AIハロウィン動画サイト、あなたの写真は誰の手に?

今年のハロウィンは、AIが仮装を担当します。写真を1枚アップロードするだけで、吸血鬼に変身したり、愛犬をカボチャで囲んだり、話題の「ゾンビ・ラブストーリー」の主役になったりできます。パートナーがゾンビになってしまい、あなたが銃を下ろすと、ゾンビの飛びかかりは抱擁で終わるという内容です。

しかし、アップロードする前に、その写真を誰が受け取るのかを把握しているでしょうか。

Malwarebytesは9月、同じ安価なウェブサイトキットで作られた100以上のサブスクリプションサイトについて報じました。ハロウィンが近づく中、同じ手法でAIハロウィン動画を販売するサイトが見つかりました。

調査したサイトからは、マルウェアやフィッシングは確認されませんでした。気がかりだったのは、誰が運営しているのか、アップロードされた写真の責任を誰が負うのかについて、ほとんど確認できなかった点です。

洗練されて親しみやすいが、運営者は匿名

これらのサイトは見た目がプロフェッショナルで、安心感のある言葉が並んでいます。プライバシー保護をうたい、FAQや返金ポリシーを備え、子どもの写真向けに同意チェックボックスを設けているサイトもあります。あるサイトは自らを「TikTokや映画スタジオとは無関係の独立したツール」と称しています。

一方で、誰が運営しているのかは明かされていません。調査したサイトでは、会社名、住所、運営者名は見当たらず、サイト自身のドメインのサポート用メールアドレスがあるだけでした。

写真はどこへ行くのか

これらのサイトは、あなた自身、パートナー、友人、ペット、そして保護者の許可がある場合は子どもについて、鮮明で明るい写真を求めます。

調査したサイトは、動画の生成を外部のAIプロバイダーに頼っていると説明しています。つまり、写真を集めるウェブサイトと、それを処理するプロバイダーの両方を信頼することになります。

写真をアップロードする際は、どこであっても、誰がアクセスでき、どのように使われ得るのかを確認してください。詐欺師は他人の顔を使って偽の性的画像を作り、公開しない代わりに金銭を要求することがあります。Malwarebytesの「Face Value」レポートでは、回答者の10%が、AIで生成された露骨なコンテンツを公開すると脅されたことがあると答えています。今回のハロウィンサイトを通じてそうした被害が起きた証拠は見つかっていませんが、写真の共有先には慎重になるべき理由といえます。

各サイトは、アップロードした写真を数日以内に削除すると約束しています。削除されていないという証拠もありません。ただ、その約束を独自に検証することはできませんでした。運営者が特定できなければ、写真の取り扱いや削除依頼への対応について誰が責任を負うのかを突き止めるのは、より難しくなります。

Googleログインでは、写真を扱う全員は分からない

これらのサイトは本物のGoogleログイン画面を使っているため、パスワードを入力する相手は動画サイトではなくGoogleです。しかし、Googleでログインできるからといって、Googleがそのサービスを推奨しているわけでも、プライバシーに関する約束を保証しているわけでもありません。

Googleのログイン画面でアプリ名をクリックすると、デベロッパー情報が表示されます。調査したあるサイトでは、連絡先として記載されていたのはGmailアドレスだけでした。9月に取り上げたサイトでも同様でした。Gmailアドレスだけで不正を断定できるわけではありませんが、運営者を特定する手がかりにはほとんどなりません。

別のサイトでは、Googleの画面に「neon.techに移動してログイン」と表示されました。Neonは正規のデータベース企業であり、認証サービスのプロバイダーでもあります。ただ、その名前が表示されたからといって、Neonがこのハロウィン動画サイトを運営している、あるいは支持しているわけではありません。

ログインプロバイダーは、サイトに代わってGoogleログインを処理することがあります。設定によっては、Googleが動画サイトの名前ではなくプロバイダーのドメインを表示する場合があります。今回のケースでは、ログイン画面を見ても、誰がこのハロウィンサービスを運営しているのかは分かりませんでした。

