クラウド技術の進化に伴うAIデータポリシー違反の急増

AIデータポリシー違反の急増とその背景

近年、AI技術の急速な普及とともに、企業におけるデータポリシー違反が増加しています。特に、Netskopeの最新調査によると、AIによるデータポリシー違反は過去1年間で倍増し、企業におけるAI関連のポリシー違反の中で2番目に多いとされています。本記事では、調査の内容やその背景、影響について詳しく見ていきます。

AIからのデータポリシー違反とは

AIによるダウンストリームで発生するデータポリシー違反は、ユーザーやエージェントが本来のアクセス権限を超えて情報にアクセスすることから生じます。このような不正アクセスは、AIサービスが返してきた結果によって引き起こされるため、企業にとって重大なリスクとなります。調査によると、ダウンストリームでのポリシー違反の件数は、2022年から2023年にかけて大幅に増加し、1つの組織あたりの平均件数は週12件から31件へと増加しました。

特に上位25%の組織では、週当たりの件数が72件から206件にまで急増しています。このデータからも明らかであるように、企業がAIを活用するほど、ポリシー管理は重要な課題となることがわかります。

オープン標準の影響

データポリシー違反の増加には、AIモデルやエージェントが外部のデータソースと連携できるオープン標準、すなわちモデルコンテキストプロトコル（MCP）の普及が大きく関与しています。このオープン標準によって、企業はAIシステムにより多くのデータへのアクセスを許可するようになり、その結果として機密情報が不適切にアクセスされるリスクが高まっていると分析されています。

調査では、過去10週間で、リモートMCPサーバーへのアクセスが250%増加し、MCPトランザクションも375%増加しています。この現象は、AIが持つ可能性が高まりますが、その一方でセキュリティリスクも同じように増大しているのです。

アップストリームデータポリシー違反とその他の脅威

なお、AIへのアップストリームのデータポリシー違反は、ユーザーがAIアプリケーションに機密情報を送信したときに発生し、アラートの8,752件あたりまで占めています。これは依然として最も多く、企業が直面するリスクを示しています。加えて、コンテンツフィルタリング違反やプロンプトインジェクション、情報漏洩の試みも確認されており、AIにまつわる脅威が多様化していることがわかります。

シャドーAIの問題

さらに、調査結果からはシャドーAIの状況も明らかになりました。企業内で30%のユーザーが個人向けのAIアプリケーションのみを利用しており、14%が個人向けAIと企業管理のツールを併用しています。この現象は、企業が管理していないコンテンツの流入のリスクを高めています。特に、組織がすべてのAIプラットフォームを統制しきれない中で、どのように安全性を確保するかが今後の重要な課題となります。

セキュリティチームの新たな役割

Netskope Threat Labsのディレクター、Ray Canzaneseは、これからのAI環境で求められるセキュリティの重要性について語ります。彼は、単なるデータ監視を超え、AIサプライチェーン全体の信頼性を確保するために、コード実行につながるやり取りに対しても注視する必要があると示唆しています。

この状況下ではセキュリティチームは、AIエージェントとの相互作用を新たな脅威として扱う必要があります。すなわち、データを単に要求するのではなく、実行のリスクを常に考慮する必要があります。

結論

業界のシーンは、急速に変化しています。AIの活用が進む中、データポリシー違反やセキュリティリスクは無視できない現実となってきました。企業はこれらの課題に真剣に向き合う必要があり、今後もAIのリスク軽減に向けた取り組みが求められるでしょう。Netskopeの調査結果は、まだまだ続くAI技術の進化と、それに伴うリスクに対する警鐘と言えるでしょう。