現在のAIをガバナンスし、AIの未来を見据える

Chuck HerrinフィールドCISO | F5

AIは、「これまでで最も意欲的なインターン」に例えられることがよくあります。疲れ知らずで創造性に富む一方、時には事実ではないことを作り上げたり、人間よりも自分のほうが正しいと思い込んだりします。多くの企業は、適切なガードレールを整備する前に、機密データや重要なワークフローをAIモデルやそれを利用するアプリケーションに委ねています。その結果、ブランドの毀損やコンプライアンス上のリスクが生じ、セキュリティチームは対応に追われて夜遅くまで働くことになります。しかも、新しいモデルが本番稼働したことや、利用可能な状態で公開されたことを、事後に初めて知るケースも少なくありません。

このアプローチは変えなければなりません。そして、F5が変えていきます。ここ数か月、F5はAIセキュリティへの取り組みにおける2つの重要なマイルストーンを発表しました。まず、CalypsoAIの買収後、大企業に高度なAIセキュリティを提供するため、2つの新製品である「F5 AI Guardrails」と「F5 AI Red Team」をリリースしました。次に、妥協することなくAIモデルとエージェントを保護する方法を示しました。今回は、これらの取り組みがどのようにつながり、F5のお客さまによるAIの導入を、確信とスピードをもって、そして何よりもトレードオフなしで進めるうえで役立つのかをご紹介します。今こそ、確信をもってイノベーションを推進するときです。そしてセキュリティチームには、脆弱性を極めて迅速に特定できる体制が求められています。

セキュリティチームがAIをどのように捉えているかについてのF5の「最新の分析」から、多くの懸念が明らかになりました。さらに、次の3つの重要な事実が浮き彫りになっています。

1. セキュリティ担当者の71%が、内部での不正利用やモデルの挙動によって生じる情報漏えいを最も懸念しています。
2. AIモデルの誤用に対する懸念は、悪意ある不正利用への懸念を134%上回っています。
3. セキュリティチームが抱えるデータセキュリティ上の懸念のうち、52%はシャドーAIの利用とLLMへの機密データの開示に関するものです。

つまり、外部の攻撃者が重要な懸念事項であることはもちろんですが、SecOpsチームが最も懸念する日常的なリスクは、（通常は）悪意のないユーザー、過度に自信のあるモデル、分断された制御や制御の欠如に起因します。こうした実環境のデータを踏まえ、F5はランタイムセキュリティとポリシー適用を特に重視しています。実際にリスクが顕在化するのは、プロンプト、レスポンス、ツール、エージェントのアクションが実行されるランタイムだからです。

F5がAIセキュリティに注力することがお客さまにもたらすもの

AIの導入が猛烈な勢いで進む中、F5は、パイロット段階から本番環境まで、AIアプリ、モデル、エージェント、データに包括的かつモデルに依存しないセキュリティを提供するというビジョンの実現を加速しています。そのために、重要かつ相互補完的な2つの製品をF5 Application Delivery and Security Platform (ADSP)に統合します：

• F5 AI Guardrails: プロンプト、レスポンス、エージェントやツールのアクションを、あらゆるモデルやプロバイダーにわたって検査、統制、保護するランタイムセキュリティおよびガバナンスプレーンです。ユーザーエクスペリエンスを損なうことなく、データ漏えいの検知と防止、有害または偏りのある出力の抑制、モデルとエージェントに対する最小権限の適用をチームが行えるようにします。
• F5 AI Red Team: 大規模な敵対的テストを行うAI専用のレッドチーム機能です。数千種類の攻撃パターンに加え、毎月新たに追加される10,000件以上の攻撃プロンプトを使用して、AIシステムを継続的にテストします。継続的に強化されるこのテストセットは、プロンプトインジェクション、ジェイルブレイク、モデル蒸留、データ流出などを対象とし、監査に対応できる詳細なログとフィンガープリントを提供します。

フィードバックループが真価を発揮

テストから得られた知見や結果は、動的な保護策、すなわち能動的なガードレールに直接反映されます。これにより、新たな脅威やシステムの変更に合わせて防御も進化するため、四半期ごとのレビューやベンダーのパッチサイクルを待つ必要はありません。テストを継続的に改善することで、保護も月を追うごとに強化されます。

