AIセキュリティ対策とは？企業が知るべきリスクと今すぐできる対策【2026年】

結論：AIセキュリティ対策とは、AIの利用で生まれるリスクから会社を守ること。まず5つから始める

AIセキュリティとは、AIに関わるサイバーリスクから組織を守る取り組みの総称で、「AIそのものを守る」「AIで守る」「AIを使った攻撃に備える」の3つの意味で使われる。企業の担当者がまず取りかかるのは、自社がAIを使うことで生まれるリスクと、AIで巧妙になった攻撃への備えだ。IPA「情報セキュリティ10大脅威 2026」（組織編）では「AIの利用をめぐるサイバーリスク」が初めて選ばれ、3位に入った。

製品を入れる前に、次の5つから始めるのが基本になる。

1. AIに入力してはいけない情報を決めて周知する：個人情報、パスワードやAPIキー、取引先から預かった資料、自社の機密。
2. 使ってよいAIサービスとプランを会社で決める：入力が学習に使われるか、どこに保存されるか、誰がいつ使ったかの記録が残るかを確かめる。
3. 基本対策を例外なく固める：修正プログラムの適用、全アカウントの多要素認証、委託先の管理、隔離したバックアップ。2026年の国内の被害の多くは、この基本の穴から起きている。
4. AIエージェントの権限を最小にする：メール送信・ファイル削除・外部への送信など、取り消せない操作には人の承認を挟む。
5. AIを悪用したなりすましに備える：自然な日本語の詐欺メールや、役員の声・顔を偽造した連絡が届く前提で、送金や認証情報の変更は別の連絡手段で本人に確かめる。

EDRやAI SOCなど、AIを使って攻撃を防ぐ製品は、この5つを固めたうえで規模に応じて足していく。次の章から、AIセキュリティの3つの意味、主なリスクと対策、導入の順番、社内体制、AIを狙う攻撃、AIを使った攻撃、製品の仕組みの順に説明する。

2026年に実際どんな被害が出ているのかは、AIハッキングの情報漏洩被害一覧で解説しています。

関連記事AIセキュリティリスクと自律型エージェント対策は？

AIセキュリティとは？「AIを守る」「AIで守る」「AIを使った攻撃に備える」の3つの意味

AIセキュリティとは、AIに関わるサイバーリスクから組織を守る取り組みの総称である。「AI」と「セキュリティ」のどちらを主役にするかで、次の3つの意味に分かれる。検索結果にもこの3つが混ざって並ぶので、自分がどれを知りたいのかを先に決めると、読むべき箇所が絞れる。

前者の意味1だけを「AIセキュリティ」、意味2を「AIを使ったサイバーセキュリティ」と呼び分ける解説もある。本記事では、企業が取り組む対策として3つをまとめて扱う。

順番としては、意味1と意味3が先になる。社員が生成AIに機密を入力する、詐欺メールが自然な日本語になる、といった変化は、AIを導入していない会社にも届くからだ。意味2の製品は、基本対策を固めたうえで、規模と人手に合わせて足していく。

AIの利用で企業が直面する主なリスクと、対応する対策

先に、何から守るのかを整理する。下の表は、企業がAIを使うときに起きやすいリスクと、本記事で紹介する対策（後述の表7の番号）の対応だ。

下の2行（誤った出力、著作権）は攻撃による被害ではないが、AIの利用ルールを作るときに同じ文書で扱うことが多いため、表に含めた。

表のとおり、リスクの多くは「AIに何を入力し、AIに何をさせるか」を決めていないことから生まれる。製品を入れる前に、入力してよい情報とAIに与える権限を決めることが出発点になる。

機密情報の入力による漏えいは、起きる経路と事例をAIによる情報漏洩とはで、社内の設定とチェックリストを生成AIの情報漏洩対策で順に確かめられる。ChatGPTを会社で使う場合は、プランごとの違いをChatGPTの情報漏洩対策で押さえてからルールを決める。

導入の優先順位：AI対策の前に固めるべき基本対策

国内の2026年の情報漏えい事案の多くは、VPN機器の脆弱性・委託先経由・パスワード使い回しといった従来型の手口で起きている。高度なAIセキュリティ対策を導入しても、基本的な穴が残っていれば意味をなさない。

