Shadow AI を再考する：AI ガバナンスとサイバー・セキュリティを分断するギャップとは？

Shadow AI is Your New Attack Surface

2026/07/10 InfoSecurity — セキュリティ・チームが、その存在すら把握していない AI システムを通じて、組織は攻撃されている。それは架空の話ではない。2026年における大半の組織にとって、それは運用上の現実である。CISO がランサムウェア／ゼロデイ脆弱性／アイデンティティ脅威に注力する一方で、新たなリスクが静かに拡大している。それを引き起こしているのは、高度な脅威アクターではなく、自分の仕事を遂行しようとする善意の従業員たちである。その新たな攻撃領域は Shadow AI である。大半の組織には、それを防御するための十分なガバナンスが整っていない。

Shadow AI の蔓延に至った経緯

過去 3 年における AI 採用は、なじみのあるパターンをたどってきた。セキュリティ・チームがいない場で、事業部門が迅速に動き、その導入が後に把握されるというものだ。

データ・サイエンティストは、セキュリティ・レビューなしに、顧客データセットや独自データセットで、AI モデルをファインチューニングする。開発者は、API キーをコードに埋め込む。従業員たちは、深く考えることなく、機密性の高い企業情報をコンシューマー向け AI ツールへアップロードする。

2024年3月の Samsung インシデントは大きく報じられ、現実に存在する新たな問題に光を当てた。ChatGPT を用いてソースコードをデバッグするエンジニアが、意図せずに機密性の高い半導体データを露出させた。従業員は不正な内部者ではなかった。彼らは、問題を効率的に解決するために AI ツールを使用していた。失敗は組織側にあった。ポリシーもなく、技術的制御もなく、それを防ぐガバナンス構造もなかった。

このパターンは、メディアの見出しになることなく、ほとんど検知されないまま、業界全体で繰り返されてきた。そして、それが検知されない理由こそが、それを危険にしている。いまだに、大半の組織がセキュリティ問題ではなく AI ガバナンス問題として扱っているものを、従来のセキュリティ制御は検知するように設計されていない。

ファイアウォールでは対処できない形で攻撃対象領域を拡大する AI

中核となる課題は、従来のセキュリティ・フレームワークの外側にある脅威ベクターを、AI システムが持ち込む点にある。

データ・ポイズニングにより、攻撃者は学習データを汚染し、基盤レベルでモデルの挙動を操作できる。特定の取引パターンを見逃すように、詐欺検知モデルが仕込まれる可能性がある。保険金請求処理モデルは、特定の入力を体系的に誤分類する可能性がある。学習データの来歴と完全性に対するガバナンスがなく、マルウェア／不正アクセス／アラートも存在しない場合、こうした悪意の操作が、際限なく検知されない可能性がある。

プロンプト・インジェクションは、AI における SQL インジェクションに相当する。攻撃者は、サポートチケット／文書要約リクエスト／顧客メッセージなどの自然言語入力に、悪意のある命令を埋め込む。そして、防止策が存在しない場合において、モデルは受け取るべきではなかった命令に従ってしまう。従来の侵入検知は、それをフラグ付けしない。異常なネットワーク・トラフィックも発生しない。ただ、会話が誤った方向へ進むだけである。

サードパーティ AI サプライチェーン・リスクは、最も過小評価されているベクターである。組織が外部の LLM API を統合する場合には、ベンダーが提供する学習データ／更新パイプライン／データ保持慣行／敵対的攻撃に対する堅牢性を暗黙的に信頼することになる。しかし、現実には、ベンダーが SOC 2 に準拠していても、悪用可能な脆弱性を含むモデルを出荷する可能性がある。標準的なベンダー・リスク管理は、この種のリスクを評価するようには設計されていない。そして、大半の組織は、それを試みるための更新も行っていない。

Shadow AI を通じた認証情報の露出が、この流れの先で待っている。正式な調達プロセスの外で作業する開発者は、日常的に API キーをコードに埋め込み、システム間で認証情報を再利用し、ガバナンスの監督なしに AI サービスを統合している。単一のキーが侵害されるだけで、1 つのシステムだけでなく、そのプロバイダとの間で組織が行ってきた、すべてのデータへのアクセスが露出する可能性がある。

