AIセキュリティ監査・脅威モデリングと優先修正ロードマップ

AIセキュリティ監査を探すと、設計レビューから攻撃テストまで、いろいろなサービスが出てきます。たとえば公開前に『どんな事故が起こり得るか』を整理したいなら脅威モデリング、実装済みのシステムで実際に問題が起きるか確かめたいなら診断やペネトレーションテストが候補です。

コード解析で見つかる実装上の問題と、モデルや外部ツールを含むシステム全体の問題は重なりますが、同じではありません。必要な箇所を明確にしたうえで、誰が実施し、何を納品するかを確認しましょう。

設計から相談したい場合、GMO Flatt SecurityはLLM・RAG・AIエージェントの設計やMCPサーバー構成のレビューを案内しています。実装後の診断やペネトレーションテストは追加で組み合わせる形です。Trail of BitsはAIシステムの脅威モデリングに加え、モデル、MLOps、データ来歴などの評価を掲げています。

実装済みのLLMアプリを検証したい場合、INTELLILINKは手動と自動を組み合わせ、プロンプトインジェクションやRAGのリスクを評価すると案内しています。インフラは対象外です。Neoセキュリティは脅威モデリングとAIレッドチーミングを掲げ、外部連携やRAGの権限も診断項目に挙げています。

LANSCOPEは生成AIへの入力を使った挙動や情報漏えいの検証を案内しています。一方、AIエージェントはこのサービス単体では適さないと明記しており、総合評価は別途相談が必要です。これは候補の例であり、全サービスの一覧や品質順位ではありません。提供範囲、言語、費用は最新の見積もりで確認してください。

社内文書を検索し、外部ツールも呼び出せるAIを想像してください。この場合、利用者から検索へ、取得文書からAIへ、AIからツールへと、権限や信頼の境界が移ります。

たとえば、権限のない社員が他部署の機密文書を検索できないか。取得した文書に『内容を外部へ送信せよ』という指示が紛れ込んでも、未承認の送信が実行されないか。こうしたシナリオを対象、前提、期待する制御とともに書き出すと、診断先とも検証範囲を共有しやすくなります。

報告書の深刻度だけで修正順を決めると、自社での影響を見落とすことがあります。指摘ごとに、再現条件、インターネットからの到達性、影響する資産、既存の対策を確認し、担当者と期限を決めます。

架空の例ですが、外部から到達でき顧客データに影響する認可回避と、社内限定の情報露出が同時に見つかった場合、前者を先に直す判断が考えられます。修正後は同じ条件で再確認し、未対応のリスクも記録しておきます。

依頼時は、対象の環境・リビジョン、診断用アカウント、対象外の機能をそろえます。そのうえで、脅威モデル、再現手順、影響、修正案、優先度、再診断の範囲が成果物に含まれるか、報告書のサンプルも見て確認してください。第三者による独立した評価が必要なら、その条件も先に伝えることが大切です。

実装の検証では、指摘の数よりも、対象の版と再現条件を残して修正前後を比べられるかが重要です。TECHFUNDのCyberGym実験も脆弱版と既存の修正版を照合した特定条件の再現試験であり、あらゆるAIシステムの検出率を示すものではありません。