キットで作り、次の流行に使い回す

こうしたサイトは、必ずしもチームや数か月の作業を必要としません。9月に取り上げた249ドルのウェブサイトキットを使っているサイトもあり、このキットは「1時間でAIプロダクトを公開できる」とうたっています。あるハロウィンサイトでは、運営者がキットのサンプルコンテンツすら消していませんでした。ページ内には、テンプレートの「デモサイト」であることを示す注記が隠れており、「your-app-name」のようなプレースホルダーのリンクも残っていました。

別のサイトのコードには、AIラップ・ダンス動画メーカーの名残がありました。「ホテルのロビー」のステージ、レコーディングスタジオ、AIが書いたラップなどです。この名残から、このサイトは他のAI動画サービスにも使われることを想定したコードを利用しているとみられます。

ウェブサイトキットを使うこと自体は怪しいことではありません。ただ、洗練されたページは短時間で組み立てられるため、見た目からは、写真を扱う事業の実態はほとんど分かりません。

支払いも慌てずに

あるサイトでは、15秒のゾンビ動画1本が9.99ドルでした。料金ページでは大容量パックへ誘導しており、1本あたりの表示価格は2.99ドルまで下がります。ただし、この最安価格にするには、約66本のゾンビ動画に相当するクレジットを199ドルで購入する必要がありました。月額プランや年額プランもあり、年間で最大600ドルかかります。

また、あるサイトでは、カウントダウン形式のオファー、ブラウザのタブでのリマインダー、その日に動画を作った人数の表示などで、購入を促していました。

急ぐ必要はありません。プライバシーポリシーと同じように、支払い条件も丁寧に確認してください。サイト自身も、AIは顔を変えてしまう可能性があり、動画があまり本人に似ないことがあると注意しています。確認したポリシーでは、動画の生成に失敗した場合はクレジットが返還されます。しかし、単に仕上がりが気に入らないだけなら、やり直すたびにクレジットを消費します。

サブスクリプションは解約するまで更新され、年額プランは一括で請求されます。使い切る前に失効するクレジットもあります。

写真をアップロードする前の確認事項

どのツールやプラットフォームを選ぶにしても、データ、写真、支払い情報の扱われ方に納得できるかを確かめてください。

• 運営者を確認する: 運営者名と明確な連絡先があるかを調べます。写真に対して誰が責任を負うのか分からない場合は、別のサービスを検討してください。
• 写真の行き先を確認する: プライバシーポリシーで、外部のAIプロバイダー、保存期間、アップロードした写真がAIの学習に使われ得るかを確認します。
• 削除の手続きがあるか確認する: 削除の依頼方法と、外部プロバイダーが保持するコピーの扱いがポリシーに書かれているかを確かめます。
• 子どもの写真は特に慎重に: 保護者の同意チェックボックスがあっても、サービスが子どもをどう守るのかは分かりません。他人の写真は、本人の許可を得た場合に限ってアップロードしてください。
• Googleのログイン画面を読む: デベロッパー情報と、要求される権限を確認します。Googleでログインできるからといって、サービス自体の確認が不要になるわけではありません。
• カウントダウンは無視し、支払い条件を確認する: 総額、クレジットの有効期限、購入がサブスクリプションの開始になるかどうかを、時間をかけて把握してください。
• 後でGoogleとの連携を見直す: 使わなくなったサービスは、Googleアカウントのサードパーティ接続から削除しましょう。ただし、これでサブスクリプションが解約されたり、サービス側にある写真やその他のデータが削除されたりするわけではありません。

Malwarebytesができること

ウェブサイトに不安がある場合は、Malwarebytes Scam Guardが評価の助けになります。Malwarebytes Browser Guardは、既知の詐欺サイトや悪意のあるサイトのブロックを支援します。

ただし、これらのツールでは、サービスが約束する写真削除が実際に行われるかどうかは確認できません。アップロードの前に、誰が運営しているのか、プライバシー条件がどうなっているのかを、ご自身で確認してください。