予測から注意報、あるいは警報まで……。気象予報士は、雲を見かけるたびに警報を出すわけではありません。複数の条件が重なってしきい値を超え、実際に被害が出る可能性が十分に高まったときに初めて警報を発令します。現在、ほとんどの組織がAIセキュリティに関する基本的な真実を受け入れています。それは、見えないものは保護できないということです。
その認識により、AIがどこに存在し、どのように使われ、どのようなシステムやコンポーネントがそれを支えているかを把握するための、AI資産管理（インベントリ）と可視化への投資の波が押し寄せています。しかし、可視化するだけではリスクは減りません。ネイティブソリューションも展開され、可視性を提供しつつも、主に設定ミスという単一の切り口からリスクを分析する機能を追加しているにすぎません。
そこで、専用のAIセキュリティ態勢管理（AI-SPM）の出番です。
AI-SPMとは、AIの可視性を具体的なアクションに変える規律です。それは、セキュリティ、コンプライアンス、運用のリスクを生み出す（1つだけではない）複数の条件についてAIシステムを継続的に評価し、それらの問題がインシデントに発展する前にチームが修正できるよう支援します。
天気か、あるいはAI-SPMが必要かどうか
現代の天気予報は、ただ窓の外を眺めることではありません。
レーダー、人工衛星、大気モデル、そして早期警戒システムといった計器類を活用することです。気象予報士は嵐を防ぐことはできませんが、不意打ちを防ぐことはできます。彼らは嵐が形成されるずっと前から条件を追跡し、それらの条件がどのように変化するかをモデル化し、まだ行動する時間があるうちに注意報や警報を発令します。
AIセキュリティもこれと同様のアプローチです。
AIインベントリと可視性は、AIセキュリティにおけるレーダーと人工衛星です。それらは次のような基礎的な質問に答えます。
- どのようなAIシステムが存在しますか？
- どのようなモデル、パイプライン、エージェントが使われていますか？
- データはAIシステムのどこに出入りしているのか？
AI-SPMはその基礎の上に、より踏み込んだ質問を投げかけます。私たちが発見したことを踏まえると、次にどこで問題が起きる可能性が最も高いだろうか？
レーダーで嵐を見るだけでは、それが強まるのか、どこに上陸するのか、あるいは被害がどれほど深刻になるのかはわかりません。そのためには予報が必要であり、生の可視性をリスクシグナルに変換し、さらにそのリスクシグナルを優先順位付けされた具体的なアクションへと変換する必要があります。
リスクシグナルには、いくつかのベクトル（要因）が含まれる可能性があります。
- AIのコードとモデルにおける既知の脆弱性
- AI - をサポートするクラウドインフラストラクチャまたはエンドポイントにおける設定ミス
- AI開発のアーティファクトに埋め込まれた機密データ
- 汚染された可能性のあるツール
- MCPサーバーからの不整合な挙動
Varonis Atlasは、生の可視性をリスクシグナルに変換し、さらにそのリスクシグナルを優先順位付けされた具体的なアクションへと変換します。
Varonis Atlasは、生の可視性をリスクシグナルに変換し、さらにそのリスクシグナルを優先順位付けされた具体的なアクションへと変換します。
これらは理論上の脅威ではありません。大気不安定に相当するAI特有の事象であり、単独では無害に見えても、組み合わさると危険になる条件のことです。
AI-SPMはDSPMやCSPMとどのように異なるか
AI-SPMというラベルは既存の態勢管理ソリューションに誤って適用されがちですが、その違いは重要です。
データセキュリティ態勢管理（DSPM）は、主にデータに焦点を当てています。機密データがどこに存在し、どのように分類され、誰がアクセスできるかといった点です。機密データがAI資産の内部に現れるとき、DSPMと重なる部分があります。しかし、AIシステムはデータを保存するだけではありません。データを推論し、検索し、新しいデータを生成します。これにより、DSPMだけでは修復できない露出経路が生み出されます。
クラウドセキュリティ態勢管理（CSPM）は、アイデンティティ、ネットワーク、ストレージアクセス、ベースライン構成といったクラウドインフラに焦点を当てています。AI-SPMはそれらのチェックを含みますが、AIコードの依存関係、モデルアーティファクト、推論エンドポイント、エージェントのツールチェーンなど、CSPMが設計されていなかった領域へと態勢管理を拡張します。
天気に例えるなら、AI-SPMは嵐のシステム全体と気象パターンをモデル化します。
AI-SPMはシステムのあらゆる部分を検査し、AIの「嵐」がどこで発生する可能性があるかを判断します。
AI-SPMはシステムのあらゆる部分を検査し、AIの「嵐」がどこで発生する可能性があるかを判断します。
なぜAI-SPMがガバナンスと規制において重要なのか
AI-SPMは単なるセキュリティのベストプラクティスではありません。これはガバナンスの要件になりつつあります。
ISO/IEC 42001のようなフレームワークは、ライフサイクルに基づいたAIリスク管理を強調しています。これは、組織がポリシーを策定するだけでなく、技術的リスクを継続的に特定し、軽減できることを前提としています。