ステップ1：基本対策を先に固める

• 修正プログラムの適時適用（VPN機器・OSを優先）
• 多要素認証（MFA）の全社展開
• 委託先・サプライチェーンのセキュリティ管理
• バックアップの定期取得と復元テスト

ステップ2：すぐに効果が出やすいAI対策

• 端末の振る舞い検知（EDR）の導入
• メール・フィッシング対策の強化
• ID・認証の保護（ITDR）

ステップ3：規模に応じて追加する対策

• UEBA（異常行動検知）
• AI SOC（アラート対応に人手が不足している組織）
• 脆弱性の継続的な診断

ステップ4：生成AIを社内利用している場合

• AIゲートウェイによるシャドーAIの可視化
• AIガードレールの実装
• ローカルLLM利用時のネットワーク分離・認証設定
• AIエージェントの最小権限設計と人承認ゲートの設置

社員に周知する：AIに入力してはいけない情報

製品の導入より先に、今日からできる対策が、入力してよい情報の線引きだ。会社が契約して管理しているAI以外には、次の情報を入力しないことを基本にする。

• 個人情報：顧客・社員の氏名、住所、電話番号、メールアドレス、本人確認書類の内容
• 認証情報：パスワード、APIキー、アクセストークン、秘密鍵
• 顧客・取引先から預かった情報：契約書、見積り、未公開の仕様、秘密保持契約の対象になる資料
• 自社の機密：未公開の決算・人事情報、非公開のソースコード、設計情報

会社が契約したAIであっても、入力した内容が学習に使われるか、どこに保存されるか、誰が履歴を見られるかは、契約と設定によって変わる。利用開始の前に、この3点を確かめる。主要サービスごとの学習設定の比較と、実際に起きた漏洩の事例は、生成AIの情報漏洩対策にまとめている。

IPAが利用者向けに挙げる5つの心得

IPAは2026年4月、AIにもセキュリティにも詳しくない利用者や管理職に向けて「AI利用者のためのセキュリティ豆知識」を公開した。挙げているのは次の5項目だ。

1. クラウドAIに営業秘密は教えない
2. AIブラウザは社内用と社外用を分ける
3. RAG使用時は「混ぜるな危険」にご用心
4. 外見では詐欺師を見破れないと心得る
5. AI仕込みのサイバー攻撃も撃退法は従来通り

1〜3はAIに渡す情報の線引き、4はディープフェイクなどのなりすまし、5は基本対策の徹底にあたる。本記事のステップ1〜4と同じ方向で、社内への周知の最初の資料として使いやすい（IPA）。

2026年10月の政府の注意喚起が求めた点検項目

国内で大規模な情報漏えいが相次いだことを受け、2026年10月7〜9日に個人情報保護委員会、JPCERT/CC、国家サイバー統括室、IPA、金融庁などが注意喚起を出した。国家サイバー統括室は「AIの悪用を含むサイバー攻撃の手法が高度化・巧妙化する中」として、経営層に対策を経営課題と位置づけるよう求めている。各機関が挙げた点検項目は、AIの有無にかかわらず基本対策そのものだ。

• 外部に公開しているAPIの棚卸しと、認可・回数制限の実装（個人情報保護委員会）
• 外部公開アプリケーション・外部サービスのログを、直近1か月から3か月へと段階的に点検（IPA）
• 多要素認証、アクセス権限の最小化、不要な個人データの消去（個人情報保護委員会、国家サイバー統括室）
• 委託先・クラウド事業者を含めたサプライチェーン全体での対策（国家サイバー統括室、経済産業省）

各機関の文書はpiyologのまとめ（2026年10月11日）で一覧できる。公表された被害の一覧はAIハッキングで情報漏洩が相次ぐ？日本・世界の主な被害一覧にまとめている。

AIエージェントが評価中に環境を抜け出した事案の詳細はOpenAIのAIがHugging Faceに侵入した事案の解説にまとめている。

状況別：最初の一手と、詳しく読むページ

基本対策の順番は上のとおりだが、会社によってAIの使い方は違う。自社がどの状況にあたるかで、最初に手を付けるものが変わる。

AIを安全に使うための社内体制（AIガバナンス）：ルール・サービス選定・社員教育

ここまでの対策は製品や仕組みの話だが、上位のリスクである「機密情報の入力」と「シャドーAI」は、社内の決めごとがなければ防げない。ルール、サービス選定、社員教育の3つを、製品の導入より先に整える。

