AI のセキュリティ、コンプライアンス、ガバナンス
このドメインで学ぶこと
このドメインでは、AI システム特有のセキュリティリスクと、組織として AI を統制するためのガバナンスを学びます。プロンプトインジェクション、モデル盗用、データポイズニングといった攻撃手法と、IAM や VPC エンドポイント、Bedrock Guardrails、SageMaker Role Manager などの防御手段を理解することがゴールです。
重要ポイント
- プロンプトインジェクション - 入力に紛れ込ませた指示でアプリケーション側の指示 (システムプロンプト) を上書きし、意図しない動作をさせる攻撃。モデル自体の安全ポリシーの回避を狙う手口はジェイルブレイクと呼んで区別する
- データポイズニング - 訓練データに悪意あるサンプルを混入させてモデルの挙動を歪める攻撃
- モデル盗用 - API への大量リクエストで応答を学習し、モデルを複製する攻撃
- IAM での AI サービスアクセス制御 - Bedrock や SageMaker の利用権限を最小権限の原則で管理する
- VPC エンドポイントとプライベート接続 - Bedrock や SageMaker への通信をインターネットに出さずに行う
- Bedrock Guardrails - 不適切な発言、個人情報漏洩、特定トピックをフィルタする機能
- SageMaker Role Manager - SageMaker のリソースに対する IAM ロールを役割別に簡単に作成できる機能
- AI ガバナンス - モデルカタログ、API 呼び出しの監査 (CloudTrail)、入出力内容の記録 (Bedrock のモデル呼び出しログ記録)、コンプライアンス確認 (Audit Manager)
用語と概念
プロンプトインジェクション
ユーザー入力に「これまでの指示を無視して」のような命令を紛れ込ませ、アプリケーション側が与えた指示を上書きして意図しない動作をさせる攻撃です。役割演技などでモデル自体の安全ポリシーを回避し、本来拒否される有害な出力を引き出す手口はジェイルブレイクと呼ばれ、突破する対象で区別されます。いずれも Bedrock Guardrails、入力フィルタリング、システムプロンプトの強化、出力検証などの多層防御で対策します。
データポイズニング
訓練データに意図的に有害なサンプルを混入させ、モデルの予測を歪める攻撃です。例えばスパムメール分類器の訓練データにスパムを「正常」とラベル付けして混ぜ込むと、本物のスパムを見逃すモデルになります。データソースの検証、訓練データのレビュー、データ来歴 (lineage) 管理で対策します。
Bedrock Guardrails の活用
Guardrails は Bedrock 上の生成 AI に対する安全フィルタです。トピック制限 (例: 競合製品の話題を禁止)、コンテンツフィルタ (暴力、性的内容)、個人情報マスキング (PII の自動マスク)、ワード制限 (社外秘ワード) を設定できます。プロンプトインジェクション対策にも有効です。
VPC エンドポイントによるプライベート接続
Bedrock や SageMaker などの AWS AI サービスへの通信を、VPC エンドポイント (PrivateLink) 経由でプライベートネットワーク内に閉じる構成です。インターネットに出さずに済むためデータ漏洩リスクを下げ、企業のコンプライアンス要件にも適合しやすくなります。
AI 利用の監査とガバナンス
Bedrock や SageMaker の API 呼び出しは CloudTrail に記録され、誰がいつどのモデルを呼び出したかを後から監査できます。ただし CloudTrail に残るのは API 呼び出しのメタデータまでで、プロンプトや応答の内容は含まれません。内容まで監査したい場合は、既定では無効になっている Bedrock のモデル呼び出しログ記録を有効化し、CloudWatch Logs や S3 に出力します。さらに AWS Audit Manager を使えば、社内ポリシーや業界標準 (HIPAA、PCI DSS 等) に対する準拠状況を継続的に評価できます。
理解度チェック
学んだ内容を 5 問で確認しましょう