CISOがAIセキュリティリスクを測定する方法

Lee Ennisデータサイエンス担当シニアマネージャー | F5

Louise Scullyシニアマネージャー（プロダクトマーケティング、AIセキュリティおよび脅威インテリジェンス担当） | F5

AIセキュリティリスクをポリシーだけで管理することは、CISOにとってますます困難になっています。組織がより多くのAIモデル、AIアプリケーション、エージェント型ワークフローを導入する中、セキュリティ責任者には、どのモデルが利用に適しているか、どのベンダーがリスクをもたらす可能性があるか、現実の脅威にさらされた際にAIシステムがどのように動作するかを評価するための、より明確な方法が必要です。

そこで重要になるのが測定です。Comprehensive AI Security Index（CASI）やAgentic Resistance Score（ARS）など、F5のAIセキュリティベンチマークは、組織によるAIモデルのリスク評価、AIセキュリティ態勢の比較、敵対的な圧力下でのモデルやエージェント型システムの動作把握を支援します。これらのベンチマークをF5 Labsが継続的に提供するAI脅威インテリジェンスと組み合わせることで、CISOは、モデルの選定、ベンダーガバナンス、ランタイム保護、継続的なAIリスク評価に向けた、より確かなエビデンスを得られます。

これが重要なのは、AIセキュリティに関する多くの意思決定が、モデルを本番環境に導入するよりはるか前に行われるためです。AIシステムが稼働する時点では、組織はすでにモデルの選定、ベンダーの承認、アーキテクチャの定義、データフローのマッピング、ツールの接続、システムへのアクセス権の付与を済ませている可能性があります。ランタイム制御は引き続き不可欠ですが、上流工程でより適切な意思決定を行うことで、その有効性を高められます。

CISOにとって、もはや問われているのは、導入後のAIをどう保護するかだけではありません。調達やモデル選定から、導入、監視、継続的なテストに至るライフサイクル全体で、AIリスクをどう測定可能にするかが重要です。

AIリスクはランタイム前から始まる

AIセキュリティは、AIシステムの本番稼働後にプロンプトを監視し、出力を制御して、不正利用を防止するランタイム保護の観点から語られることが少なくありません。こうした制御は極めて重要ですが、AIセキュリティライフサイクルの一部にすぎません。

AIリスクは、ランタイムだけの問題ではありません。調達、ベンダーガバナンス、アーキテクチャにも関わる問題です。セキュリティ評価を導入後にしか実施しない場合、CISOは、プロセスの早い段階で低減、再検討、または回避できた可能性のあるリスクへの対応を迫られることがあります。目的は、AI導入を遅らせることではありません。組織が受け入れるリスクをより明確に把握し、迅速に前進できるよう支援することです。

最新の調査で明らかになったこと

F5 Labsは毎月、モデル、エージェント型AI、エコシステムのリスクがどのように変化しているかを追跡するため、CASIおよびARSのリーダーボードと併せてAIセキュリティの脅威インテリジェンスを公開しています。2026年5月のF5 Labsの調査は、CISOがAIリスクを捉える方法に、より広範な変化が必要であることを示しています。この調査結果は、研究者向けの技術的な兆候にとどまりません。モデルの承認、ベンダーの評価、ポリシーの策定、および本番環境へ移行するAIアプリケーションの保護を担うセキュリティリーダーにとって、実践的な教訓となります。

第1の教訓は、モデルの選択が今やセキュリティ上の意思決定になっているということです。5月のCASI分析では、Qwenモデルファミリー内でセキュリティ態勢に大きな差が見られ、Qwen3-2BとQwen3-4Bの間には78ポイントの差がありました。CISOにとって重要な点は明確です。モデル名を把握するだけでは不十分です。サイズ、バージョン、構成、導入方法が異なれば、リスクプロファイルも異なる可能性があります。

小規模または低コストのモデルは、特定のタスクで十分な性能を発揮するなら、魅力的な代替候補に見えるかもしれません。しかし、そのモデルへの切り替えによってセキュリティ態勢が大きく変わる場合、セキュリティチームは切り替えに異議を唱えたり、中止を求めたりする必要があります。客観的なテストや比較スコアに加え、敵対的な条件下で各モデルの性能を明確に比較できれば、その判断の妥当性を説明しやすくなります。

2つ目の教訓は、静的なポリシーでは検知できない形でAIの安全性に関する挙動が機能しなくなる可能性があるということです。5月の脅威インテリジェンスでは、意図された制御を回避するよう設計されたジェイルブレイク手法など、モデルのセーフガードの限界を継続的に試す敵対的手法が取り上げられました。CISOが押さえるべきポイントは、あるテストでは安全に見えるモデルでも別のテストでは問題が生じる可能性があるため、攻撃の進化に合わせてAIセキュリティテストも進化させる必要があるということです。