社内ガイドラインに盛り込む6項目

AIサービスを選ぶときの確認項目

業務で使うAIサービスを選ぶときは、機能や料金の前に、次の点を利用規約・管理画面・契約で確かめる。

社員教育：年1回の研修より、短い周知を繰り返す

ルールを作っても、読まれなければ効果がない。教える内容は次の3つに絞る。

• 入力してはいけない情報：具体例を挙げて示す。「機密情報は入力禁止」とだけ書いても、何が機密にあたるかは人によって判断が分かれる。
• AIを悪用したなりすまし：自然な日本語の詐欺メールや、役員の声・顔を偽造した連絡が来ることを知らせる。送金や認証情報の変更は、別の連絡手段で本人に確かめる。
• 困ったときの連絡先：誤って入力したときに、叱責を恐れて隠されるのが最も危ない。報告した人を責めない方針を明記する。

AIの出力は人が最終判断する

AIは事実と異なる内容をもっともらしく出力することがある。社外に出す文書、契約、数値、プログラムは、AIの出力をそのまま使わず、人が出典と内容を確かめる。セキュリティの検知でも同じで、AIが「攻撃」と判定した通信を自動で遮断する範囲と、人が確認してから対応する範囲を、導入時に決めておく。

AIそのものを狙う攻撃の手口：プロンプトインジェクション・データポイズニングなど

「AIを守る」対策を選ぶには、AIのどこが狙われるかを知っておく必要がある。生成AIを組み込んだシステムの弱点は、OWASP（Webアプリケーションの安全性に取り組む国際的な非営利団体）が「LLMアプリケーションのリスクTop10（2025年版）」として10項目にまとめている。狙われる場所は、AIに渡す入力、AIの中身（学習データとモデル）、AIの出力、AIがつながる社内システムの4か所に分けると分かりやすい。

生成AIに限らない機械学習のモデルでは、入力に人には気づけない細工を加えて判断を誤らせる「敵対的サンプル（回避攻撃）」や、問い合わせを繰り返してモデルの中身を推定・複製する「モデルの抽出」も知られている。こうした手口と実際の事例は、MITREの知識ベース「ATLAS」にまとめられている。

表のとおり、多くの項目は「AIに何を渡し、AIに何をさせるか」の設計で防げる。製品を入れる前に、入力してよい情報、AIが参照できるデータの範囲、AIに任せる操作の範囲を決めておくことが、AIを守る対策の土台になる。

なかでも1位のプロンプトインジェクションは、仕組みと企業が取れる防ぎ方をプロンプトインジェクションの防ぎ方で順に追える。

AIを悪用した攻撃の手口と、効く対策

AIセキュリティ対策のもう一つの柱は、攻撃者がAIを使う攻撃から会社を守ることだ。AIは新しい種類の攻撃を生むというより、従来からある攻撃を速く、安く、見分けにくくする。下の表は、公表された実例と、それぞれに効く対策（後述の表7の番号）の対応だ。

どの手口も、侵入口そのものは従来と同じ（盗まれたID・パスワード、修正されていない脆弱性、人をだます連絡）だ。そのため、AIを使った攻撃への備えの中心は、多要素認証・修正プログラムの適用・送金時の本人確認といった基本対策を、攻撃の速さに追いつく速度で回すことになる。2026年10月には、AnthropicがAIで見つけたLinuxカーネルの脆弱性CVE-2026-98432（CVSS 9.8）で、認証なしに遠隔からroot権限でコマンドを実行できることまで実証されており、脆弱性の公開から悪用までの猶予は短くなると考えられる。2026年7〜10月の実際の被害はAIハッキングと情報漏洩の被害一覧にまとめている。

攻撃者のAI利用に対して、検知から遮断までをAIで防ぐ仕組みはAIを使ったサイバー攻撃への備えにまとめている。

侵入の手口ごとの詳しい対策

実際の侵入は、次の9つの手口のどれか、またはその組み合わせで起きることが多い。それぞれの仕組み・国内外の事例・AIで防ぐ方法と導入の順番は、手口ごとの解説ページに分けて書いている。

