Google、AI安全対策の指針「SAIF」を発表：プロンプト注入やデータ汚染に対処

この数か月、生成 AI を触ったことのある人なら、「プロンプトインジェクション」と呼ばれる攻撃を目にしたことがあるはずです。巧みに仕組まれたテキストを入力するだけで、AI の安全ガードレールを突破し、社外秘のプロンプトやデータを引き出してしまう手法です。

Google は 6 月 8 日、AI システム向けの包括的なセキュリティ指針「Secure AI Framework（SAIF）」を発表しました。急速に普及する生成 AI に対し、従来のソフトウェア開発で培ったセキュリティのベストプラクティスを移植し、業界全体の標準を作ろうとする試みです。

SQL インジェクション対策の知見を AI に応用する

Google はこれまでも、サプライチェーン保護の「SLSA」や、ゼロトラストの標準となった「BeyondCorp」など、業界全体のセキュリティ指針を主導してきました。今回の SAIF もその延長線上にあり、6 つの柱で構成されています。

第 1 の柱は強固な基盤の拡張です。Google によると、プロンプトインジェクションは従来の「SQL インジェクション」と構造が似ています。入力値のサニタイズ（無害化）や制限といった既存の防護策を AI 向けに応用することで、多くの攻撃を防げると説明しています。

第 2 と第 3 の柱は、脅威の検知・対応と自動化です。生成 AI への入力と出力を常時監視して異常を検知し、攻撃者が AI を使って攻撃を大規模化する前に、防御側も自動化された AI ツールで迅速に対処する体制を求めています。

残る柱では、Vertex AI などのプラットフォーム全体で安全基準を一元化すること、レッドチームによる疑似攻撃や継続的な学習で防御をアップデートすること、そして業務リスクに応じたエンドツーエンドの評価を行うことを挙げています。

NIST への協力とバグ報奨金プログラムの拡大

枠組みの提唱にとどまらず、Google は具体的な 5 つの実装計画も明らかにしました。

同社は、米国立標準技術研究所（NIST）の AI リスク管理フレームワークや、業界初の AI 認証規格となる ISO/IEC 42001 の策定に参画し、SAIF の要素を国際標準に反映させていく方針です。

また、自社の脆弱性報奨金プログラム（VRP）の対象を AI の安全性とセキュリティ分野に拡大しました。外部の研究者に報奨金を出して脆弱性の発見を促すとともに、傘下の Mandiant や脅威分析グループ（TAG）が集めたサイバー攻撃のインサイトも共有します。

さらに GitLab や Cohesity といったパートナーとの連携を進めるほか、SAIF の実践を支援するオープンソースツールの公開も予定しています。

なぜ重要か

生成 AI の機能開発ばかりが先行してきた中で、運用基盤を支える「防護のルール」が明確になった意味は大きいです。

企業や開発者にとって、SAIF は実用的な安全チェックリストになります。社内データと LLM を連携させる際、プロンプトインジェクションや学習データの汚染といったリスクにどう備えるべきか、手探りだった現場に明確な手順が示されました。導入を検討している企業は、まず入力監視や権限管理から着手する価値があります。

戦略面では、Google の動きは非常に巧みです。かつて BeyondCorp でゼロトラストの主導権を握ったように、NIST や ISO と連携して AI セキュリティのルールブックを先回りして定義しようとしています。Microsoft や AWS に対する強力な差別化要素になるはずです。

ただし課題もあります。従来のプログラムと違い、大規模言語モデルは確率で動くシステムです。自然言語の入力を完全に「無害化」することは技術的に極めて困難であり、SQL 対策ほど単純にはいきません。SAIF を導入したからといって完全な安全が手に入るわけではなく、過信は禁物だと私たちは考えます。