AI脅威の5分類とAIガバナンスの射程雑感

0　はじめに

　AIは、我々の業務効率を飛躍させる便利な道具であると同時に、攻撃者にとっては攻撃を自動化・高度化する攻撃の加速装置であり、さらには企業にとって守るべき新たな「攻撃対象」でもある。Microsoft Digital Defense Report 2025（以下「MDDR 2025」という。）が私たちに突きつけるのは、このAIの三面性が、従来のサイバーセキュリティや法務コンプライアンスの枠組みを静かに、しかし確実に押し広げているという事実である（注1）。

　マイクロソフトは毎日100兆件を超えるセキュリティシグナルを処理しているが、その中で浮き彫りになったのは、AIが業務プロセスに深く組み込まれるほど、機密情報へのアクセス経路が指数関数的に増大するという現実である。ユーザーによる無邪気なプロンプト入力、既存コンテンツへの認証を経たアクセス、あるいは独自データを用いたファインチューニングやRAGの構築等は、関与するデータの量と機密性を飛躍的に高め、それに比例してデータ漏えい・不正アクセスのリスクも増大させるという指摘は、極めて端的かつ本質的である（注1）。

　今回の狙いは、MDDR 2025が提示する「AI関連脅威の5分類」を手掛かりに、企業法務・ガバナンスが直面する論点を整理することにある。単なる技術レポートの紹介や脅威トレンドの解説に終始するのではなく、「この分類が法的にどこに効いてくるのか」「既存のガバナンス体制のどこが破綻し得るのか」という観点から、ガバナンスの射程を掘り下げる。

1　問題の所在

　法務やコンプライアンスの現場において、AIに関するリスクの語り方は、ともすれば「モデルが誤った回答をする」や「差別的なバイアスが含まれる」といった、モデル単体の性能論や倫理論に傾きがちである。これらは依然として重要な論点であるが、実際に現場で顕在化し、CISO（最高情報セキュリティ責任者）やCLO（最高法務責任者）の胃を痛める事象は、もっと泥臭く、不格好な事故である。

　例えば、社内規程上は入力禁止とされている顧客データが、業務効率化を焦る現場社員によってチャットボットに投げ込まれ、サーバーログに平文で残り、あろうことか学習や評価の副産物として想定外の場所へ滲み出るケースである。あるいは、検索連携やプラグインが不適切な権限を持ち、外部のWebサイトにある「読ませたくない文章」を読み込み、社内システムの振る舞いを外部から操作され、不適切な契約条件を提示してしまうケースである（注1）。これらは、AIが「賢いか愚かか」という問題ではなく、システムとしての運用と設計、そして人間側の統制の問題である。

　法の観点から特に厄介なのは、AIに関する脅威が、「AIを攻撃する脅威」と、「AIによって可能になる脅威」の両方を含み、しかも両者が相互に転化し得る点にある（注1）。例えば、AIで生成された巧妙なフィッシングメールでIDが盗まれ（AIによる攻撃）、それを使って正規ユーザーになりすました攻撃者が企業内AIに侵入し、機密データを持ち出す（AIへの攻撃）。この複雑な構造の下では、個人情報保護法、不正競争防止法、サイバー犯罪対策、製造物責任法、消費者契約法といった既存の法領域が、単独では完結し得ない。

　我々が直面している問題は、AI特有の新しい法分野を一つ増やせば解決する類のものではなく、既存の法的規律を、AIが生み出す新しい攻撃面にいかにして接続し直すか、という解釈と適用の再構成である。MDDR 2025の分類は、その接続点を見極めるための重要な補助線となる。

2　「5分類」が示すもの

　MDDR 2025は、AI関連の脅威を、①従来型サイバーセキュリティ、②固有リスクの敵対的利用、③危険な能力、④運用上の問題点、⑤新たな脅威の5つに大別している（注1）。この分類の優れた点は、AIを単なる「ブラックボックスな技術」としてではなく、「利用形態とリスクの束」として捉え、脅威を「どこで起きるか」ではなく「どう起きるか」というメカニズムで切り分けている点にある。