3つ目の教訓は、AIのサプライチェーンリスクが今やAIセキュリティの一部となっていることです。5月の脅威インテリジェンスでは、AI関連の開発ワークフロー、パッケージエコシステム、CI/CDパイプライン、レジストリ、AI対応の開発者向けツール全体にわたるリスクが指摘されました。共通するのは「信頼」です。信頼されているパッケージ、自動化、レジストリ、ツール、実行パスがリスクにつながります。CISOにとって、これはAIリスクがプロンプト、出力、ランタイム時のモデルの挙動だけに起因するものではないことを意味します。AIアプリケーションを支えるベンダー、ツール、パッケージ、パイプライン、自動化レイヤーから生じる可能性もあります。

これらの教訓から導かれる結論は共通しています。CISOは、AIポリシーの策定からAIの測定へと進む必要があります。ポリシーはあるべき姿を定めますが、測定は、実際に何が起きているのか、どのようなリスクが生じているのか、どこで意思決定を見直す必要があるのかをセキュリティチームが把握するうえで役立ちます。

モデルリスクへのガバナンスが追いついていない

AIの導入が加速する中、組織には、迅速な対応、コスト削減、ビジネス全体でのより多様なユースケースへの対応が求められています。各チームは、パフォーマンス、レイテンシ、可用性、導入のしやすさ、価格に基づいてモデルを比較しています。しかし、機能とコストだけでは全体像を把握できません。ビジネスの観点では現実的な代替候補に見えるモデルでも、同じモデルファミリーに属している場合でさえ、異なるレベルのAIセキュリティリスクをもたらす可能性があります。

ベンダーは、既知のモデルを使用していると説明するかもしれません。社内チームは、効率化のためにより小規模なモデルへ切り替えると説明する場合があります。製品チームは、同じファミリーのモデルなら、おおむね同じように動作すると考えるかもしれません。しかし、セキュリティの観点では、こうした想定にはリスクが伴います。特に、そのモデルが機密データ、顧客向けのエクスペリエンス、ビジネスクリティカルなワークフロー、またはユーザーに代わってアクションを実行できるエージェント型システムに接続されている場合は注意が必要です。

CISOには、モデル名だけでは分からない詳細な根拠が必要です。敵対的な圧力下でモデルがどのように機能するか、代替モデルと比べてどうか、また提案された変更が組織のリスク態勢に重大な影響を及ぼすかどうかを把握する必要があります。

CASIによりモデルリスクを早期に測定可能に

CASIにより、組織はAIモデルを導入する前に、そのベースラインとなるセキュリティ態勢を比較できます。これによりCISOは、モデルセキュリティを主観的な議論ではなく、意思決定に活用できる測定可能な情報として扱えるようになります。

実際に、CASIは複数のガバナンスワークフローを支援します。低リスクの社内要約に使用するモデルには、顧客データ、ビジネスクリティカルなワークフロー、自律型エージェントシステムに接続するモデルと同等の精査が必要とは限らないことを踏まえ、セキュリティチームが特定のユースケースに対するモデルの適合性を評価できるようにします。また、使用されているモデル、そのテスト方法、選定の根拠となる証拠について確認するための明確な基準をセキュリティチームに提供し、調達およびベンダーガバナンスの強化にも役立ちます。

企業がより低コストのモデルを採用する場合、ベンチマーク評価は、その変更が許容可能か、追加の制御が必要か、あるいはリスクがメリットを上回るかを判断するのに役立ちます。

脅威インテリジェンスで明らかになるエコシステムのリスク

最近の脅威インテリジェンスが重要なのは、AIのセキュリティリスクがモデル自体にとどまらないことを示しているためです。CISOにとって特に注目すべき傾向は、リスクが開発者のワークフロー、パッケージエコシステム、CI/CDパイプライン、レジストリ、自動化レイヤー、AI対応ツールなど、AIを取り巻くシステムへと広がっていることです。

開発者はパッケージをインストールし、エージェントはタスクを実行し、CI/CDパイプラインはコードを公開し、レジストリは依存関係を配布します。また、AI対応ツールにはローカル環境やワークフローへのアクセス権が付与されます。こうした信頼経路が適切に管理、テスト、監視されていなければ、AIアプリケーションが本番環境に到達する前にリスクが持ち込まれる可能性があります。

CISOがこの脅威インテリジェンスから得るべき教訓は、AIガバナンスの対象を、選定したモデルやその周囲に配置するランタイム制御だけでなく、AI開発を支えるエコシステムにも広げる必要があるということです。ベンダーレビューでは、モデルの入手元、開発パイプライン、パッケージガバナンス、ツールの権限、依存関係の管理について確認する必要があります。アーキテクチャレビューでは、エージェントやAI対応ツールがアクセスできる対象、実行できる処理、人による承認が必要な箇所を確認する必要があります。CASIは導入前のモデルレベルのリスク評価に役立ち、ARSは敵対的な圧力下でエージェント型システムがどのように動作するかを評価するのに役立ちます。

