社員の権限でAIが機密を持ち出す…韓国で導入加速、問われる内部統制 [韓国記者コラム]

【10月23日 KOREA WAVE】社内システムを熟知する社員が、人工知能（AI）を使い、数十ギガバイトの機密資料を外部へ持ち出した。複雑なハッキングプログラムを開発したわけではない。必要な作業をAIに指示すると、AIが会社のソースコードを探して圧縮し、外部の保存先へ転送した――。

米AIセキュリティー企業ノマ・セキュリティーが9月、顧客企業で実際に起きた事件として公表した事例だ。社員は2日間にわたり、AIコーディングエージェントに非公開のソースコードを集めるよう指示した。その後、別の保存先を作り、会社のパソコンにつながるクラウドの資料も転送。認証キーや機密ファイルも除外しないよう命じた。

注目すべきは、AIが脆弱性を攻撃してアクセス権限を奪ったのではない点だ。社員は、自分がすでに持つ権限とAIを使って情報を持ち出した。同社のセキュリティー戦略担当副社長クリス・ヒューズ氏は「許可されたアクセス権限を、許可されていない目的に使った内部者の脅威」と説明した。

AIを使って監視を逃れようとした事例もある。米セキュリティー企業DTEXが調査した企業の内部者は、ネットワークの専門職だった。ChatGPTやClaude、Grokに、内部者監視システムの検知を避ける方法や、痕跡を抑えてファイルを転送する方法を質問。その後、社内情報を集めて外部へ送り、関連ファイルを削除した。活動の多くは本人の業務権限の範囲内だった。会社が与えたアクセス権限と既存の業務ツールが、情報流出に使われたのである。

二つの事件では、AIが内部者の情報収集や持ち出しを助け、監視を回避する方法の探索にも使われた。最近の金融業界への連続ハッキングでもAIツールの使用の痕跡が見つかり、AIが攻撃のハードルや費用を下げるとの懸念が強まった。news1も特集でその変化を検証した。だが、さらに考えるべきことがある。重要情報の所在や業務手順、契約内容を知る「内部者」がAIを使って情報を盗めば、どうなるのか。

韓国企業は規模を問わず、AI導入に力を注いでいる。会長が危機感を示して全社的なAI転換を宣言する企業もあれば、社員がAIエージェントで業務をどれだけ効率化したかを人事評価指標に組み込む企業もある。全社員がAIを使いこなすようになったとき、社員がAIへ引き継いだ権限を、企業はどこまで管理すべきなのか。

政府や公共機関、軍では問題がさらに複雑になる。企業なら営業秘密や顧客情報の流出だが、国家機関では政策決定過程や国家機密、軍事情報が関わる。AIに任せる業務が増えるほど、それに伴う情報の重要性も見極める必要がある。

従来の内部統制は、社員のアクセス権限を必要な範囲に絞り、不審なファイルアクセスや外部転送を検知することに重点を置いてきた。これらは今も有効であり、AIの登場で全てが無力になるわけではない。それでも、社員に認めた権限をAIが代わりに行使する時代には、企業も国家機関も内部統制を一段と深く考えなければならない。海外では、AIを使った内部者による情報流出がすでに起きている。人を信頼して与えた権限を、その人がAIに任せた仕事にも、そのまま認めてよいのか。その問いが残る。【news1 カン・ウンソンICT科学部長】

(c)news1/KOREA WAVE/AFPBB News