セキュリティを確保し、拡張し、成功へ：ランタイムを優先すべき理由

F5 ADSP | 2025年4月15日

Jessica BrennanAIセキュリティ担当シニアプロダクトマーケティングマネージャー | F5

AIはもはや実験段階ではありません。すでに本番環境でチャットボットを動かし、意思決定に情報を提供し、企業の業務のあり方を変えつつあります。しかし、見過ごされがちな盲点があります。それがランタイムです。

トレーニングが注目を集める一方で、AIが真に力を発揮するのはランタイムです。モデルが実際のユーザーやデータに接し、意思決定に関与するのもランタイムです。同時に、最も重大なセキュリティリスクが生じる場でもあります。

そして、実際のところ、ほとんどの企業がAIを利用するのはランタイム層であり、トレーニング時ではありません。AIの導入が加速しているのはこの層ですが、セキュリティ対策が後手に回ることも少なくありません。

ブラックボックスから攻撃対象領域へ

AIランタイムは、単なるデプロイフェーズではありません。そこには、新たな攻撃対象領域が生まれます。常に稼働し、予測が難しく、外部にさらされている領域です。

その理由は次のとおりです。

入力は予測できません。 AIモデル、アプリケーション、エージェントに対するあらゆるプロンプトが、悪用される可能性があります。攻撃者は、一見無害なユーザー入力を、プロンプトインジェクション、ジェイルブレイク、悪意のあるコンテキストチェーンによって攻撃に利用できます。
出力には脆弱性があります。 AIが生成したコンテンツは、わずか数秒で、しかも多くの場合検知されることなく、機密性の高い社内データを漏えいさせたり、お客さまの機密情報を露出させたり、有害またはコンプライアンスに違反する応答を生成したりする可能性があります。
モデルは忘れません。一部の言語モデルは、トレーニングデータの詳細を保持します。このような意図しない記憶により、何気ないプロンプトを通じてデータが流出する可能性があります。
動作は不透明です。 フロンティアモデルは複雑で、多くの場合、内部の仕組みを把握できないブラックボックスのように動作します。この予測不能性により、エッジケースや攻撃を受けている状況でモデルがどのように応答するかを予測することが難しくなります。
セキュリティチームには十分な制御手段がありません。 モデルプロバイダーのAPIを利用する場合でも、オープンソースモデルを社内でホストする場合でも、ほとんどの企業には、ポリシーの適用、アクティビティの監視、攻撃のリアルタイムでのブロックをきめ細かく行うためのツールがありません。

要するに、ランタイムは受動的なものではありません。動的かつ継続的に稼働し、実際のユーザー入力にさらされるため、攻撃者の格好の標的となり、多くのセキュリティプログラムにおける重大な盲点となっています。

エンタープライズAI保護の新たなレイヤー

ランタイムでAIを保護するには、単一の制御やツールだけでは不十分です。実環境におけるAIシステムの利用方法に特化した、多層的で適応性の高い防御境界が必要です。

その第一歩は、インタラクションが発生する時点でポリシーを適用することです。企業には、すべてのプロンプトとレスポンスを検査し、プロンプトインジェクション、有害なコンテンツ、データ漏えい、その他のコンテキスト固有のリスクを評価する仕組みが必要です。こうしたランタイムガードレールは動的でなければならず、事業運営を妨げることなく、新たな脅威や変化するコンプライアンス要件に応じて更新する必要があります。

しかし、ランタイムのセキュリティ確保には、事後対応だけでなく先を見越した対策も必要です。攻撃者がモデルの挙動を悪用する新たな手法を編み出すなか、組織には、AIシステムに対してレッドチーム演習を行う攻撃的な能力が必要です。AI専用に設計された高度な敵対的手法を活用することで、既知の脅威に対応するだけでなく、起こり得る脅威を先取りした防御を維持できます。

最後に、組織には可視性が必要です。どのモデルに誰がどのような目的でアクセスしているのかなど、AIの利用状況を把握できなければ、AIの利用を効果的にガバナンスすることはできません。ランタイムレイヤー全体のオブザーバビリティは、セキュリティと信頼の両方を支える基盤です。

これらの機能を組み合わせることで、ランタイム専用に設計された新たなセキュリティレイヤーが形成されます。これは、あらゆる企業が確信を持ってGenAIを拡張するために不可欠です。