ストレージのセキュリティー機能で
生成AIによる情報漏洩を防止

　ビジネスに革新をもたらす技術として多くの期待を集める生成AI。しかし、その利用が広がるに連れて、新たなセキュリティーリスクも生まれている。中でも問題となるのが、企業の重要な情報資産である機密情報の漏洩だ。「生成AIシステムの内部において、機密情報は様々に形を変えて扱われます。この安全を守るためには、ライフサイクル全体を通したデータセキュリティーが求められます」とNetAppの井上 耕平氏は指摘する。

　例えば、代表的な生成AIシステムであるLLM（大規模言語モデル）では「LLM開発・ファインチューニング」「ナレッジベース構築」「AIサービス利用」の3つのステップを踏むが、「それぞれのステップの中で機密情報がどう扱われるのか」がポイントになるという。

　「単に公開学習データを用いるだけなら特別な考慮は不要ですが、生成AI活用では機密情報学習データを用いてLLMをファインチューニングするケースも少なくありません。このファインチューニング後の微調整LLMには、必然的に機密情報が含まれることになります」と井上氏は説明する。

　「RAG（検索拡張生成）」を利用するケースでも同様の注意が必要となる。RAGでは公開ナレッジデータと機密情報ナレッジデータを組み合わせてナレッジベースを作成することになるが、このナレッジベースにも機密情報が埋め込まれることになるからだ。

　そして、最終的にこの微調整LLMとナレッジベースを基に文章が生成されるわけだが、両者に機密情報が保持されている以上、生成AIの回答にも機密情報が含まれる可能性が生じる。つまり、先に挙げた3つのステップすべてにおいて、機密情報をどう守るかを考えておく必要があるわけだ（図1）。 　「生成AIのデータセキュリティーを考える上では、Webアプリケーションのセキュリティーに関する非営利団体である『OWASP』のベストプラクティスや、『NIST （米国国立標準技術研究所） 』の『サイバーセキュリティフレームワーク』『AIリスクマネジメントフレームワーク』などが参考になります。少々敷居が高く感じられるかもしれませんが、組織によって求められる対策は異なるので、これらを参照しつつ取捨選択していくことが肝要です」と井上氏は説く。

　それでは、各ステップにおいて具体的にどのような点を考慮すべきなのだろうか。

　「最初の『LLM開発・ファインチューニング』においては、学習データをどう保護するかが重要なポイントとなります。そのために考慮すべき点としては、『学習データは保存時・転送時に暗号化されているか』『学習データは機密度などで分類されているか』『個人情報などの機微情報はマスクされているか』『学習データやストレージの権限管理は適切か』『学習データは版数管理・バックアップされているか』の5点が挙げられます」と井上氏は話す。

　機密データが含まれないようにすることはもちろんだが、アクセス権限の管理や後々の調査に備えたバックアップにも目配りが必要というわけだ。

　次の「ナレッジベース構築」時も、基本的な注意点はLLM開発・ファインチューニングの5点と同様となる。ただし、1つだけ異なるのが「ナレッジデータの権限がナレッジベースにも同期されているか」にも注意が必要な点だ。

　「一般的に企業内では、部署や役職ごとに重要度が異なる情報があります。これを踏まえずにナレッジベースを作ると、データの権限が抜けてしまいサービス側での制御が難しくなります。ユーザーごとに出力を分けたいのであれば、ナレッジベースにも権限情報も含めるべきです」と井上氏は話す。

　最後の「生成AIサービス利用」時においては「出力される情報がユーザーごとに権限管理されているか」「出力される情報や利用ログが管理されているか」「出力される情報のガードレールが整備されているか」「LLMやナレッジベースが版数管理／バックアップされているか」の4点が考慮すべきポイントとなる。

　基本的にはLLMやナレッジベースに機密情報が含まれないようにすべきだが、完全に除外することはなかなか難しい。これを止める最後の砦がサービス利用時の対策となるため、認証認可やインシデント発生時の証跡確保、レジリエンスなどへの配慮が必要となる。

　世界的なストレージベンダーであるNetAppでも、このような意図せぬ情報漏洩を防止するセキュリティー機能を数多く提供している。その中核的な役割を果たすのが、同社独自のストレージOSである「NetApp ONTAP」だ（図2）。 　「当社では、生成AIシステム特有のデータセキュリティーに早くから着目しています。特に情報漏洩を防止する上では、LLMやナレッジベース内に機密情報を混入させないことが大事ですので、データの権限情報をナレッジベースに含める機能や個人情報が含まれないようにするデータガードレール（分類・マスク）を実現するための参照実装を提供しています。さらに今後は、分類・マスク・ナレッジベースなどの機能をストレージ内で完結させ、よりシンプルに管理できるソリューションも提供していきます」と井上氏は話す。

　また、学習データやナレッジデータの安全性を確保するために、専用ディスクよるハードウエアレベル暗号化、ボリュームごと／アグリゲートごとのソフトウエアレベル暗号化と、多層にわたる暗号化機能を標準で提供。加えて、保存時だけでなく、データ転送時用の暗号化機能も用意しているという。

　ストレージ自体の権限管理についても、同社独自の「SVM（Storage Virtual Machine）」によるマルチテナントとセグメンテーション、ロールベースアクセス制御、多要素認証、複数管理者検証など、多彩な権限保護機能を標準で提供。これらを活用することで、不正な操作を防止することができる。

　万一インシデントが発生した場合には、速やかに対応を行う必要があるが、調査の際に必要になるログについてもカバーしている。ストレージの管理ログやユーザーのアクセスログを取得・保全しているため、誰がどのような操作を行っていたか的確に把握することが可能だという。

　さらに注目されるのが、同社独自のスナップショット技術による複数世代バックアップだ。ファイル書き換え保護機能「SnapLock」によるデータ／ログの改ざん防止、瞬時バックアップが可能な「Snapshot」によるバックアップ／版数管理、改ざん防止バックアップ機能「Tamperproof-Snapshot」によるログなどの改ざん・消去防止、遠隔レプリケーション機能「SnapMirror」による3-2-1バックアップなど、データ保護に求められる機能が幅広く網羅されている。

　「このようにNetApp ONTAPには数多くのセキュリティー機能が備わっており、米国や国際標準の厳しい規格も満たしています。このため当社製品は『地球上で最も安全なストレージ』であると自負しています」と井上氏。本講演ではSecurity for AI（AIを守るためのセキュリティー）に関しての話だったが、同社ではAI for Security（セキュリティーを強化するAI）についての取り組みも行っている。例えば、ランサムウエア対策をAIで強化する機能の提供も始まっており、引き続きそうした取り組みも推進していく考えだ。