SnykとDynatraceのAIセキュリティ専門家が教える3つのヒント

McKinseyは2023年を「生成AIが飛躍した年」と位置づけています。最近の調査の1つでは、回答者の3分の1が、少なくとも1つの業務機能で組織がGenAIを日常的に利用していると回答しました。しかし、AIの進化がテクノロジーの状況を変え続けるなか、多くのCCISOが次の問いに直面しています。AIはソフトウェア開発サイクルや、ビジネスアプリケーション全体のセキュリティにどのような影響を与えるのでしょうか？ 

先日のファイヤーサイドチャットでは、登壇者がAIと、今日のビジネスに及ぼす影響について深く掘り下げました。登壇者は次のとおりです。 

• Simon Maple、Snyk AI Advocacy責任者

• Craig Charlton、Dynatrace最高情報セキュリティ責任者、従業員向けデジタル活用推進担当バイスプレジデント。情報技術およびセキュリティ分野で約10年の経験を持つ 

• Don Ferguson、Dynatraceのプライバシーオフィス責任者。DynatraceのAI製品であるDavis AIに10年間携わってきた

会話では、今日のAIを取り巻く状況、ソフトウェア開発でAIを利用する際の考慮事項、AIの機会とリスクのバランスを取るための実践的なヒントなど、さまざまなテーマが取り上げられました。専門家によると、AIを安全に活用するには、チーム横断のガバナンス、新しいテクノロジーのテストと導入に向けた綿密な戦略の策定、そして開発全体を通じてセキュリティに注力し続けることが重要です。

SnykとDynatraceの生成AIセキュリティに関する対談から得られる3つの重要なポイント

Dynatraceの10年の歴史を持つDavis AIや、Snykの4年の歴史を持つDeepCode AIなど、企業は数年前からAIを活用してきました。しかし、この1年でAIをめぐる議論は大きく変わりました。 

Maple氏は次のように述べています。「2、3年前にこの話をしていたとしたら、AIに何ができるのか、製品に活用できる段階にあるのかについて、当然のように信頼されることはなかったでしょう……今では、AIについて話さないと、十分に先進的ではないと思われるのが興味深いですね。」

対談では、Maple氏、Charlton氏、Ferguson氏が、AIのイノベーションとセキュリティのバランスについて話し合いました。特に重要なポイントとして、次のアドバイスが挙げられました。

AIガバナンスを優先する

企業が生成AIを活用していくうえで、AIガバナンスは今や不可欠です。Charlton氏はこう述べています。「私たちにとって最も重要だったことの1つは、AIガバナンス組織の設立を先延ばしにしないことでした。そこには、セキュリティ、プライバシー、ビジネスアプリケーション、法務、ソフトウェア開発などが参加する必要があります……単なるガバナンスではありません。倫理、リクエストの受付、レビュー、そのすべてに加えて、コミュニケーション全体に関わる取り組みです。」

焦らず慎重に、次のステップに進む

Maple氏、Charlton氏、Ferguson氏は、新しいテクノロジーの導入をゆっくり慎重に進める重要性も強調しました。Ferguson氏はこう語ります。「物事を急いで進め、すぐに行動するよう求める圧力は大きいものです……[生成AI]を実際に試し、そのメリットを最大限に活かす方法や、リスクにどう対処するかをしっかり理解するために、時間をかけることが非常に重要です。じっくり考える時間が必要なのです。」

Charlton氏は、慎重に前進する際に注力すべき2つの重要な優先事項を挙げました。

• 選択したツールの説明可能性と透明性のレベルを見極める。データの流れを追跡し、AIツールに入力したデータをどのシステムが閲覧できるのか把握できますか？Charlton氏はこう述べています。「データはどこから来るのか。どのように学習に使われるのか。そのデータはどこへ流れるのか……その後、ほかの種類のシステムにどう流出するのか。最終的に、想定していなかったリスクがあるシステムに流れ込むことはないか……誰がデータを所有し、どのように学習に使われ、潜在的なバイアスがないかなど、データを追跡することが重要です。」 

• 開発でAIを使う際は、必ず コードセキュリティを確保 してください。次の点を確認することを勧めています。「AIが生成したコードも、通常実施している脅威管理のスキャンプロセスに通していますか？GenAIが作成したコードと人間が作成したコードを識別できるよう、コードベース内で適切に文書化していますか？」

特に開発では、AIがもたらす機会とリスクのバランスを取る

AIは、あらゆる種類のチームに機会とリスクの両方をもたらします。しかし、開発者はAIツールを利用する際、セキュリティとプライバシーに重点を置く必要があります。SnykのAppSecソリューションによるAIを活用したコード修正から、LLMが数ミリ秒で何百行ものコードを生成することまで、AIは開発チームに大きな可能性をもたらします。一方、開発でAIツールを誤用すると、品質が低く安全でないコード、過剰なデータ公開、安全でないサードパーティの意図しない導入など、多くのリスクにつながる可能性があります。 

リスクのバランスを取るには、AIツールとその適切な使い方について、率直で双方向の対話を行うことから始めましょう。Charlton氏によると、企業は「開発における適切な活用方法や、使用する製品、言語モデルのトレーニング方法などに特化したチームを設け、継続的なフィードバックループを確立する必要があります。文化を醸成する取り組みと同じで、それを実現するには、明確で一貫した定期的なコミュニケーションが欠かせません。」

AIを活用した安全な開発

このファイヤーサイドチャットで語られたように、AIを活用する際は、各ツールのデータフローや倫理的な影響など、多くの要素を考慮する必要があります。幸い、セキュリティを犠牲にせずAIを最大限に活用するためのリソースは、開発チーム向けに数多くあります。まずはMaple氏、Charlton氏、Ferguson氏による対談の全編をご覧ください。