生成 AI アプリケーションのセキュリティ対策を整えるための 7 ステップのチェックリスト

 

近年、生成 AI は爆発的な成長を遂げており、スタートアップ企業がコンテンツの作成、データの分析、重要な意思決定を行う方法を大きく変えています。 多くの組織では、生成 AI モデルの力を活用してカスタムアプリケーションを構築する傾向が強くなっています。そのため、生成 AI の実験と活用を行うスタートアップ企業は、セキュリティと責任ある利用を最優先事項とする必要があります。

この記事では、生成 AI 搭載アプリケーションを実験段階から本番環境へ移行する際に考慮すべき重要なセキュリティ対策とコンプライアンス対策をまとめた 7 項目のチェックリストを紹介します。

1.ガバナンスフレームワークとコンプライアンスプロセスを確立する

2.大規模言語モデル (LLM) プロバイダーのエンドユーザーライセンス契約 (EULA) およびデータ利用ポリシーを確認して遵守する

3.包括的なアクセスコントロールを実装する

4.入出力に関するリスクを軽減する

5.データを保護する

6.境界を保護する

7.包括的な監視とインシデント対応を実装する

このチェックリストを実践することで、スタートアップ企業はリスクを軽減し、データを保護してユーザーからの信頼を維持できます。チェック項目を多く満たすほど防御は強化されますが、アプリケーションの要件に応じて必要な対策は異なるため、すべてのチェックポイントを満たす必要はありません。

必要となるセキュリティ対策は、アプリケーションの構築に使用するモデルの種類 (事前学習済み、ファインチューニング済み、またはカスタム) によって異なります。ここでは、多くのお客様のユースケースに対応する事前学習済みモデルを使用して構築されたアプリケーションに焦点を当てます。

 

包括的なガバナンスとコンプライアンスのフレームワークを確立することは、責任ある AI 導入の基盤となります。人材とプロセスが重要です。まずは、法務、IT セキュリティ、および関連する事業部門の専門家で構成される部門横断型の AI ガバナンス委員会を設置することから始めましょう。この委員会は、データの取り扱い、モデルの選定、利用ガイドラインなどを始めとする生成 AI アプリケーション向けの具体的なポリシーを策定して施行する必要があります。

次に、業界の規制 (GDPR や PCI DSS など) に合わせたコンプライアンスチェックリストを作成します。これには、データプライバシー対策、同意管理、透明性に関する要件を含める必要があります。変化する基準への準拠を確実にするため、四半期ごとの監査など、定期的なコンプライアンスレビューを実施します。さらに詳しいガイダンスについては、「Scaling a governance, risk, and compliance program for the cloud, emerging technologies, and innovation」と「生成 AI をセキュアにする: データ、コンプライアンス、プライバシーに関する考慮点」のブログ記事を参照してください。

最後に、生成 AI アプリケーションに関する意思決定、変更履歴、およびコンプライアンス状況を追跡するための文書管理システムを構築します。ポリシーのバージョン管理、モデル変更の監査ログ、コンプライアンス状況を確認するためのダッシュボードなどの機能を含めます。このシステムは、コンプライアンスの維持に役立つだけでなく、外部監査の際に必要となる証跡も提供します。

 

コンプライアンスを維持し、潜在的な法的問題を回避するには、特定の制限や要件を理解することが重要です。事前トレーニング済みモデルをアプリケーションに統合する前に、選択した LLM プロバイダーの EULA とデータ使用ポリシーを確認してください。データの取り扱い、モデルの出力、商用利用の制限に関する条項には細心の注意を払ってください。Amazon Bedrock ユーザーについては、Amazon Bedrock 基盤モデルへのアクセスに関するページを参照してください。Amazon SageMaker に自己デプロイする場合は、モデル詳細ページでモデルソースを確認してください。

コンプライアンスの確保に加え、最新動向を把握することで、魅力的な機会を得ることもできます。例えば、Meta Llama 3.1 ライセンスは従来のモデルよりも制約が少ないとされており、長文ドキュメントの分析や、グローバル展開を見据えた高度な多言語チャットボットの構築など、新たなユースケースに対応できる可能性を秘めています。選択するモデルを問わず、これらの側面を定期的に確認することで、アプリケーションを最大限に活用して新たな機会を得ることができます。