これらのベクターに共通しているのは、いずれも従来型のセキュリティ・アラートをトリガーしない点である。それらは、攻撃のようには見えない。そして、被害が明らかになるまでは、通常の業務活動のように見える。

修正すべきものは技術ではなく構造である

このような状況を、技術的な問題として扱いたくなるのは自然である。しかし、それでは根本的な原因を見誤る。ガバナンスの失敗に対して、パッチを当てることはできないのだ。

AI ガバナンスとサイバー・セキュリティは、別々の機能として発展してきた。そこには別々のリーダーシップと、別々の優先事項があり、その間にはリスクに対する共有された説明責任が存在しない。

データサイエンス・チームはスピードと能力を最適化する。セキュリティ・チームは境界を防御する。コンプライアンス・チームは、本番環境が追いついていない規制を追跡する。それぞれの結果は予測可能なものである。しかし、AI セキュリティを End-to-End で把握する単一の機能は存在せず、そのギャップこそが Shadow AI の居場所になる。

このギャップを埋めるには、AI ガバナンスとサイバー・セキュリティの意図的な協力が必要である。実務上、それは 4 つのことを意味する。

可視性：組織における、すべての AI システムをインベントリする。その対象には、内部開発モデル／サードパーティ SaaS ツール／クラウド API／オープンソースモデル／Shadow AI システムを含める。それぞれのシステムが何を行うのか、どのデータを使用するのか、誰が保守するのか、どの外部サービスに依存しているのかを記録する。この作業だけでも、どれほど多くの管理されていない AI が、すでに自社環境で稼働していることが明らかになる。

統合された説明責任：サイバー・セキュリティは、AI ガバナンスの場に席を持つ必要がある。それは単なる助言的な関与ではなく、実際の権限を伴うものであり、許容できないリスクを持ち込むデプロイメントを阻止できるものであるべきだ。セキュリティ／データサイエンス／コンプライアンス／リスク／法務を含む横断的な委員会は、官僚主義てきなものであってはならない。次のインシデントを防ぐための、仕組みになるべきだ。

AI 固有の制御：具体的に列挙すると、学習データの検証／プロンプト・インジェクションに対する入力検証／出力フィルタリング／AI 固有のセキュリティ基準を持つベンダー評価／API 認証情報ガバナンス／AI システム・インタラクションの監査ログ／AI エコシステムに焦点を当てたレッドチーム演習などがある。ここでは、AI ガバナンスとサイバー・セキュリティの協力により、何らかのものを構築する必要がある。単独で、すべての要素を取り込む機能は存在しない。

専門性への投資：セキュリティ・チームにとっては、AI 固有の脅威モデルに関する十分な理解が必要となる。従来のサイバー・セキュリティ知識と AI セキュリティの間には、現実としてのギャップがあり、実際のリスク露出を伴う。

待つことのコスト

完全なフレームワークや明確な規制が登場するまで AI ガバナンスを先送りする CISO は、常に後手に回ることになる。脅威の対象となる領域が、今まさに拡大している。インシデントは、今まさに起きている。ガバナンスの不足は、すでに測定可能である。

AI ガバナンスとサイバー・セキュリティは同じ分野ではない。しかし、別々のレーンで運用することは不可能となっている。この 2 つの機能の間に意図的な協力関係を構築する組織が、このギャップを最も早く埋める組織となる。つまり、可視性とリスク表記を共有することで、どちらか一方だけでは保護できないシステムに対して、説明責任を共有していく必要がある。

訳者後書：業務の効率化を目指して、便利な AI ツールを個人の判断で利用する動きが広がる中、管理者が把握していないシステム、いわゆる Shadow AI の存在が新たなセキュリティ上の盲点となっています。 ChatGPT などの身近なサービスに対して、日常の業務データやプログラムコードを何気なく入力してしまうことで、意図せず組織の重要な機密情報が外部に漏えいしたり、連携用の認証情報が露出したりする深刻な影響が懸念されています。利用可能な製品の基準を明確にし、データの入力ルールを共有しながら、組織全体で利用状況を可視化していく対策を進める必要があります。よろしければ、Shadow AI での検索結果も、ご参照ください。