生成AIの社内利用が招く新たな4つのサイバー攻撃経路と企業防衛策

社員のAI利用が攻撃面に変わる背景

生成AIは、調査、議事録作成、翻訳、仕様書の下書き、コード補完まで、職場の日常作業に入り込みました。便利な道具であるほど、社員は承認を待たずに使い始めます。問題は、その入力欄が社外サービス、社内文書、開発環境、業務APIとつながった瞬間に、従来のセキュリティ境界をまたぐことです。

IPAは、AI利用時のセキュリティ脅威・リスク調査で、企業や組織に従事する人4941人への事前調査と、業務でAIを利用する1000人への本調査を実施しています。これは、生成AIのリスクが一部の研究開発部門ではなく、一般社員の働き方そのものに広がっていることを示す調査設計です。

海外でも同じ傾向が確認できます。Ciscoの2025年調査では、対象企業の86%が過去12カ月にAI関連のセキュリティインシデントを経験したと回答し、60%は社員が生成AIにどのような依頼をしているか把握していませんでした。IBMの2025年データ侵害調査も、AIガバナンスを欠く組織ほど侵害とコストのリスクが高いと指摘しています。

本稿では、普通の社員が「少し便利だから」と使うAIから生まれる抜け穴を4つに分けて整理します。機密情報の入力、シャドーAI、プロンプトインジェクション、過剰権限のエージェント、AI生成コードです。製造業の現場でいえば、工具の持ち込みと同じで、便利さだけでなく、どこに接続され、何を加工し、誰が検査するのかを管理しなければなりません。

機密情報とシャドーAIが生む漏洩経路

未承認ツールに残る業務データ

第1の抜け穴は、社員が社外の生成AIに業務データを入力する経路です。営業担当者が顧客とのメールを要約させる、技術者が不具合報告書を英訳させる、管理部門が人事資料の表現を整える。一つひとつは悪意のない作業ですが、入力欄に貼り付けられた情報は、社内のアクセス制御やログ監視の外側へ出ます。

OWASPのLLM02は、LLMが個人情報、財務情報、医療記録、機密業務データ、認証情報、法務文書などの機微情報を扱う場合、出力やアプリケーション文脈を通じて漏洩が起きうると整理しています。特に社内チャットボットや検索AIに組み込まれた場合、ユーザーが意図せず入力した情報が別の出力に混じる危険があります。

IBMの2025年調査では、世界平均のデータ侵害コストは444万ドルでした。さらに、AI関連のセキュリティインシデントを報告した組織のうち、適切なAIアクセス制御を欠いていた割合は97%に達しています。AIを便利に使うこと自体が問題なのではなく、誰が、どのデータを、どのAIに渡したかを追跡できない状態が損害を大きくします。

この経路で特に危ないのは、設計情報、ソースコード、顧客リスト、未公表の財務情報、品質不良に関する社内資料です。製造業では、仕様書や検査条件がそのまま競争力の源泉になることがあります。これらを外部AIに貼り付ける行為は、USBメモリーで工場外へ図面を持ち出す行為と、経営リスクとしては近い性質を持ちます。

文書要約が変える内部不正対策

第2の抜け穴は、会社が把握していないAI利用、いわゆるシャドーAIです。Google CloudのMandiant特別レポートは、2025年のサイバー情勢で、AI導入競争が統制を上回り、シャドーAIとAI資産の可視性不足が重要な摩擦点になったと指摘しています。これは、攻撃者の高度化以前に、自社のどこでAIが動いているか分からない問題です。

シャドーAIは、従来の内部不正対策をすり抜けやすい特徴があります。社員が顧客情報を丸ごと持ち出す場合は、ファイル転送、USB、メール添付などの監視で検知できる可能性があります。しかし生成AIでは、社員が文章の一部をコピーし、社外サービスで要約や翻訳を行い、結果だけを業務に戻すことができます。データは断片化し、痕跡は個人端末やブラウザー履歴に散らばります。

IPAの内部不正防止ガイドラインは、テレワークなどにより組織外で秘密情報を扱う機会が増えたことを改訂の背景に挙げています。生成AIはこの傾向をさらに進めます。社員が在宅勤務中に、私用アカウントでAIツールを開き、会議メモを投入して資料化する場面は、特別なスキルなしに起こり得ます。

企業がまず行うべき対策は、全面禁止ではありません。禁止だけでは、便利な作業ほど隠れて行われます。必要なのは、利用可能なAI、入力禁止データ、承認が必要な用途、ログの扱い、例外申請の手順を短く明確にすることです。IPAのテキスト生成AI導入・運用ガイドラインも、組織でのルール策定と文書化、リスク管理の重要性を説明しています。