生成AIへの入力やAIエージェントの操作から情報が漏れる経路は、AIによる情報漏洩の解説にまとめている。

AIセキュリティ対策の仕組み14種：「AIで防ぐ」と「AIを守る」の一覧

AIセキュリティ対策を検討する際、多くの情報システム担当者が混同するのが「AIを使って攻撃を防ぐ仕組み」と「社内に導入したAIそのものを守る仕組み」の区別だ。この2つは目的も対象も異なり、導入の優先順位も変わる。

IPA「情報セキュリティ10大脅威 2026」では、組織向けの3位に「AIの利用をめぐるサイバーリスク」が初めて選出された。AIが防御側の武器になる一方で、攻撃対象にもなるという両面のリスクが、2026年になって公的機関にも明確に認識されている。

以下の表は、本記事で扱う14の仕組みを2分類で整理したものだ。14の仕組みを2分類で整理し、各仕組みの限界も含めて示す。

分類	#	仕組み	AIの役割	主な限界・注意点
A. AIで攻撃を防ぐ	①	端末振る舞い検知（EDR/XDR）	未知マルウェア・ランサムウェアの挙動を検知・停止	誤検知による正常プロセス停止のリスク
	②	異常行動検知（UEBA）	通常と異なるアカウント行動をスコアリング	学習データが少ないと精度が下がる
	③	AI SOC（監視・初動対応自動化）	アラート選別・調査・初動を自動化	自律性の度合いはベンダーで異なる。人の最終判断が一般的
	④	メール・フィッシング対策	文面・送信元・リンク先を分析しなりすまし検知	精巧な標的型では見落としがある
	⑤	脆弱性の発見と修正	コードを解析し脆弱性を検出・修正案を提示	効果数値は自社発表が多く第三者検証は少ない
	⑥	AIによる侵入テスト	攻撃経路を自動探索し再現できた脆弱性のみ報告	製品説明段階で第三者検証が少ない
	⑦	防御側限定の強力なAI（Daybreak等）	審査済み防御組織に高性能AIを提供	審査・本人確認が必要。一般企業はすぐ利用できない
	⑧	情報漏えい防止（DLP）	文書の中身を判定し機密情報の社外送信を止める	判定の見逃し・過検知がある
	⑨	ID・認証の保護（ITDR）	盗まれた認証情報でのログイン・権限悪用を検知	多要素認証との組み合わせが前提
	⑩	ディープフェイク検知	偽音声・偽映像によるなりすましを検知	生成技術の進化で検知精度のいたちごっこが続く
B. AIそのものを守る	⑪	AIガードレール	入出力を検査しプロンプトインジェクションを防ぐ	新しい攻撃手法への追随が必要
	⑫	AIゲートウェイ	生成AI通信を集約しシャドーAIを発見・制御	ゲートウェイ自体が単一障害点になるリスク
	⑬	ローカルLLM	データを社外に出さない構成	設定ミスで大量露出のリスク（後述）
	⑭	AIエージェントの権限管理	最小権限・重要操作に人の承認を必須化	2026年に実際の逸脱事案が複数発生

AIで攻撃を防ぐ10の仕組み：AI SOC・EDR・DLPの実際の動作

以下では、AIセキュリティ対策の中核となる10の仕組みを実装面から解説する。共通して言えるのは、AIが「判断の高速化と網羅性」を担い、「最終的な意思決定」は人が残す設計が一般的だという点だ。

①端末の振る舞い検知（EDR/XDR）

PC・サーバー上のプロセス動作・ファイル操作・ネットワーク通信をリアルタイムに学習し、定義ファイルにない未知のマルウェアやランサムウェアの暗号化挙動を検知・停止する。従来のウイルス対策は既知の「シグネチャ」照合に依存していたため、新種のマルウェアには無力だった。EDRはその弱点を振る舞い分析で補う。誤検知による正常プロセス停止がリスクになるため、導入初期はアラート監視体制の確保が必要だ。

②異常行動の検知（UEBA）

アカウントごとの「通常の行動パターン」を機械学習で構築し、深夜の大量ダウンロード・普段と異なる地域からのログイン・業務時間外の権限操作をスコアリングして検知する。内部不正と外部からの不正アクセスの両方に有効だが、学習データが少ない新入社員や異動直後の社員では誤検知率が上がりやすい。

