AIセキュリティは、Googleを含め、すべての人にとってリアルタイムの課題である

先日、ロサンゼルスで開催されたイベントの舞台裏で、Google CloudのCOOであるフランシス・デ・ソウザ氏とお話しする機会がありました。 周囲の雑音の中、大学教授のような穏やかで落ち着いた口調で話すデ・ソウザ氏は、今日のAIセキュリティの状況を乗り切ろうとする企業に向けて、実践的な指針を示してくれました。同氏は、「移行期間を経て、やがてより良い状況にたどり着けると思います」と述べました。

その瞬間、彼が特にGoogleについて言及していたわけではありませんが、Googleでさえも依然としてこうした課題に取り組んでいることは明らかです。

デ・ソウザ氏の核心的なメッセージは、セキュリティ専門家たちが長年にわたり経営陣に訴え続けてきたものであり、AIの台頭によって今や緊急性を帯びている。「セキュリティは後付けで考えてはならない」ということだ。「企業がAIの導入に乗り出す際には、プラットフォームアプローチを採用する必要がある」と彼は述べた。 「セキュリティは後から付け足せるものではなく、従業員に任せておけるものでもありません。」彼は特に、「シャドウAI」――組織の監督なしに従業員が一般消費者向けツールを使用すること――について警告し、企業は最初からプラットフォームに対してセキュリティ、ガバナンス、監査可能性を要求しなければならないと主張した。 「データ戦略とセキュリティ戦略のないAI戦略など存在しない。これらは密接に連携していなければならない」

注目すべき点は、彼がGoogle Cloudだけを推奨していたわけではないということだ。彼の助言がGoogleの広告のように聞こえると私が指摘すると、彼は反論した。Googleはマルチクラウドアプローチに注力しており、単一のクラウド上で運用していると考えている企業は、ほぼ間違いなくそうではないと彼は主張した。 「たとえ単一のクラウドを選んだとしても、SaaSアプリケーションに依存しているし、異なるクラウドを利用しているビジネスパートナーがいるかもしれない」と彼は述べた。「企業にとって、クラウドやモデルを問わず一貫したセキュリティ体制を整えることが重要だ」

また、脅威の状況が根本的に変化したため、従来の防御モデルでは対応が遅すぎると主張した。彼は、最初の侵害から攻撃の次の段階への移行までの平均時間が8時間から22秒に短縮されたこと、そして攻撃対象領域が従来のネットワーク境界を超えて拡大していることを指摘した。 「従来のインフラに加え、現在ではモデルが存在します。モデルを学習させるためのデータパイプラインもあります。エージェントやプロンプトもあります。これらすべてを保護する必要があります」

デ・ソウザ氏が指摘した、十分に注目されていない脅威の一つは、企業の内部システム内を移動するエージェントが、何年も誰も気にかけていなかった忘れ去られたデータリポジトリを表面化させてしまう可能性があるという点だ。 「多くの組織には、実際には更新されていない古いSharePointサーバーやアクセス制御が存在しますが、その場所を誰も正確に把握していなかったため、これまで問題にはなりませんでした。しかし、企業内を巡回するエージェントは、そうしたデータ資産を発見し、そこに格納されたデータを露呈させてしまうでしょう」

彼の見解では、その解決策は、マシンの速度にマシンの速度で対抗することにある。「現在、AIネイティブで完全にエージェント主導型の防御が台頭しつつあり、組織はエージェントを稼働させて防御を推進できるようになっています」と彼は述べた。 「人間主導の防御や、人間がプロセスに関与する方式ではなく、人間が完全にエージェント主導の防御を監督する形が可能になったのです。」彼はさらに、これは単なる技術的な問題ではなく、リーダーシップの問題になっていると付け加えた。「これは取締役会レベルの問題であり、経営陣の問題です。セキュリティチームだけの問題ではありません。」

しかし、AIが防御業務の負担をますます引き受ける一方で、それを監督できる有資格者は不足しており、AI自体がもたらす脆弱性は、セキュリティチームが対処できる速度を上回るペースで増え続けている。 「『バグ・ポカリプス』に対処できる人材が必要になるでしょう」と、LinkedInの最高情報セキュリティ責任者（CISO）であるリー・キスナー氏は今週、ニューヨーク・タイムズ紙に語った。また、少なくとも今後数年間は、業界がAIセキュリティを持続可能な長期的な視点で理解することは期待できないとも付け加えた。

そこで再び、プラットフォームプロバイダー自身の問題に話を戻すことになる。『ザ・レジスター』は過去数週間にわたり、Google Cloudの開発者たちが、Geminiモデルへの不正なAPI呼び出しにより5桁の請求額を突きつけられた一連の事例を報じてきた。これらのサービスの多くは、開発者たちがこれまで利用したこともなければ、意図的に有効化したこともなかったものだ。 これらの事例には共通したパターンが見られた。もともとGoogleマップ用に展開され、Google自身の指示に従って公開されていたAPIキーが、Googleが変更を明確に開示することなくその適用範囲を拡大した結果、知らぬ間にジェミニにアクセスできるようになっていたのだ。

面接対策プラットフォーム「Prentus」のCEO、ロッド・ダナン氏は、攻撃者が流出したAPIキーを悪用した後、約30分で請求額が10,138ドルに達したと述べた。 シドニーを拠点とする開発者のイシュル・フォンセカ氏も同様にアカウントを乗っ取られ、250ドルの利用上限が設定されていると信じていたにもかかわらず、目覚めると約17,000豪ドルの請求が課されていた。 両者とも知らなかったのは、Googleの自動システムがアカウントの利用履歴に基づいて課金プランをアップグレードし、明示的な同意なしに実質的な上限額を最大10万ドルまで引き上げていたという事実だった。

『The Register』が最初の報道を掲載した後、Googleは両者に返金を行った。それでもGoogleは『The Register』に対し、自動的な利用枠引き上げ方針を変更する予定はないと述べ、ユーザーが指定した予算設定の遵守よりも、サービスの中断を防ぐことを優先すると説明した。

一方、開発者がサービスを停止しようとした場合に何が起こるかという別の問題もある。 『The Register』は今週、セキュリティ企業Aikidoの調査結果を報じた。それによると、侵害されたキーを発見して直ちに削除した開発者であっても、安全とは限らないという。Aikidoの調査結果によれば、Googleの無効化処理はインフラ全体に徐々に反映されるため、攻撃者はそのキーを最大23分間使い続けることができるらしい。 Aikidoの研究者ジョセフ・レオン氏は『The Register』に対し、その時間枠内での成功率は予測不可能であり（数分間、リクエストの90％以上が依然として認証される場合もある）、攻撃者はその時間を利用してGeminiからファイルやキャッシュされた会話データを盗み出すことができると語った。

また、レオン氏は、Google独自の新しい認証情報形式には同様の問題が見られないようだと指摘した。サービスアカウントのAPI認証情報は約5秒で失効し、Geminiの新しい「AQ」接頭辞付きキー形式でも約1分で失効する。 「どちらもGoogleの規模で運用されている」と、彼はAikidoの関連論文に記している。「どちらも、GoogleのAPIキーについても技術的には解決可能であることを示唆している」。要するに、レオン氏によれば、この23分間のウィンドウは技術的な制約ではなく、同社の優先順位の問題である。

これは、デ・ソウザ氏のアドバイスを読む際に考慮すべき点だ。彼のアドバイスは妥当であり、非常に真剣に受け止めるべきものである。彼の指摘は間違っていないが、現在、プラットフォーム側が推奨している内容と、それらが実際に適応する速度との間にはギャップが存在しており、この点にも留意しておくべきである。