現場で有効なのは、データ分類とAI利用ポリシーを接続する設計です。公開済み情報は一般AIで利用可、社外秘は社内AIのみ、個人情報や営業秘密は原則入力禁止、というように分類を作業フローへ落とし込みます。DLPやCASBなどの技術で監視する場合も、社員がなぜ制限されるのかを理解できる説明がなければ、別の抜け道を探す動機が残ります。

プロンプト注入と過剰権限が招く業務破壊

隠れた指示がAIを乗っ取る構造

第3の抜け穴は、プロンプトインジェクションです。これは、AIに対する命令と、AIが読むデータの境界が曖昧であることを突く攻撃です。OWASPのLLM01は、ユーザー入力がLLMのふるまいや出力を意図しない方向へ変える脆弱性をプロンプトインジェクションと説明し、直接型と間接型を区別しています。

直接型は、攻撃者がチャット画面に「これまでの指示を無視せよ」といった命令を入れる手法です。より厄介なのは間接型です。AIが読み込むWebページ、メール、PDF、コードコメント、チケット、レビュー文の中に、人間には見えにくい命令を紛れ込ませます。社員は単に文書を要約させただけでも、AIはその文書内の隠れた命令を処理してしまう可能性があります。

CISは2026年4月の発表で、攻撃者が文書、メール、WebサイトなどAIツールがアクセスできるデータに悪意ある指示を隠し、機密情報の窃取、未承認アクセス、業務の混乱につなげる危険を警告しました。OWASPのチートシートも、メール添付、Webページ、隠し文字、画像内の指示、RAGの知識ベース汚染などを典型的な攻撃経路として挙げています。

この脅威が従来のマルウェア対策と違うのは、悪性ファイルを実行しなくても成立する点です。社員が「この取引先メールを要約して」とAIに依頼するだけで、AIがメール本文の見えない命令に従い、別の社内文書を探したり、要約結果に外部送信用のリンクを埋め込んだりする構造が考えられます。人間にとっては通常の業務データでも、AIにとっては命令文です。

NISTは、AIシステムを操作する攻撃として、回避、汚染、プライバシー、悪用の4類型を示し、AIを誤誘導から完全に守る万能策はないと説明しています。つまり、プロンプトインジェクションを一つのフィルターで完全に止める発想は危険です。重要なのは、AIが読めるデータ、実行できる操作、返せる情報をそれぞれ絞る多層防御です。

AIエージェントに与えすぎた権限

第4の抜け穴は、AIエージェントやAIアシスタントに与えすぎた権限です。会議日程を調整するAI、メールを下書きするAI、CRMを更新するAI、コードリポジトリを検索するAIは、単なる文章生成ツールではありません。社内システムにアクセスし、時には書き込みや送信まで行う実行主体になります。

OWASPのLLM06は、この問題を「過剰なエージェンシー」と呼び、原因を過剰な機能、過剰な権限、過剰な自律性に分けています。例えば、メール要約に必要なのは読む権限だけなのに、利用している拡張機能が送信や削除も可能であれば、間接プロンプトインジェクションによって情報を外部へ転送される余地が生まれます。

ここで重要なのは、AIが悪意を持つ必要はないという点です。AIは、与えられた文脈の中で「もっともらしい」操作を選びます。そこに攻撃者の指示が混じり、しかもAIが高権限のAPIキーや共有管理者アカウントで動いていれば、社内システムから見れば正規の操作として処理されます。従来の侵入検知では、攻撃ではなく通常業務に見えやすくなります。

このリスクは、工場の自動化ラインに似ています。ロボットアームが便利でも、可動範囲、速度、停止条件、安全柵を設けなければ事故につながります。AIエージェントも同じです。読み取り専用で足りる業務には書き込み権限を与えない。個人の代行操作は本人の権限範囲で実行する。高影響の送信、削除、発注、設定変更は人間の承認を必須にする。こうした制御が必要です。

Ciscoの調査では、AI関連の脅威について社員が完全に理解していると答えた回答者は49%にとどまり、AIセキュリティ評価を包括的に行う内部リソースと専門性があると答えた企業も45%でした。AIエージェントの権限設計は、現場任せでは成立しません。情報システム、法務、事業部門、セキュリティ部門が、業務価値と権限の上限を一緒に決める必要があります。

AI生成コード時代に必要な開発統制

AIが開くもう一つの現実的な侵入口は、AI支援開発です。開発者だけでなく、業務部門の社員も、簡単なスクリプト、Excelマクロ、社内ツール、データ変換プログラムをAIに書かせるようになりました。これはDXの速度を上げる一方、レビューされないコードが社内ネットワークに増えるリスクを生みます。