生成 AI アプリケーションを開発・デプロイする際には、システムとデータを保護するための堅牢なアクセスコントロールが必要です。これには、最小特権の原則 (PoLP) に従いながら、ユーザー認証、認可、およびデータアクセスポリシーを設定することが含まれます。PoLP の基本的な考え方は、ユーザーやサービスには、それぞれの役割を果たすために必要な権限のみを付与するということです。PoLP に従うことで、チームは潜在的なセキュリティリスクを軽減し、攻撃者による侵入をより困難なものにすることができます。

まず、Amazon Cognito や Amazon Verified Permissions などのサービスを使用してユーザー認証を実装し、PoLP に準拠できるよう認可制御を設定します。Amazon Cognito の JWT トークンを使用して、ID の伝播ときめ細かな認可を実現する方法の例を以下に示します。

LLM、データベース、ストレージシステム、および接続されるサービスや API など、生成 AI アプリケーションのすべての構成要素にアクセスコントロールを設定します。アクセスの安全性を維持し、管理を容易にするために有効期限の短い一時的な認証情報 (Amazon Bedrock や Amazon SageMaker の認証情報など) でアクセスできるモデルを使用します。Amazon Bedrock では、どのユーザーがどのモデルにアクセスできるかも細かく制御できるため、必要に応じてアクセスを制限できます。

次に、ユーザーが他のユーザーのコンテンツ、セッション履歴、または会話情報にアクセスできないようにする仕組みを実装し、ユーザーセッションと会話コンテキストを分離します。ユーザー固有のセッション識別子を使用し、ユーザーがシステムにアクセスするたびにこれらを検証します。サーバー側でセッション管理を実装すると、ユーザーごとに分離されたデータストアへ会話履歴とコンテキストを記録できます。

検索拡張生成 (RAG) の実装では、LLM の応答を補強するために使用するナレッジベースへのアクセスを適切に管理することが重要です。Amazon Bedrock ナレッジベース のメタデータフィルタリングを使用すると、この管理を簡素化できます。この機能は、ユーザーが取得できる情報をアクセスが認可された情報だけに制限する組み込みのアクセスコントロールを提供します。独自の RAG を管理している場合は、Amazon Kendra を使用して、ユーザー権限に基づいて応答をフィルタリングします。メタデータフィルタリングの仕組みについては、上の図 (ステップ 5) を参照してください。

 

アクセスコントロールを実装したら、次は生成 AI アプリケーションにおけるユーザー入力とモデル出力に関連するリスクを評価し、軽減するための評価メカニズムに注力できます。これにより、プロンプトインジェクション攻撃、不適切なコンテンツ生成、ハルシネーションなどの脆弱性から保護できます。

Amazon Bedrock のガードレールを使用すると、このプロセスを簡素化できます。ガードレールでは、Amazon Bedrock 上のすべての LLM にわたって適用できるプロンプト入力とモデル出力の保護機能を設定できます。ファインチューニング済みモデルだけでなく、Amazon Bedrock 外の生成 AI アプリケーションも対象にすることができます。

追加の予防策として、Amazon Bedrock Prompt Management を使用して、検証済みのプロンプトカタログ (一般的なタスク向けに事前承認された一連のプロンプト) を実装し、プロンプトを効果的に管理して、LLM を悪意のある指示から保護します。

出力検証も同様に重要です。LLM の応答は慎重に扱う必要があります。モデルが (他のコンポーネントに渡される) コードやデータベースクエリを生成している場合、その出力は信頼できないユーザーからのものとして扱う必要があります。他のシステムとのやり取りの前に必ず権限を確認し、セキュリティチェックを実行してください。データベースにはパラメータ化されたクエリなどの安全な方法を使用し、生成された SQL は使用の前に必ず構造を確認してください。システムプロンプト内でプロンプトテンプレートを使用してモデルの応答形式を制御することで、リスクを抑えることもできます。

