Verizon報告書で判明、侵害の3割が脆弱性悪用

Verizonのデータ侵害調査報告書は、この指針の定量的な背景を示している。セキュリティ侵害全体のほぼ3分の1が脆弱性悪用から始まり、シャドーAIは非悪意のデータ漏えい関連活動として3番目に多くなっている。著者は世界規模のテクノロジー企業でデータ・AI・量子安全セキュリティサービスを率いており、セキュリティの文脈ではAIも他の技術と変わらないと位置づける一方、何が機密で責任の範囲がどこまでかを自動的に理解しないまま自律的に動作できる点で独特だと指摘する。

4つの実践はそのギャップを軸に組み立てられている。最初の2つは従業員向けで、組織が承認したAIツールのみを使うこと、生成されたリンクや文書、コードを信用せずAIの出力を検証することだ。残り2つは自律エージェントに及ぶ。エージェント型AIは人的介入を最小限に抑えてタスク全体を遂行でき、例えば請求書承認エージェントは適切なガードレールがなければ、承認権限がない場合でも割り当てられたタスクを完了しようと異なる方法を試み続ける可能性がある。エージェントを監督する従業員には、どのタスクと意思決定を実行する権限があるか、いつ人の承認が必要か、予期しない動作をどう報告・停止するかを理解することが求められる。

多くの組織は従来のサイバーセキュリティ脅威に対するインシデント対応方針を持つが、その手順はAI関連のインシデントにまだ十分対応できていないかもしれない。企業のAI方針と報告手順を把握し、偶発的な機密データ共有や予期しないエージェントの動作は自分で調査せず速やかにIT部門やセキュリティ部門へ報告するよう促している。また、進化するAI経済に備える無料のAIトレーニングや認定、リソースを提供するVerizon AI Skills for Americaも挙げている。