ガバナンス・リスク管理 & 生成AIセキュリティ

AI時代の「STRIDE」再考：泥臭い現場で生き残るための脅威モデリング現場のエンジニア諸君、お疲れ様。最近はどのプロジェクトでも「AIを組み込め」という号令が飛び交っているが、正直に言って、AIを「魔法のブラックボックス」として扱っている...

エンジニア諸君、日々のお守りご苦労様だ。「うちのAIモデルはまだ発展途上だし、APIを公開しているわけでもないから関係ない」と思っているなら、今すぐその考えを捨ててほしい。君たちが苦労して構築したLLMや推論エンジンは、攻撃者にとっては「コ...

AIエージェントの「暴走」を止める：最小権限の原則を実装レベルで叩き込む「AIにSlackの投稿とGitHubのコミット権限を渡しておいた。便利だろう？」もし君が現場でこんな会話を聞いたら、即座にそのプロジェクトを止めるべきだ。LLMを外部...

プロンプトリークは「防げない」という前提で設計せよ：システムプロンプトを守るための防衛戦略エンジニア諸君、お疲れ様。最近、現場で「プロンプトインジェクション対策としてシステムプロンプトを難読化したい」という相談をよく受ける。正直に言おう。プ...

AIモデルのサプライチェーンリスク：Hugging Faceの「毒入りモデル」をどう見抜くか現場のエンジニア諸君、お疲れ様。最近はAIモデルをHugging Faceから引っ張ってきて、 pip install 一発で自社サービスに組み込む...

LLMログの「うっかり漏洩」を物理的に遮断する：実務直結・PIIマスキングの極意エンジニア諸君、今日もコードと脆弱性の海を泳いでいることと思う。さて、生成AIの導入が加速する今、我々セキュリティ担当が最も頭を抱えているのは「ログ」だ。LLM...

RAGの「権限漏洩」は致命傷：LLMにやってはいけない「全公開ドキュメント検索」エンジニア諸君、お疲れ様。今日は多くの企業がRAG（検索拡張生成）を導入する際、最も見落としがちな、そして最も攻撃者に突かれやすい「アクセス制御の継承」について...

LLM時代のセキュリティ：コンテンツモデレーションは「保険」ではなく「生命線」だ現場のエンジニア諸君、お疲れ様。今日は、生成AIをプロダクトに組み込む際に誰もが一度は通る、「出力の安全性」という厄介な壁について話そう。「うちのAIはプロンプ...

生成AIの「プライバシー漏洩」という盲点：メンバーシップ推論攻撃からモデルを守れ現場のエンジニア諸君、日々お疲れ様。最近は社内システムへのLLM導入や、独自のファインチューニングが当たり前になってきたな。だが、浮かれるのはまだ早い。セキュリ...

現場の最前線で戦うエンジニア諸君、お疲れ様。「AIを導入すれば競争力が上がる」——経営層はそう言うが、我々エンジニアにとって重要なのは、そのAIが「何を学習し、何を漏洩させる可能性があるか」という点だ。特に、LLMや画像生成モデルにおける「...