RAG(検索拡張生成) Retrieval-Augmented Generation
一言でいうと: AIが回答する前に社内文書などを検索し、その内容を根拠に回答を生成する仕組み。
詳しい解説
RAGは、生成AIが回答を作る際に、あらかじめ登録された社内文書やデータベースを検索し、見つかった情報を根拠として回答を生成する仕組みです。AIの学習データにない最新情報や自社固有の情報に基づいた回答ができるため、社内ヘルプデスクやナレッジ検索など企業のAI活用で広く採用されています。一方で、AIが機密文書へアクセスする経路が新たに生まれるため、検索対象データの範囲設定やアクセス権限の設計を誤ると情報漏えいのリスクになります。
なぜ重要か / 企業への影響
RAGは企業のAI活用の中心的な構成ですが、「AIに何を読ませるか」の設計がそのままセキュリティ設計になります。導入時は、検索対象文書の棚卸し、利用者ごとのアクセス制御の引き継ぎ、プロンプトインジェクション対策の3点を確認してください。
実務での判断まで踏み込む
- OWASP LLM Top 10 を自社に当てはめる — 今すぐ見るべき項目はどれか — OWASP LLM Top 10は10項目すべてに同じ労力をかけるものではありません。自社のAI利用の形態ごとに、実際に起こり得る項目とそうでない項目を切り分け、確認の順序を整理します。
最終更新日: 2026年7月13日
関連用語
- プロンプトインジェクション Prompt Injection — AIへの指示文に不正な命令を紛れ込ませ、AIを攻撃者の意図通りに動かす攻撃手法。