信頼できる車載AIの実現に向けて - ゼロトラストと多層防御の重要性

エージェント型車載AIがもたらす新たなセキュリティリスク

今日の車載AIアシスタントは、ドライバーと同乗者に代わってさまざまなタスクを実行し、他のAIエージェントの機能を統合的に制御する、自律性の高いエージェント型AIシステムです。このようなシステムは、移動中の生産性や安全性、利便性の大幅な向上が期待される一方、前例のないセキュリティ上の課題も同時にもたらします。

企業システムと連携した音声操作式のエージェントは、サイバー攻撃の格好の標的になる可能性があります。とりわけ、攻撃者がAIツールを利用して、巧妙なフィッシング誘導や高度なマルウェアを作成したり、AIモデルの「脱獄(jailbreak)」を試みたりするケースが増えているためです。この状況を受け、規制当局は、国連のUNECE WP.29車両サイバーセキュリティ規則や、間もなく施行される欧州サイバーレジリエンス法(CRA)などを通じて、コネクテッドカーにおけるセキュリティ・バイ・デザイン、セキュア・バイ・デフォルト、セキュアな運用、データガバナンスについての基準を引き上げています。

一方で、アシスタントが移動中のドライバーの業務や個人的なタスクの管理を支援するようになるにつれ、その役割は進化しています。最近まで、音声操作式の車載アシスタントは、大半が汎用的なもので、特定の個人と結び付くことなく、基本的なタスクを支援するにとどまっていました。しかし、その状況は変わりつつあります。音声操作式の車載アシスタントシステムは、カレンダーや電子メールなどの個人データや業務データと連携することで、運転席にいるドライバーに代わって行動するようになっています。メッセージの確認や対応策の提案、場合によってはそれらを実行したりすることもあります。

このようなインタラクションはますます個人的なものになり、機密データが扱われることも増えました。それにもかかわらず、車はドライバーの専有物ではなく、多くの場合共有されるため、本人確認、権限管理、利用制御に関する大きな問題が生じています。自動車OEM、CISO、IT部門のリーダーはこの現状を考慮し、セキュリティを最優先にした車載AIのためのアーキテクチャを採用する必要があります。それは、単にLLMガードレールに依存するものではありません。実績あるゼロトラスト・アーキテクチャ(ZTA)と多層防御原則をシステム全体に組み込み、さらにグローバルな脅威インテリジェンスによって強化されたプラットフォームベースのセキュリティアプローチを活用することが重要となります。

自動車業界に包括的な戦略が必要な理由

自動車におけるセキュリティと安全性には、他の分野にはないほど大きなリスクが伴います。自動車メーカーは厳しい規制環境の下で事業を行っており、自動車へのサイバー攻撃は人命に関わる事態を引き起こす可能性があるだけでなく、深刻な法律上の問題や評判の低下をもたらす可能性があります。OEMは、車両のサイバーセキュリティに特化したプラットフォームベースの包括的セキュリティ戦略を採用することで、ISO/SAE 21434、 TISAXなどの車載サイバーセキュリティ規格に準拠できます。さらに、24時間365日のモニタリングとソフトウェアアップデートを通じて、UNECE WP.29やCRAによって義務付けられた規制が求めるセキュリティ・バイ・デザイン、セキュア・バイ・デフォルト、セキュアな運用に関する法規制を満たすこともできます。

車載アシスタントは、単なる独立した機能として扱うだけでは不十分です。ノートパソコンやスマートフォンなど、企業のネットワークやデータにアクセスするあらゆるデバイスやアプリケーションと同じ、企業のデジタルエコシステムの一部として管理し、同等に厳格なセキュリティ原則と監視を適用すべきなのです。このように一元化されたアプローチをとることで、車載ソフトウェアからクラウドサービスまでを広く保護し、車両と企業ネットワークとの間に生じ得るセキュリティ上のギャップを解消できます。

図1:包括的なセキュリティが求められる自動車業界

ゼロトラストと多層防御こそセキュリティ最優先の基盤

車載AIアシスタントのセキュリティを強固にするための基本は、ゼロトラスト、すなわち「決して信頼せず、常に検証すること、権限の付与を最小限にすること、侵害を前提とすること」です。たとえ車内や企業ネットワーク上にあったとしても、機器、コンポーネントの安全性を常に検証する必要があります。車載アシスタントに関わるすべてのインタラクションは、常に認証・認可を行い、記録を残さなければなりません。

実務レベルでは、あらゆる段階で厳格なID管理とアプリケーションのセキュリティ対策を徹底することを意味します。マイクロソフトとセレンスAIが開発したMobile Work Agentは、車載AIの機能性と、企業データおよび個人データの強固な保護、ドライバーの安全性を両立させた、音声操作式の車載生産性向上アシスタントです。ドライバーは通勤中も安全に、カレンダーの確認やスケジュールの調整、業務の管理を行うことができます。

このエージェントは、Microsoft Entra ID(旧Azure Active Directory)を利用してユーザーとエージェントの安全な認証を行うのに加え、Microsoft Intuneを利用して車両のインフォテインメントシステムが登録済みであること、またアプリケーションが企業のIT要件に準拠していることを確実にします。さらに、多要素認証、相互TLS認証(mTLS)、短寿命のOAuthトークンを活用することで、ポリシーに準拠した正当なユーザーとデバイスのみがアシスタントのサービスにアクセスできるようにします。

ゼロトラストは多層防御と組み合わせて実装されます。多層防御とは、複数のセキュリティレイヤーを重ねることにより、仮に1つのメカニズムが機能不全を起こしても他のメカニズムがカバーする仕組みです。車両、クラウドバックエンド、リモートAIサービスの間の各段階に、専用のコントロールが配置されています。

