OWASP LLM Top 10 を自社に当てはめる — 今すぐ見るべき項目はどれか
- 10項目のうち、自社に当てはまるのは利用形態によって3〜6項目程度。全項目を並べて見るとかえって手が止まる
- 外部サービスをそのまま使う場合と、自前でアプリを組む場合では、見るべき項目がほとんど重ならない
- 優先順位は「起こりやすさ」ではなく「起きたときに自社が説明責任を負うか」で決める
10項目を並べても手が動かない理由
OWASP LLM Top 10 は、生成AIアプリケーションで代表的なリスクを整理した一覧です。参照先として優れていますが、そのまま社内の確認項目に転記すると機能しません。
理由は、10項目が想定している立場が混在しているためです。モデルを自社で学習させる組織向けの項目と、外部のAPIを呼ぶだけの組織向けの項目が同じ粒度で並んでいます。自社に関係のない項目まで検討しようとすると、そこで作業が止まります。
最初にやるべきなのは、自社のAI利用がどの形態かを決めることです。
利用形態で見るべき項目が変わる
実務では、次の3つに分けると整理できます。
A. 外部のAIサービスをそのまま使う
ChatGPTやCopilotなどを、従業員が業務で利用する形態です。自社は「利用者」であって開発者ではありません。
見るべき項目
- 機微情報の開示 — 従業員が何を入力するか。最大の論点です
- プロンプトインジェクション — 外部から届いた文書をAIに読ませる場合に該当します
- 過剰な代理権限 — AIツールがメールやファイルにアクセスする連携を許可している場合
見なくてよい項目
学習データの汚染、モデルの窃取、サプライチェーンなど、モデルを自社で用意する場合の項目は該当しません。ベンダー側の責任範囲です。
B. APIを使って自社アプリを作る
社内向けチャットボットや、業務システムへのAI機能組み込みです。ここが最も項目数が多くなります。
見るべき項目
- プロンプトインジェクション(直接・間接とも)
- 機微情報の開示(他人のデータが回答に混ざらないかが中心)
- 過剰な代理権限(AIに実行させる操作の範囲)
- 出力の不適切な取り扱い(出力を後続処理がそのまま実行しないか)
- 無制限の消費(コストと可用性。意図しない大量リクエスト)
RAGを使う場合は、検索対象の文書に対するアクセス制御が実質的な焦点になります。利用者ごとの権限を無視して全文書を検索対象にすると、権限のない情報が回答として出ます。これは設定漏れとして頻繁に起こります。
C. モデルを自社で学習・調整する
ファインチューニングや独自モデルの構築です。該当する企業は限られます。
追加で見るべき項目
- 学習データの汚染
- モデルの窃取
- サプライチェーン(公開モデル・データセットの出所)
優先順位は「説明責任を負うか」で決める
項目を絞り込んだあと、どれから着手するかの判断基準です。起こりやすさで並べると、影響の大きさを見誤ります。
先に手を打つべきなのは、起きたときに自社が説明責任を負う項目です。
| 事象 | 説明責任 |
|---|---|
| 顧客データが他の利用者への回答に混ざった | 自社。委託先にも通知が必要 |
| 従業員が個人情報を外部AIに入力した | 自社。監督義務の問題 |
| AIが誤った内容を顧客向け文書に書いた | 自社。AIのせいにはできない |
| 利用中のAIサービス側で障害が起きた | ベンダー(ただし業務継続の備えは自社) |
上3つはいずれも、社外への説明が必要になる類型です。ここから着手します。
最初の1か月でやること
形態Aの企業であれば、次の3点で実務的な水準に届きます。
- 入力してよいデータの線引きを決めて周知する(機微情報の開示への対策)
- AIツールの外部連携を棚卸しする(過剰な代理権限への対策)。管理コンソールのOAuth連携一覧を見れば把握できます
- 外部から受け取った文書をAIに読ませる業務がないか確認する(プロンプトインジェクションへの対策)
形態Bであれば、上記に加えて RAGの検索対象に対する権限制御 を最初に確認してください。ここが抜けていると、他の対策をどれだけ積んでも情報が出ます。
チェックリストとの対応
生成AI導入セキュリティチェックリストの「データ」「権限」の領域が、ここで挙げた項目に対応しています。OWASP側は網羅的な参照先、チェックリスト側は導入判断の手順として使い分けるのが実務的です。
プロンプトインジェクションについては入力検査だけでは止まらない理由で詳しく扱っています。従業員の利用実態の把握はシャドーAIをどう把握し、どこまで禁止するかを参照してください。
まとめ
- 10項目を全部見ようとすると手が止まる。まず自社の利用形態を決める
- 外部サービスを使うだけなら該当は3項目程度。学習まわりの項目は関係ない
- 自社アプリを作る場合、RAGのアクセス制御が実質的な焦点
- 着手の順序は起こりやすさではなく、自社が説明責任を負うかで決める