と従業員の行動を継続的に可視化するため、チームはAIの導入を管理し、自動化されたワークフローとエージェントとのやり取りがセキュリティポリシーに適合していることを確認できます。

6. AIの兵器化

フィッシング・キット、マルウェア、ディープフェイクのすべてがAIによって強化され、攻撃者をさらに迅速かつ危険な存在にしています。 このような攻撃者は従来のサイバーセキュリティ防御を回避することが多いため、脅威モデルはこの変化を考慮する必要があります。 攻撃サイクルの高速化、より信憑性の高いルアー、シグネチャーベースの防御では進化が速すぎる脅威が予想されます。

サイバーエクスポージャー管理でAIのリスクと課題を軽減： サイバーエクスポージャー管理は、外部アタックサーフェスを継続的にマッピングして、一般に公開されているAIサービス、API、チャットエンドポイントを検出するため、高度なAI主導のキャンペーンを展開するために攻撃者が悪用する可視性のギャップを埋めることができます。

7. シャドーAIと信頼できないAIモデル

未承認のブラウザ拡張機能、SaaSアプリ、DeepSeekのようなソブリンモデルを含むシャドーAIの台頭は、セキュリティコントロールを回避できるソフトウェアを導入します。 従業員は知らず知らずのうちに、データやプライバシーの基準に合致していない低コストのAIモデルや海外ホスティングのAIモデルを使用し、アタックサーフェスを可視化できないほど拡大している可能性があります。

サイバーエクスポージャー管理でAIのリスクと課題を軽減： サイバーエクスポージャー管理には、エンドポイント上で実行されている未承認のAIアプリ、サービス、ブラウザプラグインを検出する継続的なシャドーAI検出が含まれるため、セキュリティチームは未承認の使用を管理できます。

8. 安全でないAIインフラとアイデンティティ

AIワークロードは多くの場合、過剰な特権を持つ非人間的アイデンティティと複雑なクラウドインフラに依存しています。 ここでの設定ミスは、モデルの安全性にかかわらず、攻撃者に最も重大なデータへのアクセスを許可する隠れた攻撃経路を作り出します。

サイバーエクスポージャー管理でAIのリスクと課題を軽減： 統合されたAIセキュリティポスチャ-管理 （AI-SPM）により、設定ミスのクラウドリソースや過剰な特権を持つ非人間アイデンティティを検出し、AIワークロードを危険にさらす攻撃経路を深刻度から断ち切ることができます。

このようなAIの課題とリスクをさらに深く掘り下げてみたいとお考えですか？ AI がサイバーセキュリティ脅威の状況をどのように変化させているのか、また、AI が組織のセキュリティプログラムにどのように影響するのかをご確認ください。