サマリ
多くの組織はAIを使用していないと思っていますが、もちろん、AIへの好奇心が文化全体に広がる中、従業員たちはさまざまな新しいAIツールを試しています。 それらの従業員が知らないのは、自分たちが会社のデータをどのように危険にさらしている可能性があるかということです。 それは急速に進んでおり、AI戦略を持っていないすべての企業は、今すぐパラメーターとガードレールを設定する必要があります。
重要なのは、リスクについて従業員に知らせ、これらのツールが業務遂行にどのように役立つかを彼らから学ぶことです。そうすることで、ガードレールがビジネスの成長を禁止するのではなく、保護するものになります。
ホスト: Stephanie Aceves、 プロダクトマネジメント シニアディレクター、Tanium
ゲスト: Candy Alexander、 CISO兼サイバープラクティスリード、NeuEon Inc.
ショーノート
シャドーAIとシャドーITの両方についての詳細は、Taniumの受賞歴のあるオンラインサイバーニュースマガジンFocal Pointの記事や、その他の有用なリソースをご覧ください。
- 従業員は「シャドーAI」を積極的に活用しており、会社のデータをリスクにさらしています | Focal Point
- Ep. 18：シャドーITに光を当てる | Let's Converge
- 4 AI時代におけるCISOの重要なリーダーシップ優先事項 | Focal Point
- AIバイアスの防止はトップから始まる – 女性チーフAIオフィサーたちに聞く | Focal Point
- デジタルエクスペリエンスモニタリングとは？ DEMストラテジーが重要な理由と従業員および顧客体験の強化 | Tanium
- 8 AIの「感情的ジェットコースター」のステージ | Tanium
トランスクリプト
以下のインタビューは、明確さのために編集されています。
"先日、YouTubeで何かを見ていたときにコマーシャルが流れて、「AIは人間よりも賢く、その活用により…」と言っていたので、思わず笑ってしまいました…マーケティングは消費者向け製品にこれを取り入れ、AIは史上最高のものだと言っています。 つまり、それがエンドユーザーコミュニティに伝わっている内容なのです。"Candy Alexander、CISOおよびサイバープラクティスリード、NeuEon Inc.
Stephanie Aceves: こんにちは、私の名前はStephanie Acevesです。 私はTaniumでプロダクトマネジメントのシニアディレクターを務めており、本日のLet's Convergeでは、シャドーITとシャドーAIについてお話しします。 企業にとってますます深刻化するこの問題を取り上げる、2部構成シリーズの第2回目へようこそ。
第1回では、従業員が使用しているにもかかわらず、あなたが気づいていないかもしれないプロジェクト管理ツールについて取り上げました。また、一部の方には驚くべき事実かもしれませんが、シャドーITを使用している従業員は本当に善意を持っているということもお伝えしました。 多くの場合、彼らはただ自分の仕事をより良く、より速くこなす方法を見つけようとしているだけです。 そして、未承認のテクノロジーを使用することで、会社をリスクにさらしている可能性があることに気づいていないのです。
本日この問題についてお話しいただくのは、大手ビジネスマネジメントコンサルティング会社NeuEon Inc.の最高情報セキュリティ責任者兼サイバープラクティスリードであるCandy Alexanderさんです。 企業のセキュリティプログラムの開発・管理に加え、CandyはInformation Systems Security Associationの国際会長に2度選出され、長年にわたり同協会の国際理事を務めています。
では、議論を再開しましょう。
新たなプレイヤーがこの分野に参入しています。それがシャドーAIです。
Alexander: AIとともに私たちが迎えようとしているのは、本当に革命的な時代であり、複数の方向に進む可能性があります。 うまくいくことを願っていますし、そうなると確信していますが、夜中に恐ろしい衝撃が訪れることもあるだろうと思います。
Aceves: 私の職場で関わっている企業では、AIの復興、特にLLM（大規模言語モデル）の登場に関する懸念について経営幹部と話し合っています。 彼らと話すと、データ漏洩に対する懸念が非常に強く、これは一般的なシャドーITで定義されてきた問題と似ています。 さらに理解を深めると、AIは特にLLMにおいて、機密情報となり得るデータでモデルをトレーニングしてしまうリスクがあることが多いとわかります。 AIという観点から、それがビジネスにどのような影響を与えているか、またはこの新しい技術を進化・適応・活用し続ける中でどのような影響を与えると予想されるか、もう少し具体的に教えていただけますか？