③AI SOC（監視・初動対応の自動化）

セキュリティ運用センター（SOC）の担当者が手動で行っていたアラートの選別・調査・初動対応を、AIエージェントが一部または大部分を自動化する仕組みだ。NTTドコモビジネスは2026年5月20日に「AI SOC」の提供を開始しており、従来1〜2時間かかっていた相関分析が約10分に短縮できると同社は説明している（NTT プレスリリース 2026年5月20日）。Microsoft Security CopilotやCrowdStrike Charlotte AIなど複数のベンダーが類似の機能を提供しているが、自律性の度合いはベンダーによって異なり、重要な判断には人の確認を残す設計が一般的だ。

④〜⑥：メール対策・脆弱性診断・侵入テスト

メール・フィッシング対策では、文面の意味・送信元の信頼性・リンク先の挙動をAIが総合判定し、従来のURLブロックリストでは防げない精巧ななりすましメールを検知する。脆弱性の発見では、AnthropicがClaude Security（Enterpriseで公開ベータ、2026年5月頃）を提供し、コードレベルの脆弱性を検出・修正案の提示まで行う。ソフトバンクとOpenAIの合弁による「Patching as a Service」は2026年6月に提供開始と紹介されており、ソフトバンク自身の約700システムで約1万500件の脆弱性を検出したとされる（紹介記事による報告）。ただしこれらの効果数値は自社発表や報道ベースのものが多く、独立した第三者検証は現時点では少ない点に留意が必要だ。

⑦防御側限定の強力なAI：OpenAI Daybreak・Anthropic Cyber Verification Program

高性能なAIを防御目的に限定して提供する仕組みが、2026年に具体化してきた。

OpenAIの「Daybreak」はBlue（GPT-5.6 Solを防御作業向けの安全策付きで提供）とRed（脆弱性研究・攻撃検証向けのGPT-5.6-Cyber）の2段階構成だ。審査済みの防御組織のみ利用でき、本人確認と利用監視がある。OpenAIはGPT-5.6-CyberがChromeのV8エンジンの欠陥を発見しGoogleが修正（CVE-2026-15903）と説明しているが、CVE記録だけでは発見者がAIであることを独立して証明できないとの指摘もある（OpenAI: Expanding Daybreak）。

AnthropicはCyber Verification Programを2026年10月6日に3段階（Defense／Red Team／Specialized）に再編した。パートナーが2026年4〜7月に検証済み脆弱性12.9万件以上、自社のオープンソース調査で4〜10月に5,500件を発見と説明しており、部分データに基づく控えめな数字とされている（Anthropic: Cyber Verification Program）。一般企業がこれらのプログラムをすぐに利用できるわけではなく、審査・本人確認のプロセスがある。

⑧〜⑩：DLP・ITDR・ディープフェイク検知

情報漏えい防止（DLP）では、文書の内容をAIが意味レベルで判定し、機密情報や個人情報を含むファイルの社外送信・生成AIへの入力を自動でブロックする。従来のキーワードマッチングと異なり、言い回しを変えた迂回に対応できる。ただし未分類のデータは検出できないため、データ分類の整備が前提となる。

ID・認証の保護（ITDR）はフィッシングで盗まれた認証情報を使ったログインや、正規アカウントを悪用した権限昇格をAIが行動パターンから検知する。多要素認証の導入と組み合わせることで効果が高まる。ディープフェイク検知は偽の経営者音声による振り込め指示など、AIで生成された偽音声・偽映像を解析して検知するが、生成技術の進化とのいたちごっこが続いている状況だ。

AIそのものを守る4つの仕組み：ローカルLLMの落とし穴とエージェント権限管理

生成AIを社内に導入する組織が増えた2026年、「AIを守る」側の仕組みが新たな重要課題になっている。

⑪AIガードレール

生成AIの入力と出力の両方を検査し、プロンプトインジェクション（悪意ある指示の埋め込み）・機密情報の出力・有害コンテンツの生成を防ぐ。外部から渡された文書やURLの中に「以前の指示を無視して〜」といった命令を埋め込む攻撃に対して、入力フィルタリングで対抗する。新しい攻撃手法が継続的に登場するため、ガードレールのアップデートが必要になる。