LLM がシステムコマンドやコードを生成する場合は、強固なセキュリティ対策を講じることが不可欠です。まず、厳格な検証チェックを実施することから始めます。これには、許可リストの使用、構文のチェック、コードが何を実行しようとしているのかの理解が含まれます。JavaScript や Markdown などの言語では、潜在的な脆弱性から保護するため、ユーザーに表示する前に必ず出力をエンコードしてください。AI が生成したコードを実行する必要がある場合は、問題が発生してもメインシステムを安全に保てるよう、必ずサンドボックス (隔離された環境) で実行してください。

 

次に、モデルが使用および応答するデータ (ユーザークエリ、追加コンテキスト、RAG システムで使用されるナレッジベースなど) が暗号化によって保護されていることを確認します。

これは、暗号化キーの安全な管理、保管、ローテーションを行うための AWS Key Management Service や、アクセスコントロールを目的とした AWS Identity and Access Management (IAM) などのサービスによって容易に実現できます。また、ナレッジベースストレージでバージョニング (S3 バージョニングなど) を有効にして変更を追跡し、データの信頼性と安全性を確保することもできます。

機密データを扱う場合は、Bedrock ガードレールの機密情報フィルターを使用して、データのマスキングやブロックを実装することもできます。

 

データを保護したら、次は生成 AI インフラストラクチャの保護に注力できます。 所有データを使用する場合は、パブリックインターネットへの公開を防ぐため、安全な境界を構成してください。 Amazon Bedrock VPC エンドポイントは、Virtual Private Cloud (VPC) と Amazon Bedrock アカウントの間にプライベート接続を確立し、データとモデルのやり取りのセキュリティを強化します。

LLM は大量の計算リソースを使用するため、乱用されやすくなる傾向があります。これを防ぐためにユーザーがアプリケーションにアクセスできる範囲に制限を設けることができます。これらの制限を設定するには AWS Web Application Firewall (WAF) を使用します。アプリケーションへのリクエストレートを制御するには Amazon API Gateway を使用します。これらの対策により、システムのパフォーマンスと安定した稼働を維持しながら、インフラストラクチャを保護できます。

 

セットアップとデータを保護したら、システム監視のセキュリティ確保に取り組むことができます。これには、セキュリティ上の問題を迅速に検出し、対処するための対応メカニズムの実装が含まれます。リクエスト数、レイテンシー、エラー率などの LLM 使用メトリクスを監視し、システムのパフォーマンスを把握するとともに、異常を検出します。 Amazon CloudWatch は、これらのメトリクスが設定済みのしきい値を超えるとアラートを生成します。

これに加えて、プロンプトインジェクション、予期しないモデル出力、データ漏えいなどのシナリオに対応するためのインシデント対応計画を策定する必要があります。各シナリオについて、主要なツール、担当チームメンバー、およびそれぞれの責任を含めたエスカレーションプロセスを定義します。最後に、Andon コードのような仕組みを設定し、問題が発生したときにモデルのすばやい無効化、以前のバージョンへのロールバック、またはセーフモードへの切り替えを行うことができるようにします。セキュリティ問題への明確な対応手順を整備しておくことで、迅速に対応して、AI アプリケーションの安全性と安定性を維持できます。

この 7 ステップのチェックリストは、生成 AI アプリケーションをプロトタイプから本番環境へ移行するための重要なガイドです。各項目に取り組み、実践することで、組織とユーザーの両方を保護しながら、責任を持ってアプリケーションを構築および展開できるようになります。また、生成 AI は急速に進化しているため、アプリケーション (およびスタートアップ) がイノベーションと信頼の最前線に立ち続けるには、AI セキュリティに関する最新の動向を把握しておくことが重要です。 Builder Center – エージェンティック AI をチェックして、最新情報をご確認ください。

この投稿では、事前学習済みモデルを使用するアプリケーション向けのセキュリティ対策について説明しています。ファインチューニング済みモデルやカスタムモデルの使用を検討している場合は、生成 AI セキュリティスコーピングマトリックスに関するページを参照し、モデルの種類ごとに考慮すべきリスクとその軽減策を確認してください。生成 AI へのセキュアなアプローチに関するページを参照するか、追加のサポートについて担当アカウントチームまでお問い合わせください。