Alexander: 面白いことに、これは「新しい」技術の興味深い登場のように見えますが、実際にはそれほど新しくはありません。 つまり、率直に言って、AIは昔からずっと存在しているのです。
Aceves: まったくその通りです。
Alexander: しかし、もちろん、今やAIが主流となり、誰もがAIを使用するようになり、ChatGPTの…普及によってその重要性はさらに増しています。 そのため、多くの組織は「私たちはAIを使用していない」と言うでしょう。 もちろん、思わず苦笑いしてしまいます。なぜなら、彼らは確実に使用しているからです。 例えば、ChatGPTや…Google BardまたはGeminiを使って、文章や履歴書、マーケティングなどを磨き上げるといったことに利用する従業員がいます。 そのため、その使用状況を把握することは非常に難しいのです。 それに加えて、スペクトルのもう一方の端には、コード補完のための何らかのAI、生成AIの使用があります。
今週、サプライチェーンソフトウェアに関して講演しました。 そして、これは私の意見では、開発におけるAIの使用を特定し、それを精査できるようになる方法の一つです。 つまり、サプライチェーンソフトウェアの使用によって、どのような種類のAIを使用しているかを特定し、今や誰もが話題にしている説明可能なAIを探求し、その使用にパラメーターを設定して…その使用を継続的に評価できるようになるでしょう。 そして、それは重要なことです。 しかし、もう一方の側、つまりAI戦略が実際にないと言っている組織の話に戻りたいと思います。 そのような組織へのアドバイスとしては、今すぐ急いでそれに取り組み、パラメーターを設定した方が良いということです。
そして、それは許容使用ポリシーのようなシンプルなものから始める必要があります。 何が許容されて何が許容されないかについて、パラメーター、ガードレール、方向性のある制御を設定してください。 そして…ジェネレーティブAIはまさにその名の通り、提供された情報に基づいて生成的に学習し、知識と範囲を拡大していることを念頭に置いてください。 ですから、考えてみてください：あなたの企業情報をそのデータレイクやデータプールの一部にしたいと本当に思いますか？ 絶対にありません。 ですから、ユースケースについて考える必要があります。 そして、ソフトウェアサプライチェーンと同様に、コンポーネントとそれらがどのように相互作用するか、いつ導入されるかをマッピングすることをお勧めします。 Microsoft Copilotやその他のAIツールなど、エンドユーザー向けのAIユースケースでも同じことが言えます。 あなたは、それがどのように使用されるかを理解する必要があります。また、オープンソースのAIを使用したいのか、それとも組織のためにプライベートAIを使用したいのか、つまりそのAI利用に入力されるクエリが組織の範囲内に留まるようにしたいのかを検討する必要があります。
Aceves: それは素晴らしいですね。 そして、私が話を聞いたリーダーたちの中には、AIに関する懸念、特に生成AIやこれらのGPTモデルに関して、実際には気づいていなかった技術に多くが組み込まれているという点が挙げられます。例えば、私の検索エンジンが何らかのGPTを使用しているといった具合です。 そのような状況では、ユーザー自身も常に気づいているわけではありません。 そのため、ユーザーが組織にとって本質的にリスクのある行為をしていることに気づいていないため、企業ポリシーの策定がより困難になります。
多くの組織が実際のモデルを内部に移行しようとしており、データやそれらのモデル上で行われる学習の権利と所有権を持とうとしていると聞きますが、内部で承認されたモデルにリダイレクトされるかどうかのコントロールをどのように実施するか、あるいは少し巧妙な方法での使用を全体的に防ぐか、悪意のある理由ではなく、話を聞く全ての人、すべてのビジネスが自分たちが使用しているAIについて話しています。 そしてあなたがそれを指摘してくれたことが嬉しいです。
AIは長い間存在してきました。 ほとんどの技術は何らかの機械学習を使用しているか、大規模なデータセットを取得して結論や知見を導き出しています。 しかし、消費者がGPTを利用できるようになったことが、この大規模な爆発的普及を引き起こしたのです。 AIがあらゆる場所に潜んでいるという知識を持った上で、企業はデータ漏洩のリスクをどのように軽減し始めるのでしょうか。世界中のウェブサイトの中で、何らかのLLMを使用してデータでモデルをトレーニングするサイトのリストがあれば良いのですが、どうすればそれを先取りできるのでしょうか？