ARSでエージェント型システムのレジリエンスを測定

組織がAIモデルからAIアプリケーションやエージェント型ワークフローへと移行するにつれ、測定はより複雑になります。モデル単体では許容可能に見えても、ツール、API、データソース、ビジネスロジック、またはモデルによるアクションの実行を可能にするシステムに接続されると、リスクが変化する可能性があります。

ARSは、継続的な敵対的圧力下でエージェント型システムがどのように動作するかを組織が評価できるよう支援し、この運用レイヤーまで測定範囲を拡張します。これらのシステムは単に出力を生成するだけではありません。意思決定、ツールの呼び出し、データの取得、ワークフローの起動、ビジネスプロセスへの影響などを行う可能性があります。

つまり、AIセキュリティテストでは、制御された評価環境における個々のモデルの性能だけでなく、時間の経過や攻撃を受けた状況でシステムがどのように動作するかも考慮する必要があります。ARSは、エージェント型システムのレジリエンスが比較的高い領域、追加の制御が必要となる可能性がある領域、現実の敵対的手法にさらされた際のAIアプリケーションの動作をCISOが把握するのに役立ちます。

ポリシーから測定可能なアクションへ

次のステップは、AIに関する意思決定に当初から測定を組み込むことです。AIセキュリティは、モデル評価やベンダーレビューから、アーキテクチャ設計、導入、ランタイム保護、継続的なテスト、常時監視に至るまで、ライフサイクル全体に組み込む必要があります。AIリスクは時間とともに変化するため、ライフサイクル全体を捉えることが重要です。新たな攻撃手法が出現し、モデルが更新され、ベンダーが基盤システムを変更するほか、エージェント型ワークフローによって新たな悪用経路が生じます。

CISOにとって、これはAIセキュリティを一度限りの承認作業で終わらせてはならないことを意味します。ライフサイクル全体に測定とテストを組み込み、継続的に取り組む必要があります。

AIリスクへの対応を説明可能にする

CISOには、変化を続けるリスク環境を管理しながら、AIの導入を支援することが求められています。イノベーションを促進する一方で、取締役会、規制当局、顧客、社内のステークホルダーから寄せられる難しい問いにも答える必要があります。

どのモデルが使用を承認されているのか。どのベンダーがAIリスクをもたらす可能性があるのか。どのユースケースに追加のテストが必要なのか。低コストまたは高速なモデルへの置き換えが許容されるのはどのような場合で、リスクが高すぎるのはどのような場合なのか。そうした判断を裏付ける根拠は何か。

これらは、単なる技術上の問題ではありません。ガバナンス、調達、ビジネスリスクに関わる問題です。そして、その判断には客観的な根拠がますます求められています。

最も早く成熟する組織は、非公式なAIレビューから脱却し、AIに関する意思決定プロセスに測定を組み込み始める組織です。つまり、モデルの選定前に評価し、システムの拡張前にテストを行い、モデル、脅威、ベンダー、ユースケースの変化に応じてリスクを継続的に再評価するということです。

CISOは、導入時までAIリスクの測定を先延ばしにはできません。より確かな意思決定は、ライフサイクルの早い段階で行われます。CASI、ARS、F5 Labsが継続的に提供するAI脅威インテリジェンスを組み合わせることで、CISOはAIライフサイクル全体にわたり、AIセキュリティリスクの可視性を高め、根拠を明確にし、対策につなげやすくすることができます。

詳しくは、F5 Labsの調査をご覧ください。

著者について

Lee Ennisデータサイエンス担当シニアマネージャー | F5

Lee EnnisはF5でAIデータサイエンスおよび研究チームを率い、企業が大規模言語モデル（LLM）や生成AIシステムを安全に導入・監視できるよう支援する、高度なAIセキュリティソリューションの開発に注力しています。彼のチームは、機械学習、敵対的テスト、モデル保証に関する専門知識を組み合わせ、脆弱性を特定し、AIを活用した環境への信頼を高めています。

Lee Ennisのその他のブログ記事

Louise Scullyシニアマネージャー（プロダクトマーケティング、AIセキュリティおよび脅威インテリジェンス担当） | F5

Louise Scullyは、F5でAIセキュリティおよび脅威インテリジェンスのプロダクトマーケティング担当シニアマネージャーを務めています。AIセキュリティとエンタープライズテクノロジーの分野で、プロダクトマーケティング、プロダクト管理、市場投入戦略、コミュニケーション、ソートリーダーシップ、カテゴリー開発に携わってきました。F5入社以前は、CalypsoAIとArtomatixでマーケティングを統括し、AI技術と研究成果の市場展開に貢献しました。

Louise Scullyのその他のブログ記事