　第一に、従来型サイバーセキュリティである。このカテゴリーには、AIを用いて増幅される攻撃（自動化されたスピアフィッシング、高度な翻訳による詐欺メールの多言語化、ディープフェイク等）と、AIシステム自体に対する直接攻撃が含まれる（注1）。ここで法務が着目すべきは「量の問題」である。攻撃者のコストが下がり、攻撃の規模と頻度が上がる。これは、従来の「発生ベース」でのインシデント対応ではリソースが枯渇することを意味し、予防的な技術的措置の構築義務のハードルが、客観的に上がりつつあることを示唆する。かつては「高度な標的型攻撃」として免責され得た事案が、AIによって「ありふれた攻撃」となれば、それを防げなかった企業の過失認定のハードルは相対的に下がることになる。

　第二に、固有リスクの敵対的利用である。これには、AIの誤作動に加え、過度な依存、情報漏えい、エージェンシー（目的・利害のずれ）といった、「人と組織の弱さ」が攻撃ベクトル化する領域が含まれる（注1）。AIを「絶対に誤らない専門家」と誤認して業務判断を丸投げする（過度な依存）ほど、攻撃者はそのAIを騙すだけで企業全体を騙せるようになり、攻撃コストは下がる。MDDR 2025が、AIを「新入社員」のように扱い、常にレビューとフィードバックを前提にせよと述べるのは、単なる比喩ではなく、ガバナンスの核心を突いている（注1）。法的には、AIの出力結果に対する「人間の監督義務」や「善管注意義務」の具体的な履行内容が問われているのである。「AIが推奨したから」という理由は、もはや免責の根拠にはならない。

　第三に、危険な能力である。これは、AIの生成・編集能力それ自体が、社会的に有害な成果物（同意なき性的画像、詐欺的な音声、危機時の偽情報拡散等）の作成に転用される問題を指す（注1）。ここでは、生成物の規律（コンテンツ規制、著作権、人格権・プライバシー、名誉毀損）と、提供者の設計責任（フィルタリング、意図検知等の安全措置）が交差する（注1）。特に、プラットフォーマーとしての責任と、ツール利用者としての責任の分界点が、具体的な訴訟リスクとして顕在化する領域である。自社が開発・利用するモデルがどのような「危険な能力」を秘めているかのアセスメントなしには、安全性の説明がつかない。

　第四に、運用上の問題点である。ここでは、ログ・監視、モデルの完全性、チームのスキルといった「守りの足腰」が論じられる（注1）。特筆すべきは、MDDR 2025が、ログはインシデント対応や説明責任の基盤である一方で、ログ自体がユーザーの入力内容（機微情報）を含み得て、プライバシーやセキュリティ上の負債にもなると正面から述べている点である（注1）。また、AIモデル自体がサプライチェーン攻撃に晒され得るため、SBOMのAI版ともいえる「検証可能な成果物」の管理が重要になるという指摘は、法的には「監査可能性」の確保という文脈に翻訳できる（注1）。

　第五に、新たな脅威である。長期稼働するエージェントの保護や、読み書き可能なメモリに由来する汚染・潜在的ポイズニング・フィードバックループ等が挙げられている（注1）。ここは、技術が一瞬で変わるというより、「システムが長期間生き続け、学習し続ける」こと自体が新しいリスクになる領域である。法務の言葉で言えば、導入時の単発の契約審査や安全確認では足りず、継続的なモニタリング義務、整合性確認、そしてアップデート義務が、契約上および不法行為法上の論点として浮上する。一度安全とされたモデルが、長期運用中に汚染データを取り込み、徐々に危険な振る舞いを獲得した場合、その責任を誰が負うのかが問われることになる。

3　法務・ガバナンス上の射程

　では、この「5分類」は、企業のAIガバナンスに対し、具体的に何を要求しているのか。結論から言えば、責任の所在の可視化と監査可能性の設計、そして境界管理である。

　第一に、責任の所在の可視化である。AIの導入、特にエージェント機能の利用は、業務プロセスの中に「半自律的なアクター」を差し込むことに他ならない。事故が起きた際、「誰が何を決め、誰が何を見て、誰が止める権限を持っていたのか」が、事後的に激しい争点となる。MDDR 2025が、開発者、提供者、利用者を区別し、実際の悪用事案でもこれら三者がネットワークとして連動していたと分析するのは示唆的である（注1）。責任の割当は、単に社内規程や利用規約を書き換える話ではなく、サプライチェーン全体と社内の利用実態を含む、エコシステムの設計問題として捉える必要がある。