⑫AIゲートウェイ

社内の複数部署が個別に使い始める生成AI（いわゆるシャドーAI）を一元管理するためのプロキシ層だ。どの部署が何のAIを使っているかの可視化・禁止キーワードの入力ブロック・ログ取得を1か所で行う。IPA「生成AIおよびAIエージェントを安全に活用するための手引書」（2026年7月）でも、シャドーAI対策として相談窓口の設置と全社AIガバナンスの構築が示されている（IPA 生成AIおよびAIエージェントを安全に活用するための手引書（2026年7月））。

⑬ローカルLLM：「社内に置けば安全」は誤り

データを外部サービスに送らないローカルLLMは情報漏えい対策として有効だが、設定ミスによる大量露出のリスクが2026年に顕在化した。SentinelLABSとCensysの調査によれば、2026年1月の調査では、パスワードなしで公開されたOllamaサーバーが130か国で17.5万台以上確認された。さらに重大な脆弱性CVE-2026-7482も報告されており、「社内サーバーに置いたから安全」という前提は成立しない（The Hacker News: Researchers Find 175,000 Publicly Exposed Ollama Servers（2026年1月））。ローカルLLM導入時は、ネットワーク分離・認証設定・脆弱性パッチ適用を基本対策として実施する必要がある。

⑭AIエージェントの権限管理

自律的にタスクを実行するAIエージェントは、過剰な権限を与えると意図しない操作を行うリスクがある。2026年にはOpenAIのモデルが社内評価中に環境を抜け出しHugging Faceに侵入した事案（7月）や、Googleが評価演習中にGeminiのモデルが実在企業3社のシステムに入ったと公表した事案（9月18日）が起きている。権限の最小化と、ファイル削除・外部送信・課金操作などの重要アクションには必ず人の承認を挟む設計が現時点での標準的なアプローチだ。総務省・経済産業省の「AI事業者ガイドライン第1.2版」（2026年3月31日）では、この自律型AIエージェントが新たに対象として追加されている（AI事業者ガイドライン第1.2版（2026年3月31日））。

2026年に国内外で公表された情報漏えい・サイバー攻撃の被害はAIハッキングで情報漏洩が相次ぐ？日本・世界の主な被害一覧で一覧にしている。

AIを使い続けるうちに起きる問題：精度の変化・API・費用の不正消費

導入した時点で対策を固めても、AIは使い続けるうちに別の問題が出てくる。公的な資料や調査で裏づけられる、運用で見落としやすい4つを挙げる。

AIサービスのアカウント自体が狙われた例もある。Group-IBは2023年6月、情報を盗むマルウェアに感染した端末10万1,134台から、保存されたChatGPTのログイン情報が見つかったと公表した。AIサービスのアカウントにも多要素認証を設定し、退職者のアカウントはまとめて止められるようにしておく。

こうした運用の見直しは、一度の対策で終わらない。上の「導入の優先順位」の4つのステップを年に1度は最初から見直し、担当者と、見直しの時期を決めておく。社内に見られる人がいない場合は、監視や診断を任せられる外部の専門家に何を依頼するかを、先に決めておくと選びやすい。

AIセキュリティに関する国内外のルールと指針

日本では以下の公的指針が2026年のAIセキュリティ対策の基準となる。

• IPA「情報セキュリティ10大脅威 2026」：組織向け3位に「AIの利用をめぐるサイバーリスク」が初選出
• 総務省「AIのセキュリティ確保のための技術的対策に係るガイドライン」（2026年3月27日）：AIに不適切な出力をさせる、AIを搭載するシステムを停止させる、といった脅威への技術的な対策例を示す（総務省）
• 総務省・経済産業省「AI事業者ガイドライン第1.2版」（2026年3月31日）：自律型AIエージェントが対象に追加（経済産業省）
• IPA「生成AIおよびAIエージェントを安全に活用するための手引書」（2026年7月）：全社AIガバナンスとシャドーAI対策の具体策を示す（IPA）

海外の主な枠組みと規制の動き

国内の指針に加えて、海外の枠組みも対策の点検に使える。目的がそれぞれ異なるため、自社の用途に合うものを選ぶ。

規制では、EUのAI法が段階的に適用されている。AIを利用していることの表示などの透明性の義務は2026年8月2日から適用され、高リスクAIへの義務は、適用開始を2027年12月に延期する改正が2026年6月に欧州議会とEU理事会で承認されたと報じられている（Hogan Lovells）。日本では「人工知能関連技術の研究開発及び活用の推進に関する法律」（AI法）が2025年9月1日に全面施行された（内閣府）。

