サイバーセキュリティ AIセキュリティ 1Password パスワード管理 AIリスク

情報セキュリティ分野で重要な役割を担う企業にとって、AIのリスクと機会を評価することは、単なる分析作業ではなく、20面ダイスを振るような不確実性を伴う課題となっている。顧客の貴重な認証情報を外部攻撃やユーザー自身の不注意から守るパスワード管理サービスにとって、AIは多面的な影響を及ぼす。

AIはパスワード管理企業のコード開発や脆弱性検出を加速させる一方で、顧客が粗雑なコードをAI支援でリリースし、パスワード漏洩につながるリスクも孕んでいる。さらに、AIエージェントは複雑なタスクを高速で処理する能力を持つが、幻覚現象やプロンプトインジェクション攻撃により、人間のようなミスを大規模に引き起こす可能性がある。

「顧客に対し、自社のセキュリティリスクの及ぶ範囲と、エコシステム内での課題の広がりを理解させることから始めなければなりません」と語るのは、1Passwordの最高技術責任者（CTO）ナンシー・ワン氏だ。

顧客の自己防衛を支援するAI戦略

トロントを拠点とする1Passwordは、AI戦略の第一歩として、顧客企業が自らセキュリティリスクに陥るのを未然に防ぐ取り組みを進めている。同社はデバイス上で動作するエージェントを活用し、顧客のAIモデル使用状況を監査し、経営層が把握すべきリスクをフラグ立てする。例えば、中国発のLLM「DeepSeek」を使用している開発者に対し、セキュリティリスクに関する注意喚起を行った事例もあるという。

「CISOの皆様、ご存知ですか？開発チームがDeepSeekモデルを使用してコードベースの特定ブランチで作業をしています」とワン氏は述べ、その後セキュリティベストプラクティスに関する議論が行われたという。

同エージェントは、デバイスのソフトウェア更新状況や健全性を確認する機能も持ち、1Passwordはこれを活用して脆弱なパスワード管理を検出する。「当社のデバイスエージェントがディスク上の暗号化されていない資格情報を発見した場合、それらを安全な暗号化された保管庫に移動させます」とワン氏は説明する。

1Passwordは、保存された資格情報をエンドツーエンドで暗号化しており、同社であってもパスワードを閲覧することはできない。ワン氏によれば、AIエージェントであってもパスワードの平文を確認できないよう設計されており、自動入力時でさえも同様だという。また、従業員に対し、個人所有デバイスへの1Passwordのデバイストラストエージェントの導入を促すことで、頻発する攻撃経路の一つを封じる狙いもある。

ただし、こうした取り組みは必ずしも徹底されておらず、ビジネスプランに含まれる個人アカウントが従業員のデバイスで未使用のまま放置されているケースも多い。

AIエージェントの暴走を防ぐ仕組み

AIエージェントは業務の自動化に貢献する一方で、その非決定的な性質ゆえに、常にシステマティックな監視が必要となる。ワン氏はこれを1Passwordにとっての「未開拓の機会」と呼び、エージェントの挙動を大規模に分析し学習する場としている。

「どのようなプロンプトが与えられたのか？エージェントはどのように反応したのか？出力結果はどうだったのか？」とワン氏は説明し、これらのログファイルがエージェントとモデルの学習メカニズムにフィードバックされると述べた。

1Passwordは2月に、AIエージェントの挙動を評価するベンチマーク「SCAM（Security Comprehension and Awareness Measure）インデックス」を発表した。

出典: Fast Company
地熱発電の新星フェルボ・エナジー、脱炭素電力の未来を切り拓く
← 前へ

地熱発電の新星フェルボ・エナジー、脱炭素電力の未来を切り拓く

 FC 26 シーズン7「シルバースーパースター」最速解放ガイド：効率的なチーム編成と達成条件
次へ →

FC 26 シーズン7「シルバースーパースター」最速解放ガイド：効率的なチー...