　第二に、監査可能性の設計である。ログ・監視、アクセス制御、権限期限、暗号化、レビュー手続といった技術的要素は、セキュリティの細部であると同時に、法的な説明責任を可能にするインフラである（注1）。AIが出力した結論の妥当性を訴訟や規制当局への報告で争う前に、「当該AIが、いつ、どの情報に、どの権限で、どのツールを通じてアクセスし、どのプロンプトに従ったのか」が技術的に追跡できなければ、法的な議論は空中戦になる。ログがない、あるいはログが汚染されている状況は、法務にとって「証拠がない」ことと同義であり、防御不能を意味する。

　第三に、境界管理である。生成AIのリスクマップが示すとおり、リスクは利用・アプリ・基盤の層を跨って存在する（注1）。法務担当者の役割は、個別の脅威名を暗記することではなく、どの層の統制が欠けると、法的に何が破れるのかという見取り図を持つことである。例えば、プラグイン設計が脆弱であれば、個人情報保護の問題が、単なる漏えいではなく「意図しない第三者提供」として構成される可能性がある。逆に、入力制御が甘ければ、営業秘密は「ハッキングされた」のではなく、「自ら漏らした（秘密管理性の欠如）」と認定される恐れがある。

4　実務への落とし込み

　以上の分析を踏まえ、実務的には、次の三点がガバナンスの「最小構成」として重要となる。

　第一に、組織的なメンタルモデルとして「AIを新入社員として扱う」ことを徹底する点である。AIの出力には必ずレビューの線を引く。重要な意思決定には、必ず人の承認プロセスを残す。MDDR 2025が指摘するように、過度な依存こそが攻撃ベクトルになり得る以上、ヒューマン・イン・ザ・ループは、倫理的な飾りではなく、実効性のあるセキュリティ統制であり、かつ善管注意義務の履行の証左でもある（注1）。

　第二に、データ統制を契約と技術の両面で先に置くことである。データのラベリング、最小権限の原則に基づくアクセス管理、権限の有効期限設定、暗号化、そして過剰な権限付与の抑制は、情報漏えいの予防線である（注1）。「入力してはいけない」という社内ルールの徹底に頼るのではなく、「入力しても漏れない、あるいは権限外のデータにはアクセスできない」設計に寄せる方が、法的なリスク管理としても現実的かつ強固である。

　第三に、認証と監視を「当たり前の強度」まで引き上げることである。アクセスコードの定期的な確認・更新、OAuth等の近代的認証の採用、重要アカウントへの多要素認証の強制、不規則なパターンを検出する監視ツールの導入といった推奨事項は、一見地味なIT運用の話に見える（注1）。しかし、これらは「AI時代における標準的なセキュリティ水準」を構成しつつある。MDDR 2025によれば、アイデンティティ攻撃の97%超はパスワードスプレー又はブルートフォース攻撃であり、フィッシング耐性のあるMFAはアイデンティティ侵害のリスクを99%超低減するとされる（注1）。派手なAI倫理指針よりも、地味な認証強化の方が、法的防御力は高い場合が多い。

　さらに、外部サービスやモデル提供者を利用する場合、契約がガバナンスの延長線となる。データの二次利用（学習への利用を含む。）の可否、ログの保存期間と開示手続、インシデント時の通知義務、サブプロセッサの管理監督、監査権限の範囲、モデル更新に伴う影響評価などを、法務が「仕様」として契約条項に織り込む必要がある。技術部門のセキュリティチェックリストと、法務の契約条項が噛み合っていなければ、統制は穴だらけになる。

5　雑感

　AIの脅威を語るとき、我々はどうしても「自律的に人類を攻撃するAI」や「人間を騙す高度なディープフェイク」といった、新奇でセンセーショナルな攻撃手法に目を奪われやすい。しかし、MDDR 2025が繰り返し、そして淡々と示しているのは、AIの本質的なリスクが速度と規模の増大にあり、データアクセスと意思決定の連鎖を複雑化させ、結果として責任の所在を曖昧にするという点にある（注1）。

　だからこそ、これからの法とガバナンスが担うべき中心的な役割は、抽象的な「禁止事項の列挙」ではなく、具体的で検証可能な「統制の仕組み」の構築にある。AIは速い。だが、速いものほど、強固な足場が要る。その足場を作るのは、コードだけでなく、契約と規程、そして運用という法務の領域である。

（参考）