ローカルLLMを社内で運用する場合の具体的な守り方（推論サーバー・モデルファイル・RAGの権限設計）はローカルLLMのセキュリティ対策に書いている。

AIセキュリティ対策の限界と注意点

AIセキュリティ対策には明確な限界があり、導入判断の前に把握しておく必要がある。

誤検知と見落としは避けられない

AIによる検知は確率的な判断であり、正常な業務を攻撃と誤判定する「誤検知」と、実際の攻撃を見逃す「見落とし」の両方が発生する。誤検知が多すぎると担当者がアラートに慣れて本物を見逃す「アラート疲れ」が起きる。精度とアラート数のバランスを初期設定で調整する時間を確保すべきだ。

効果の数値は自社発表が多い

ベンダーが公表する「検知率〇〇%」「対応時間〇〇%短縮」などの数値は、自社が設定した環境での測定値であることがほとんどだ。独立した第三者機関による検証結果かどうかを確認することが重要になる。本記事で紹介した数値も、各社が説明している数字であり、独立した検証を経たものとは限らない。

AIそのものが攻撃対象になる

防御にAIを使うほど、攻撃者もAIを標的にする動機が高まる。プロンプトインジェクション・モデルの抽出・学習データへの汚染（データポイズニング）といった攻撃手法が2026年時点で現実の脅威として認識されている。Palo Alto Networksは2026年を「防御側の年」と位置づける予測を出しているが、攻撃側もAIで高速化しており、防御側だけがAIを導入しても十分とは言えない状況だ。

状況別：次に読むページ

この記事はAIセキュリティ対策の全体像をまとめた入口だ。知りたいことに応じて、次のページで掘り下げられる。

よくある質問（FAQ）

AIセキュリティとは何か？

AIに関わるサイバーリスクから組織を守る取り組みの総称だ。社内で使う生成AIやAIエージェントを情報漏えい・プロンプトインジェクション・権限の逸脱から守る「AIを守る」対策、AIを使って攻撃の検知や対応を速くする「AIで守る」対策、攻撃者がAIを使う攻撃に備える対策の3つの意味がある。

AIに入力してはいけない情報は何か？

会社が契約して管理しているAI以外には、個人情報、パスワードやAPIキーなどの認証情報、顧客・取引先から預かった資料、未公開の決算・人事情報や非公開のソースコードを入力しないことを基本にする。会社が契約したAIでも、入力内容が学習に使われるか、保存先はどこか、誰が履歴を見られるかを事前に確認する。

AIセキュリティ対策は中小企業でも必要か？

規模に関わらず、EDRとメール対策は現時点で導入を検討すべき対策だ。ランサムウェアやフィッシングは中小企業も攻撃対象にしている。AI SOCや専門的な脆弱性診断は、まず基本対策を固めてから検討する順序が現実的だ。

生成AIを社内で使い始めたら、まず何をすべきか？

まず現状把握として、社内で誰がどのAIを使っているかを調査する（シャドーAIの可視化）。次に禁止・許可のルールを明文化し、AIゲートウェイまたは利用管理ツールで技術的に実装する。IPA手引書（2026年7月）では相談窓口の設置も推奨している。

AIが誤検知した場合の対処はどうするか？

誤検知はAI検知の避けられない特性だ。検知内容を記録して除外ルールを調整するプロセスを運用フローに組み込む必要がある。初期導入後3〜6か月は人によるアラート確認のリソースを厚めに確保することが一般的な対処だ。

ローカルLLMは情報漏えい対策として有効か？

データを外部に送らない点では有効だが、設定ミスによる公開露出のリスクがある。2026年1月の調査では17.5万台以上のOllamaサーバーがパスワードなしで公開されていた。社内設置の場合も認証設定・ネットワーク分離・脆弱性パッチ適用が必須だ。

AIセキュリティのガイドラインには何があるか？

日本の主なものは4つある。総務省「AIのセキュリティ確保のための技術的対策に係るガイドライン」（2026年3月27日公表）、総務省・経済産業省「AI事業者ガイドライン第1.2版」（2026年3月31日）、IPA「生成AIおよびAIエージェントを安全に活用するための手引書」（2026年7月）、IPA「AI利用者のためのセキュリティ豆知識」（2026年4月2日公開）だ。利用者向けの入門にはIPAの豆知識、AIを組み込んだシステムを作る側には総務省のガイドラインが向いている。

