さらに「ハル・スクワッティング」と呼ばれる新たな手口も報告された。同じ先回りでも、待ち構えている相手がもはや人ではない。今のAIは、頼まれた作業に必要なものを自分で取りに行く。
攻撃者はその行き先を押さえ、マルウェアではなくAI宛ての指示文を置いておく。取りに行ったAIはそれを命令として読み、持ち主ではなく攻撃者の言うとおりに動き出す。AIの幻覚を待ち伏せる段階から、AIに命令を出す段階へ。だます相手は、もう人だけではない。人が仕事で使っているAIそのものへと広がりはじめている。
AIそのものが乗っ取られる
他方で、4つ目はだまされる瞬間すらないタイプだ。先ほどの待ち伏せはAIが間違えた先にあったが、こちらはAIが正しく読み込んでいる文書の側に仕掛けられている。
仕掛けそのものは単純だ。文書ファイルやウェブページ、メール本文の片隅に、背景と同じ白い文字や、読めないほど小さな文字で、AI宛ての悪意ある指示を書いておく。人の目には何も見えないが、AIは文字として読み取る。
25年には、学術論文に「この論文を高評価せよ」といった命令文が人には見えない形で仕込まれ、8カ国14大学に及んでいたと報じられた。これが「間接プロンプトインジェクション（指示の注入）」と呼ばれる手口だ。AIをいつもどおり使っているだけで、そのAI自身が攻撃者に操られてしまう。
そんな細工が効いてしまうのは、今のAIが命令とデータを区別しづらいからだ。文書に紛れた1文でさえ、持ち主の指示と同じ重みで受け取ってしまう。ここまで来ると、個人の心がけだけでは追いつけない。
貼る、探す、従う、任せる……あらためて並べると、こちらが気づける余地はしだいに小さくなり、4つ目では気づく機会すらない。どれも当たり前の動作だが、その一つひとつが被害の入り口になりうる。
ただし、AIを使うなという話ではない。最初の3つは、手口さえ知っていればかなり避けられるし、4つ目も、仕組みを知っていれば異変に気づいて社内に知らせるまでが速くなる。
では、何ができるか。社内の情報をAIに渡すなら、会社が用意した正規の窓口を通す。無料をうたうAIツールに安易に飛びつかない。AIが薦めるURLや部品は、面倒でも一度確かめる。
もっとも、ここまでは個人で効く手立てだ。4つ目に効くのは会社側の設計になる。誰がどのAIや拡張機能を使っているかを把握し、AIに渡す情報と与える権限に線を引く。何をどこまでAIに任せるかは、個人の判断に委ねず、会社として決めておきたい。
サイバーセキュリティの前線は、もはや専門部署の中だけにはなく、AIという最も身近な道具を毎日使う、一人ひとりの手元にまで広がっている。