Alexander: それは大きな問題ですね。 なぜなら、それはあらゆる場所に存在しており、私の謙虚な意見では、[解決策]は多面的なものでなければならないからです。 そして、実際にそのような動きが見られます。 規制の観点からそのパラメータを設定するために、世界各国から法律が制定されているのを目にしています。 そして、次はテクノロジーの観点に移ります。 まず政府から始まり、次に組織によるその活用へと移行していきます。そして、テクノロジーを通じてそれを識別できるようにする方法については、さらなる発展を待っている段階だと思います。
例えば、クラウドコンピューティングがその良い例えになります。 クラウド上のデータのすべてのインスタンスがどこにあるかをどのように把握しますか？ 現在、その分野にはほんの数社のプレイヤーしかいません。 そして、私の謙虚な意見では、クラウド上のどこにいるかを特定するのに役立つ本当に優れたものの一つとして、AIの使用に関して同じ種類の技術を、いわば比喩的な、またはその境界線上に置く必要があるでしょう。
それがデスクトップになるのか、それとも別の場所になるのかはわかりませんが、そのようなフィルタリングとセンサーが必要です。 そして三つ目の要素として、これを言うのは嫌なのですが、「人、プロセス、テクノロジー」というモデルに戻ることになりますが、ユーザーに何が起きているかを認識させることです。 なぜAIは潜在的に危険なのでしょうか？ 彼らはただそれを見ているだけです――テレビのコマーシャルでさえ…先日、見ていたYouTubeでコマーシャルを聞いたのですが、「AIの使用により、人間よりも賢い…」と言っていて、思わず笑ってしまいました。
Aceves: まあ、なんてこと。
Alexander: [消費者向け製品の]マーケティングがこれに飛びついていて、AIは史上最高のものだと[言っています]。 つまり、それが私たちのエンドユーザーコミュニティが耳にしていることであり、「GeminiやChatGPTで遊んだり、Facebookに自分の画像をアップしてモデルのように見せたりするのは楽しくない？」という形でそれを目にしています。
つまり、彼らはAIを素晴らしいものとして見ています。 彼らは内在する危険性を見ておらず、私たちが耳にしているような恐ろしい話、例えばヨーロッパで個人とやり取りするチャットボット用のChatGPTがあり、その人が落ち込んでいて、自ら命を絶つまで追い詰められたという話を聞いていません。 つまり、彼らは人工知能に本質的に伴うリスク、真のリスクを理解していないのです。 もちろん、AIで発生しているバイアスや幻覚を修正するための措置は講じられていますが、街の一般的な人々にとっては、これらのリスクを理解していません。
そこで、セキュリティの専門家として介入し、良いことがあれば悪いこともある、基本的なことと同じだと、ビジネスやユーザーコミュニティに助言しなければなりません。 彼らに助言すること、これが私たちが企業のAIに留まり、外部のものを使用しない理由です。 そして、企業データの意図しないデータ漏洩について知らせること。 これが、バイアスや幻覚、そしてデータの整合性について意識させたい理由です。 今日のAI利用には、本質的に伴うことが山ほどあります。 まるで無法地帯のようです。 良いものですが、危険でもあります。
Aceves: そして私も、現在の私の役割はプロダクトマネジメントにあり、ベンダーには責任があると強く感じています。 そして、私たちが顧客のニーズに応える製品を構築している中で、AIは彼らが求める価値と成果を提供できるツールであることは間違いありませんが、ベンダーやソフトウェアプロバイダーには責任があります。
GPTが一般消費者向けに初めて公開されたとき、私はいくつかの記事を読んでいましたが、セキュリティ研究者たち――ヨーロッパにも一人いました――がLLMと対話し、ユング心理学とシャドウセルフについて語ることで、消費者に開示されるべきでない秘密をAIに認めさせることができたという興味深い内容でした。 それは非常に興味深く、技術的な詳細を掘り下げてみると、その実行方法がわかりました。そして、その会社はAIとの長時間にわたる会話だったという声明を発表したと思います。
「長時間」と聞いて、それがどのくらいの時間を要するのか、私なりの考えが浮かびます。 おそらく8から10個の質問程度だったと思いますが、新しいテクノロジーの前に座っている私にとって、それは決して長時間ではありません。
Alexander: そうですね。
Aceves: それは5分から10分程度のやり取りで、私が質問して評価しています。 そのため、ベンダーには、特にエンドカスタマーに対して、これらのガードレールを設ける責任があります。 セキュリティはセキュアコーディングの実践においてこの点で大きな転換を迎えたと思います。