このアプローチは、絶えず手法を進化させる脅威アクターに後れを取らないために極めて重要です。脅威アクターは最近、AIを使用してCVEの調査結果からエクスプロイトコードを開発するプロセスを完全に自動化しました。AIを活用した攻撃にはAIで対抗しなければ、攻撃側と防御側の非対称性があまりにも大きくなります。この継続的な改善はAIを活用した防御の特徴となるものであり、F5はこの手法を採用し、F5 ADSPに直接統合しています。

セキュリティを損なわずにAIを有効活用

先日のブログ「セキュリティを犠牲にせずAIモデルとエージェントを保護する」では、ユーザーエクスペリエンス、スピード、安全性のいずれかを選ぶ必要はないとお伝えしました。言うのは簡単ですが、F5は以下を提供することで、その約束を実現します。

1. あらゆるモデルやクラウドで一貫性を確保。モデルやプロバイダーが変わっても、ガードレールは変えるべきではありません。F5は、オンプレミス環境やオープンソースモデルの選択肢を含む、ハイブリッドかつマルチモデルの環境全体に統一されたポリシーを提供します。
2. 設計段階から低レイテンシの保護を実現。 インラインでセキュリティポリシーを適用している間も、フェイルオーバーを回避することで、高速でレジリエントなユーザー体験を維持します。
3. 後付けではなく、あらかじめ組み込まれたコンプライアンス対応。一般データ保護規則（GDPR）、HIPAA、EU AI Actなどのコンプライアンス要件に対応するプリセットおよびカスタムの監査テンプレートに加え、エンドツーエンドのオブザーバビリティとサードパーティのSIEM/SOARとの統合により、証拠収集を容易かつ反復可能で信頼性の高いものにします。

F5が切り拓くAIセキュリティの新章

アプリケーションの高速性、可用性、セキュリティを維持するF5の能力は、すでに広く知られています。AIセキュリティは、その既存の基盤に組み込まれます。AIセキュリティの新たな章では、あらゆる方向から生じるリスクを可視化し、軽減します。毎月10,000件を超える新たな攻撃プロンプトから学習するエージェント型脅威インテリジェンスにより、プロンプトインジェクション、ジェイルブレイク、モデル蒸留、データ流出の試みといった新たな敵対的脅威に対抗できます。パブリックおよびプライベートLLMへの機密データの開示をリアルタイムで検知・防止し、データ分類に沿ったDLPポリシーとアクセスポリシーを適用します。

最後に、有害または偏った出力を抑制し、モデルとエージェントに対してロールベースかつコンテキストに応じた権限を適用するとともに、パブリックモデルと社内モデル全体にリスク評価フレームワークを適用することで、責任あるAI利用を管理します。これらすべての保護策において、詳細なログ、エージェントフィンガープリント、既存のSIEM/SOARとの統合により、あらゆるAIインタラクションの可視性とトレーサビリティを一元化し、ノイズを減らして有用なシグナルを増やすことで、オブザーバビリティを簡素化できます。

今日の落とし穴に正面から対処

フロンティアモデルの保護機能だけに依存するのは危険です。攻撃者はまずそこを狙い、リスクは単一のプロバイダーの範囲をはるかに超えて広がります。個別に導入されたポイントツールはノイズを増幅させ、可視性の欠如を招きます。また、ブラックボックス化された「AI搭載」の魔法は、ガバナンスとは呼べません。規制当局や取締役会に説明できるポリシーと監査に対応できる証拠を備えた、透明性の高いヒューマン・イン・ザ・ループ型の制御が必要です。

AIの導入を始めたばかりの場合は、シャドーAIの検出、機密データの保護、敵対的テストなど、リスクが最も高い領域から着手し、段階的に対象を広げてください。すでに本番環境で運用している場合は、エージェントのツールチェーンとデータフローを可視化したうえで、境界に最小権限とランタイムガードレールを適用してください。

すべてを統合する

F5 AI GuardrailsとF5 AI Red Teamは、AIを保護する最も包括的なプラットフォームを提供するというF5の使命を加速させます。モデルとエージェントを妥協なく保護するというF5の取り組みに沿い、SecOpsが現場で実際に直面している課題への対応を目指しています。AIの攻撃対象領域は日々変化しています。これらの新機能により、その変化に対応する適応型ランタイム保護とエージェント型脅威インテリジェンスを利用でき、パイロット段階から本番環境までモデル、エージェント、データを保護できます。

お使いのモデルをお持ちください。スタック全体でモデルに依存しない保護機能をご紹介します。詳しくは、最新の動画をご覧ください。

著者について

Chuck HerrinフィールドCISO | F5

Chuck Herrinは、F5のField CSOです。

Chuck Herrinのその他のブログ記事