誤情報、偽情報、有害情報が蔓延する時代における信頼構築：課題と解決策

多くの組織は、従業員が既に騙されているという現実に直面している。これは顧客、投資家、そして役員にも及ぶ可能性が高い。

長年にわたり、ビデオ通話における偽のCEO、支払いを承認するクローン音声、不正な電子メールなど、ディープフェイクの影響について警告が発せられてきた。

こうした戦術自体は新しいものではないが、ここ数年で人工知能の発展により、より安価に実行できるようになり、検出が困難になり、通常のビジネスワークフローの中でより説得力のあるものになった。

この傾向は、ゼロトラスト原則が、情報へのアクセスと同様に、情報処理においても重要な意味を持つようになったことを意味する。

サイバーセキュリティの分野におけるゼロトラストの原則は、単純な前提から出発する。すなわち、ユーザー、デバイス、アプリケーション、リクエストのいずれも、デフォルトでは信頼すべきではないという前提である。

AIによる誤情報が蔓延する時代において、企業は組織内を流れる情報に対しても同様の考え方を適用する必要がある。

新たな信頼危機

従業員、顧客、投資家、そしてパートナーは、目にするもの、読むもの、耳にするものに基づいて意思決定を行います。もしこれらの情報が虚偽であったり、操作されていたり、文脈を無視して利用されていたりすれば、混乱から事業への損害へと、事態は急速に悪化する可能性があります。そのため、誤報、偽情報、悪意のある情報は、事業リスクとして扱う必要があります。

誤情報（意図せず拡散される虚偽の情報）は常に問題となってきた。特に欺瞞を目的とした偽情報は、かつてないほど大規模に拡散しやすくなっている。そして、真実の情報でありながら、しばしば意図的に文脈から切り離され、武器として利用される悪質な情報（マルインフォメーション）は、この3つの中で最も陰湿なものと言えるだろう。ライバル企業、犯罪組織、あるいは積極的なキャンペーンは、もはやネットワークに潜入しなくても大きな損害を与えることができる。組織に関係する人々や、組織に関心を持つ人々が目にするものや信じるものを形作るだけで、彼らに影響を与えることができるのだ。

企業にとって特に難しいのは、これが個人が既に直面している課題と酷似している点だ。AI生成コンテンツが溢れる環境において、人々が身を守るために身につけなければならない習慣――やり取りする前に立ち止まる、情報源を疑う、行動する前に確認する――は、組織が業務に浸透させなければならない習慣と全く同じなのである。

本質的に、信頼しようとする本能が弱点となってしまった。この問題に対処するには、単なる啓発キャンペーンにとどまらない、構造的な対応が必要となる。

検証済みの信頼性の重要性

ここで、ゼロトラストの原則が戦略となります。従来、組織はゼロトラストを、権限を制限し、適切なユーザーのみが適切なアプリケーションにアクセスできるようにすることだと考えてきました。しかし、AIが主導する情報環境においては、この原則は進化する必要があります。悪意のあるAIプログラムなどの脅威が増加するにつれ、企業はアクセスを要求しているユーザーだけに注目するだけでは不十分になりました。使用されている情報の種類、実行されているアクション、そしてそのアクションの背後にある意図が信頼できるものかどうかについても調査しなければなりません。

次のステップでは、検証や認証にとどまらず、「この情報は信頼できるか？」「この画像は本物か、それともAIが生成したものか？」「このコンテンツは改ざんされていないか？」といった疑問を投げかける必要があります。ゼロトラスト原則は、企業がこれらの疑問に答えるための枠組みを提供します。この原則は、組織に対し、行動を起こす前に検証を行い、可能な限り情報漏洩のリスクを制限し、虚偽の情報、改ざんされた情報、文脈を無視した情報が企業全体に無秩序に拡散するリスクを軽減することを義務付けています。

C2PA（Alliance for Content Origin and Trust）のような標準化団体は、この流れが向かう方向性を示しています。それは、ブラウザの鍵マークが安全な接続を示すように、コンテンツの出所と完全性がデジタルコンテンツ自体に組み込まれる未来です。つまり、企業は信頼性を検証する必要がなくなり、信頼性は情報に内在し、情報とともに伝達されるようになります。コンテンツの出所は検証プロセスに組み込まれるため、あらゆるコンテンツが、継続的な信頼性判断におけるシグナルとなるのです。

スマートエージェントの時代における信頼の構築

職場にAIエージェントが導入されるにつれ、意図を信頼する必要性はますます高まっている。これらのエージェントは、文書の閲覧、データの解釈、意思決定、行動など、人間の行動を模倣しながら、私たちと並んで働くもう一人の人間として機能するようになるだろう。しかし、人間以外の存在が機械の速度で動作することは、人間の速度での検証プロセスでは到底追いつけないという点で大きな違いがある。

これは、AIエージェントは最初からゼロトラストモデルに基づいて管理されなければならないことを意味します。エージェントは、組織内に存在する、ユーザーの承認を得ている、あるいは社内システムに接続されているという理由だけで信頼されるべきではありません。そのID、権限、動作、および出力は常に検証されなければなりません。同様に重要なのは、エージェントは最小権限、最小情報、最小機能の原則に基づいて管理され、特定のタスクに必要な最小限のアクセス、データ、および機能のみを付与される必要があるということです。

しかし、これらのエージェントは、ID管理だけでは解決できない信頼性の課題を生み出します。企業は、相手が人間なのか機械なのか、エージェントが責任を持って行動しているのか、そしてその行動が組織の価値観や規範を反映しているのかどうかを知る必要があります。事実上、企業はエージェントの行動を一貫して評価するための運用憲章を策定する必要があるでしょう。

人工知能の時代において、組織は情報、コンテンツ、意図、行動、および行為を常にリアルタイムで検証する必要がありますが、本人確認は通常、入力時点でのみ行われます。しかし、目の前の課題の規模を考えると、監査、不正の特定、必要に応じたガバナンス、および信頼チェーンの完全性の維持にはAIが不可欠となるでしょう。

ビジネスにおけるトラストエンジニアリング

成功する組織は、信頼を当然存在するものとして捉えるのではなく、構築し設計すべきものとして捉える組織である。誤情報、偽情報、悪意のある情報は、セキュリティ、回復力、リーダーシップにおいて課題を突きつけ、人工知能の登場によって、それらを無視することはさらに困難になっている。

テクノロジーが情報の作成、共有、取り扱い方法を絶えず変化させていく中で、企業はアクセシビリティに関してこれまで適用してきたのと同様の規律を、情報の真正性に関しても構築していく必要がある。これは、コンテンツの検証、意図の検証、そしてAIシステムが真に必要不可欠なことのみを実行できるように制限することを意味する。

信頼はもはやデフォルト設定ではありません。今日の職場環境においては、信頼は意識的かつ継続的なプロセスであり、情報、意図、行動、そして行為に至るまで、機械並みのスピードで構築されなければなりません。幸いなことに、ゼロトラストモデルという枠組みは既に存在します。しかし、組織がこのモデルをどのように実装し、その適用範囲を情報、意図、行動、そして行為にまで拡大していくかという点を変える必要があります。

私たちは、最高のインターネットセキュリティスイートをレビュー、評価し、ランキング付けしました。