私はコンピューターサイエンスとソフトウェアエンジニアリングの学位を取得して学部を卒業しましたが、セキュリティに特化した授業は一つもありませんでした。 しかし時代は変わり、今ではセキュリティコーディングの実践がデフォルトで組み込まれています。 そして、AIについても最初からそれを採用しなければならないと思います。なぜなら、ここにはあまりにも多くのリスクがあるからです。 おっしゃる通り、データ漏洩のリスクだけでなく、モデルが自ら学習し始めると、他のコードセットと比べてコントロールがきかなくなるという問題もあります。
これに対するSF的な恐怖心があることは知っていますが、どのようなガードレールが設けられているか、そしてAIがそれらを理解し、ビジネスの文脈でそれらを操作する可能性があるかという点は、正当な懸念事項です。 そのことを取り上げていただいて嬉しいです。私たちは、より多くのAIや対応技術を導入したいと考えているお客様とこの話をしています。 そして彼らは不安を感じています。 それはデータ漏洩だけの問題ではありません。 しかし、これは私たちが本当にコントロールできないものです。 それはまるで独自の知性のようなもので、創造者にさえも常に透明ではないルールやパラダイムに従っており、考えるだけで実に興味深いことです。
Alexander: それが恐ろしい部分だと思います。 そして、それが立法者が関与してきている理由だと思います。 なぜなら、あなたが触れていることは、私の意見では、倫理的・道徳的な問題に行き着くからです。 それは私が携わる分野ではありませんが、政府がそこに取り組んでいると聞き、見ることができて嬉しいです。 なぜなら、それは本当に恐ろしいことだからです。 しかし、それを踏まえた上で、それは私が活動する分野ではありませんが、ユーザーに意識を持ってもらうことが私の役割です――これをどのように適用し、そこに内在するリスクを認識するかということです。
良いニュースは、あなたが研究者でない限り、おそらくその領域、つまりビジネスアプリケーションの使用とは対照的に、本当に興味深い、未定義でどこか変容しつつある曖昧な領域には踏み込まないだろうということです。 しかし、それはビジネス利用において問題が生じたり、予期しない結果をもたらす可能性がないということではありません。 そして、それがまさに私たちの仕事です。 つまり、シャドーAIに内在するリスクを認識し、周囲にも認識させる必要があるという点について、随分と遠回りな説明をしてしまいました。
Aceves: ええ、まったくその通りです。 私はYouTubeで何かランダムな動画を見ていました。動物のコミュニケーションに関するもので、研究者たちがAIを使ってシロイルカを理解しようとしており、人工知能を使ってどのクジラが話しているかを特定できるというものでした。セキュリティの分野を超えても、こうした応用例は本当に魅力的で、様々な共通点が見えてきます。
私のバックグラウンドはインシデントレスポンスとレッドチーミングです。 セキュリティチームが抱える最大の問題の一つはノイズの量であり、それは大量の音声録音を抱えて選別できない海洋生物学チームと似たようなモデルです。 何が何だかわからないのです。 そこで彼らは人工知能を使って重要なものを選び出し、「これはこのクジラが使っている言語や言葉だ」と識別しています。こうしたあらゆるものの融合を目の当たりにするのは実に興味深いことです。
Alexander: これは本当に革命的ですよね、そうでしょう？ つまり、あらゆる場所でAIが使われていて、それはエキサイティングで素晴らしいことですが、先ほど言ったように、同時に少し怖い気もします。
Aceves: Candyさん、この魅力的な会話をありがとうございました。
NeuEon Inc.のCISOおよびサイバープラクティスリードであるCandy Alexanderさんとお話ししました。
シャドーITやシャドーAIについてさらに詳しく知りたい方は、TaniumのオンラインサイバーニュースマガジンFocal Pointをご覧ください。 番組のメモには関連記事へのリンクが掲載されています。 出版物については、Tanium.com/pをご覧ください。
今日のトップビジネスリーダーやセキュリティ専門家とのさらなる対話を聞くには、お気に入りのポッドキャストアプリでLet's Convergeを購読してください。 このエピソードが気に入ったら、ぜひ5つ星評価をお願いします。
ご視聴ありがとうございました。 次のエピソードでさらなるサイバーインサイトをお届けできることを楽しみにしています Let's Converge。