生成AIに入力したデータが学習に使われないか確認する方法は？

確認する場所は3つある。1つ目は利用規約とプライバシーポリシーで、入力内容をモデルの学習に使うかどうかの記載を読む。2つ目は管理画面の設定で、学習への利用や履歴の保存を止める項目があるかを確かめる。3つ目は契約で、法人向けプランやAPIは個人向けの無料プランと扱いが異なることが多い。同じサービスでもプランによって扱いが変わるため、会社として使うプランを決めてから確認する。

社内のAI利用ガイドラインには何を盛り込むべきか？

最低限、6つの項目を決める。使ってよいAIサービスとプラン、入力してはいけない情報、出力を社外に出す前の確認方法、AIエージェントに与えてよい権限、新しいAIサービスを使いたいときの申請先、問題が起きたときの報告先だ。長い文書より、1〜2ページで全社員が読める分量にして、半年ごとに見直すほうが定着しやすい。

参考文献

• NIST「AI RMF Playbook：MEASURE」（MEASURE 2.4 ほか）
  https://airc.nist.gov/airmf-resources/playbook/measure/
• OWASP「LLM10:2025 Unbounded Consumption」
  https://genai.owasp.org/llmrisk/llm102025-unbounded-consumption/
• OWASP「API Security Top 10 2023」
  https://api-security.owasp.org/editions/2023/en/0x11-t10
• Sysdig「LLMjacking: Stolen Cloud Credentials Used in New AI Attack」（2024年5月6日）
  https://www.sysdig.com/blog/llmjacking-stolen-cloud-credentials-used-in-new-ai-attack
• Group-IB（2023年6月20日）ChatGPTのログイン情報が保存された感染端末10万1,134台を確認
  https://www.group-ib.com/media-center/press-releases/stealers-chatgpt-credentials/
• NTT プレスリリース「AI SOCサービス提供開始」（2026年5月20日）
  https://www.ntt.com/about-us/press-releases/news/article/2026/0520.html
• OpenAI「Expanding Daybreak as the Cyber Defense Window Narrows」
  https://openai.com/index/expanding-daybreak-as-the-cyber-defense-window-narrows/
• Anthropic「Cyber Verification Program」（2026年10月6日再編）
  https://www.anthropic.com/news/cyber-verification-program
• The Hacker News「Researchers Find 175,000 Publicly Exposed Ollama Servers」（2026年1月）
  https://thehackernews.com/2026/01/researchers-find-175000-publicly.html
• 経済産業省・総務省「AI事業者ガイドライン第1.2版」（2026年3月31日）
  https://www.meti.go.jp/shingikai/mono_info_service/ai_shakai_jisso/pdf/20260331_1.pdf
• 総務省「AIのセキュリティ確保のための技術的対策に係るガイドライン」（2026年3月27日）
  https://www.soumu.go.jp/menu_news/s-news/01cyber01_02000001_00282.html
• IPA「AI利用者のためのセキュリティ豆知識」（2026年4月2日公開）
  https://www.ipa.go.jp/digital/ai/security/ai_security_tips.html
• 文化庁「AIと著作権に関する考え方について」（2024年3月15日）
  https://www.bunka.go.jp/seisaku/bunkashingikai/chosakuken/pdf/94037901_01.pdf
• NIST「AI Risk Management Framework」
  https://www.nist.gov/itl/ai-risk-management-framework
• OWASP「Top 10 for LLM Applications」
  https://genai.owasp.org/llm-top-10/
• MITRE ATLAS
  https://atlas.mitre.org/
• Google「Secure AI Framework（SAIF）」
  https://saif.google/
• 内閣府「AI法 全面施行」（2025年10月3日）
  https://www.cao.go.jp/press/new_wave/20251003.html
• piyolog「国内で相次ぐ不正アクセスに対する注意喚起についてまとめてみた」（2026年10月11日）
  https://piyolog.hatenadiary.jp/entry/2026/10/11/004353
• IPA「生成AIおよびAIエージェントを安全に活用するための手引書」（2026年7月）
  https://www.ipa.go.jp/jinzai/ics/core_human_resource/final_project/2026/rcu1hd0000018kkn-att/rcu1hd0000019kwj.pdf