AIと機械学習
あらゆるものを接続し、何が起こるかを見届けよう
「リーサル・トライフェクタ」――プライベートデータへのアクセス、信頼できないコンテンツへの露出、そして外部との通信経路という3つの要素が揃うリスク――を回避するのは、AIエージェントを扱う上でそれだけでも十分に困難です。
しかし、GmailやSlackといったサードパーティサービスとの連携である「コネクタ」の利用は、防御的なデューデリジェンスについて筋道立てて考えることを極めて難しくするほど、懸念の範囲を拡大させています。
AIセキュリティ企業のPromptArmorは最近、OpenAIのChatGPTとAnthropicのClaudeがコネクタとどのように連携しているかを調査しました。その結果は、安心できるものではありませんでした。
PromptArmorの共同創業者であるShankar Krishnan氏はThe Registerへの電子メールで、企業によるコネクタの導入とコネクタ自体の変化の速さが、コネクタのエコシステムに懸念が集中する要因になったと語りました。
コネクタは、その基盤となっているMCPサーバーが抱えるリスクの一部を共有しています。「コネクタに関して言えば、リスクの大半はツールの種類、それが何をできるか、データがどこへ送られるか、そしてそのデータで何が行われるかに関わるものです」とKrishnan氏は述べています。
約1年前に導入されたコネクタ(Claude向け、またはChatGPT向け)は、最近多くの変化を経てきました。PromptArmorによれば、2,517個のコネクタのうち931個(37パーセント)が、5月中旬から6月末までの6週間で変更されたといいます。つまり、公開されている機能に基づくセキュリティ上の前提は、もはや有効ではない可能性があるのです。
PromptArmorは、既に稼働しているコネクタに1,686個の新しいツールが追加され、AIモデルがユーザーデータを操作しサードパーティサービスと連携する新たな手段が生まれていることを発見しました。
また、1,127個のツールの説明文が書き換えられており、AIモデルがツールを呼び出すかどうか、いつ呼び出すかの判断に影響を与えかねないことも分かりました。
さらに、他にも様々な変更があり、そのいずれもがデータセキュリティ上の懸念を高めたり、ガバナンス上の前提を無効にしたりする可能性を秘めています。
PromptArmorはDropboxのコネクタを一例として挙げています。調査開始時点では8個のツールを公開していましたが、調査終了時にはその数が24個に増加していました。書き込み可能なツールは3個から10個に増え、破壊的な操作が可能なツールはゼロから4個になりました。権限のスコープも変更され、モデル向けの注入指示も追加されていたといいます。
それだけでも懸念材料として十分ですが、コネクタは何十ものトラッキングスクリプトを実行する侵入的なウェブサイトのようにも振る舞います。コネクタは往々にして、データを追加のAIサービスへ送信しているのです。
PromptArmorは、487個のClaude用コネクタが使用する合計7,517個のツールすべてを評価した結果、そのうち189個――つまりおよそ5個に2個の割合――が追加のAIサービスを呼び出す可能性が高いことを発見しました。
「一例を挙げると、あなたのClaudeエージェントがZoomのコネクタツールを起動して自然言語でミーティングを検索し、機密データを含むクエリを渡した場合、Zoom AIはそのデータを、応答を生成するために利用する8つの異なるモデルファミリーのいずれかに向けて、10社あるAIサブプロセッサーのどれにでも送信する可能性があります」と同セキュリティ企業は述べています。
「問題は、コネクタの承認を行うほとんどのチームが、そのコネクタ自体を評価・検討するにとどまり、ベンダーがさらに多くのAIサービスを呼び出していたり、新たなサブプロセッサーや利用規約を追加していたりすることに気づいていない点です」とKrishnan氏は説明します。「つまり、AIリスクを懸念してClaudeを評価した人物であっても、そのコネクタが外部で呼び出しているAIサービスの存在には気づいていない可能性があるのです」
Anthropicのコネクタに関するドキュメントでも、自社のセキュリティ管理体制が必ずしもサードパーティによるデータ処理までをカバーするわけではないことを認めています。
「連携先のサービスは、それぞれ独自のインフラ上で、独自の利用規約のもとにデータを処理します。処理が行われる場所は米国外である場合もあります」と同社は説明しています。「Claudeの推論処理がどこで実行されるかを制御する設定――たとえばEnterpriseプランの米国限定推論設定――があっても、サードパーティのサービスがどこで運用されているかは変わりません」
Krishnan氏は、コネクタが攻撃対象領域を大幅に拡大させていると指摘します。
「エージェントに新たな機密データ、新たな信頼できないデータ、そして新たな機密性の高い操作をもたらすことで、攻撃による被害範囲は爆発的に広がります」と同氏は述べています。「私たちは最近、Codexに存在するリスクを指摘しました。そこでは、メールというたった一つのコネクタであっても、機密データと信頼できないデータの組み合わせによって、法務・財務関連のやり取りが外部に流出しかねない状態になっていました」 ®