NIST AIリスク管理フレームワークは、その「測定」および「管理」機能において態勢管理に依存しています。脆弱性、設定ミス、安全でない行動の継続的な評価なしには、AIリスクを測定することも、意味のある方法で管理することもできません。
EU AI法の下では、態勢管理が義務化されます。ハイリスクなAIシステムは、サイバーセキュリティのレジリエンス、ロギング、および悪用に対する保護を実証しなければなりません。AI-SPMは、それらの管理策が実際に運用されているという証拠を提供します。
AI-SPMが適用される対象
AIセキュリティに関する最も一般的な誤解の一つは、それが「モデルだけの問題」であるという点です。
現実には、AIシステムは複数のコンポーネントで構成されているため、効果的なAI-SPMは4つのレイヤーにまたがる必要があります。
- AIアプリケーション：チャットボット、コパイロット、エージェント、および組み込みアプリケーション。
- モデルと推論エンドポイント：商用モデル、オープンソースモデル、ファインチューニングされたモデル、およびホスト型API。
- エージェント機能のコンポーネントとツール：エージェントとMCPサーバー、それらが呼び出すことができるツール、およびオーケストレーションフレームワーク。
- データ、コード、およびサポートインフラ：データセット、ノートブック、パイプライン、ストレージ、認証情報、およびクラウドサービス。
コンポーネントがAIの挙動に影響を与えるのであれば、それはAIのリスク要因となり、態勢管理の対象になります。
AI-SPMが検知すべきリスク
AI-SPMソリューションは、個別の脆弱性とパターンの両方に目を光らせる必要があります。
AI-SPMソリューションは、一見すると孤立しているように見える問題が、どのように組み合わさって重大なリスクになるかを特定できなければなりません。例えば、古い依存関係と過剰な権限を持つクラウドアイデンティティが組み合わさることで、攻撃者の悪用経路が拡大する可能性があります。
検索パイプラインにデータを供給するノートブックに機密データが埋もれていると、チームがすぐには認識できない方法で情報が漏洩する可能性があります。また、本来の目的を超えたツールへのアクセス権を持つエージェントは、悪用や意図しない行動を引き起こす可能性があります。
単独では、これらの問題は深刻度が低いように見えるかもしれません。しかし、それらが重なり合うことで、重大な被害をもたらす障害の引き金となります。
だからこそ、AI-SPMはCVE、設定ミス、データの露出、モデルの整合性の問題、エンドポイントの脆弱性、エージェントの脅威といったあらゆるカテゴリーにわたるリスクを浮き彫りにし、それらがどのシステムに影響を及ぼしているかを紐付けます。その目的は、単に問題を列挙することではありません。どのリスクの組み合わせが最も重大であり、どこから優先的に対処すべきかをチームが理解できるように支援することです。
そして何より、AI-SPMソリューションには実際に対処を行える実効性が求められます。Varonis Atlasは、セキュリティチームがプラットフォームから直接対策を実行できるようにするだけでなく、影響を受けた特定の環境内で変更を行いたい場合に、その手順とガイダンスを提供します。
終わりのないToDoリストを増やすのではなく、AI-SPMが特定した問題に対して即座に対処できるようになります。
終わりのないToDoリストを増やすのではなく、AI-SPMが特定した問題に対して即座に対処できるようになります。
予測から注意報、あるいは警報まで
気象予報士は、雲を見かけるたびに警報を出すわけではありません。複数の条件が重なってしきい値を超え、実際に被害が出る可能性が十分に高まったときに初めて警報を発令します。
AI-SPMは、単なるノイズ（膨大なアラート）と、本当に注意を払うべき危険な条件の組み合わせとを区別できるようにすることで、これと同様のアプローチをAIセキュリティにもたらします。まだ対応する時間があるうちに、資産管理をインサイトへ、可視性を優先順位付けへ、そしてリスクを具体的なアクションへと変換します。
Varonis Atlasは、個々の問題が抱える全体的なリスクプロファイルと、それをどのように解決すべきかを判断するための確かな文脈をセキュリティチームに提供します。
Varonis Atlasは、個々の問題が抱える全体的なリスクプロファイルと、それをどのように解決すべきかを判断するための確かな文脈をセキュリティチームに提供します。
AIシステムがより自律的になり、相互接続が進み、規制が厳格化する中で、包括的なAIセキュリティプラットフォームにとって、AI-SPMはもはや不可欠な要素です。それは、AIセキュリティを「事後的な穴埋め」から「プロアクティブな（先回りした）リスク管理」へと変革するメカニズムです。
レーダーは何が存在するかを教えてくれます。予測は何がやってくるかを教えてくれます。
気象予報士はその情報に基づいて行動を起こします。
AIセキュリティ態勢管理（AI-SPM）は、これらすべての役割を果たすものであり、だからこそ重要なのです。
注：このブログはAI翻訳され、当社日本チームによってレビューされました