NCSCは2026年6月の「vibe coding」に関する記事で、AI支援開発には用途に応じた監督の濃淡が必要だと説明しています。プロトタイプや限定的な内部ツールなら許容できる場合がありますが、認証、認可、個人情報処理、秘密情報、重要インフラに関わるコードでは、人間による理解、レビュー、脆弱性確認、期待動作の検証が必要です。

この視点は企業の開発現場にそのまま当てはまります。AIが生成したコードは、見た目が整っているため、未経験者ほど信頼しやすい傾向があります。しかし、入力値検証の不足、認証情報の直書き、古いライブラリ、例外処理の甘さ、権限チェックの抜けは、生成されたコードにも混入します。AIの出力をそのまま本番環境や社内共有フォルダーへ置けば、攻撃者に新しい足場を与えます。

また、AIはコードだけでなく依存関係の選定にも影響します。存在しないパッケージ名や、実在するが管理状態の悪いライブラリを提案する可能性があります。OWASPのLLM03は、モデル、データ、外部コンポーネント、プラットフォームを含むLLMサプライチェーンのリスクを整理しています。AI支援開発では、ソフトウェア部品表、依存関係スキャン、署名付きパッケージ、社内レジストリの利用がより重要になります。

攻撃側のAI利用も、防御側の余裕を削ります。Microsoftは2025年のCyber Signalsで、AIがフィッシング、偽サイト、ディープフェイク、音声クローニングなどの信頼演出を大規模化していると説明しました。NCSCを含むFive Eyesの声明も、AIが攻撃の速度、規模、複雑さを高め、脆弱性発見から悪用までの時間を短くしていると警告しています。つまり、AIで作った粗い社内ツールは、発見される前に狙われる可能性が高まっています。

今後の開発統制では、AI利用を禁止するより、使う場所を明確に分けることが現実的です。低リスクの試作ではAIを広く使い、顧客データや認証を扱うコードでは設計レビュー、テスト、静的解析、秘密情報スキャン、依存関係監査を必須にします。AIで作ったコードには、作成者ではなく、運用責任者とレビュー責任者を紐づけることも有効です。

企業が来期予算で見直すAI防衛策

生成AIのリスクは、社員教育だけでも、技術導入だけでも解けません。まずはAI資産台帳を作り、公式AI、部門導入AI、外部SaaSのAI機能、開発者が使うコード生成AIを棚卸しします。次に、入力できるデータ、接続できるシステム、実行できる操作を分類し、最小権限と人間承認を標準にします。

同時に、社員が隠れて使わなくて済む公式の作業ルートを用意することが重要です。議事録、翻訳、要約、調査、コード補助など、需要が大きい用途ほど、安全なAI環境を先に提供します。IBMは、AIをセキュリティ運用に広く使う組織では侵害コストを平均190万ドル削減できると示しています。AIは脅威であると同時に、防御を速くする道具でもあります。

経営者が見るべき指標は、AI利用件数ではなく、統制されたAI利用の比率です。未承認AIの検知件数、機密データ入力のブロック件数、エージェントの高権限操作数、AI生成コードのレビュー通過率を追えば、リスクは管理対象になります。便利さを現場から奪うのではなく、便利さを安全な経路へ流す設計こそ、生成AI時代のサイバー防衛の起点です。

参考資料:

生成AIの社内利用が招く新たな4つのサイバー攻撃経路と企業防衛策

社員のAI利用が攻撃面に変わる背景

機密情報とシャドーAIが生む漏洩経路

未承認ツールに残る業務データ

文書要約が変える内部不正対策

プロンプト注入と過剰権限が招く業務破壊

隠れた指示がAIを乗っ取る構造

AIエージェントに与えすぎた権限

AI生成コード時代に必要な開発統制

企業が来期予算で見直すAI防衛策

関連記事

シャドーAIによる情報漏えいを防ぐ中小企業の現場統制と実践策

チャッピー相談急増が映す全肯定AI時代の日本人心理と依存リスク

日本企業でGenspark法人導入が伸びる理由と現場定着の条件

ミュトス級AI攻撃で変わる日本企業の防衛常識とSaaS運用対策

新入社員の情報漏洩はなぜ起きる昭和上司が残す危険な職場慣行の盲点

最新ニュース

生物多様性保全支出ランキングで読む企業財務と自然資本のリスク

50代のキャリア後半戦を支えるしがみつく才能と弱いつながり術

購買力平価で読む日本経済、カリフォルニアGDP比較の本当の実力

社外取締役の取締役会出席率低迷で強まる株主反対リスクの深刻度

AI中退予測が示す大学不登校、初年次ケアと学修支援の最新要点