Mobile Work Agentのアーキテクチャには、ID管理やデバイスの信頼性からAPIおよびネットワークアクセスの管理、コンテンツポリシーの実行、継続的モニタリングまで多様なレイヤーがあります。重層的なセーフガードが存在するため、1つのコンポーネントが突破されたとしても、システム全体の安全性が損なわれることはありません。

プラットフォームベースのアプローチのメリット

前述のすべてのレイヤーを実装し、アップデートし続けるのは容易なことではありません。Mobile Work Agentが、ID、エンドポイント、データ、クラウド保護を統合したマイクロソフトの統合セキュリティプラットフォームを利用しているのはそのためです。このプラットフォームアプローチは、個々のツール間の隙間を減らし、動的な防御を可能にします。たとえば、ユーザーのアカウントが侵害されたり、車両が盗難にあったりすると、このプラットフォームは自動的にAIアシスタントのアクセスを取り消すだけでなく、Intuneを経由して遠隔で無効化することもできます。一方、サイロ化されたセキュリティ製品でこのような迅速な連携を行うのは、容易ではありません。

重要なのは、マイクロソフトのプラットフォームが比類ない脅威インテリジェンス(TI)を提供している点です。同社のセキュリティTIプラットフォームは、1日あたり100兆件以上の脅威シグナルを処理し、世界規模で新たな脅威の動向を把握する独自の視点を提供しています。このインサイトを利用して、新たな攻撃を迅速に検知し、ブロックするのです。個々の企業が単独で行った場合、これほど迅速な対応はできません。こうした大規模なインテリジェンスと自動化された保護を備えたプロバイダーを活用することで、自動車メーカーは、自力ではほぼ不可能とされる高度な状況認識と脅威対応を手に入れることができます。

ガードレールを超えた対策:すべてのレイヤーでAIエージェントのセキュリティを確保

初期のLLMベースのアシスタントの多くは、モデル内の「ガードレール」を重視していました。たとえば、丹念に記述されたシステムプロンプトとコンテンツフィルターを使用して、未許可のアウトプットを防ぐといった手法です。これは重要なことですが、リスクの一部にしか対応できていません。周囲のシステムやプロセスが安全でないことがわかれば、攻撃者はより脆弱なリンクを狙います。そこから資格情報を盗んだり、車両のソフトウェアを侵害したり、アシスタント自体を悪用して機密データにアクセスしたりできてしまうのです。エージェント型AIのセキュリティを効果的なものにするには、モデルレベルのガードレールに従来のサイバーセキュリティコントロールを追加しなければなりません。

Mobile Work Agentは決定論的な企業ポリシーとデータ保護を適用して、アシスタントがアクセスまたは共有できる範囲を制限します。たとえば、ユーザーがアシスタントに対し、「機密性が高い」とラベリングされた文書を要約するようリクエストすると、バックエンドではMicrosoft Purview Information Protectionを通じて機密性ラベルを検知し、リクエストをブロックします。そうすることで、制限対象の情報が不用意に共有されることを防ぎます。同様に、ポリシーチェックが完了できなかった場合(たとえば、車両がオフラインになっておりデータポリシーを検証できない場合など)、デフォルトでは安全側に倒し、処理を拒否します。つまり、AIアシスタントは、(最小権限の原則に基づいて)厳しく制限されたIDおよび範囲内で動作し、アクセスやデータの取り扱いに関する重要な決定は、強固な外部ポリシーに基づいて行われるのです。決定がAI自身の推論にゆだねられることはありません。

図2:車載AIの安全性と信頼性は、ガードレールだけではなくシステム全体のセキュリティによって支えられる

Azure FoundryがAIエンジンを保護

Mobile Work Agentの設計の中心的要素は、エージェントの生成AIモデルが稼働するエンタープライズグレード環境、Microsoft AI Foundryです。AI Foundryは、ユーザーのプロンプトや出力結果が保存されたりモデルの学習に利用されたりしないことを保証します。また、内蔵のコンテンツフィルタリングとモニタリングにより、危険なアウトプットを検知し、企業の主な懸念を軽減します。AI Foundryは、強固なデータプライバシーとポリシーコントロールをあらかじめ組み込むことで、大規模なGPTベースモデルの力を最大限に引き出します。

大切なのは、車載エージェントがオープンなインターネットのエンドポイントではなく、厳しくコントロールされたインタフェースのみを通じてAIモデルを呼び出し、企業のクラウド環境内で完結したインタラクションを行うことです。企業はこのアーキテクチャにより、自社データが外部に流出していないこと、AIのレスポンスが倫理面・セキュリティ面で期待される範囲内にとどまっていることを確信できるのです。

コラボレーションを通じてセキュアな車載AIを構築

いかなる組織も単独では、セキュアで企業システムと連携した車載AIのあらゆる面に対応することはできません。これらを担保したユーザー体験を提供するには、車載ソフトウェア、音声AI、サイバーセキュリティ、クラウドインフラストラクチャ、ID管理、法令順守にわたる専門知識が必要です。車載技術プロバイダーとエンタープライズテクノロジー企業のコラボレーションは、これらの技術の統合に役立ちます。自動車分野の知識を、確立されたセキュリティ、アイデンティティ、データ保護、AI技術と組み合わせることで、機能性、プライバシー、セキュリティ、ユーザー体験をバランスよく実現した車載AIソリューションを開発することが可能になります。

OEMはこのようなアプローチにより、イノベーションを加速し、システム統合をシンプルにし、既存のエンタープライズセキュリティやガバナンス要件に準拠しつつ、コネクテッドカーの進化するニーズに対応できるようになるのです。

エンタープライズグレードのセキュアな基盤の上に構築された車載AIは、信頼できるパートナーとなり、機密データを保護して適切なセーフガードを維持しながら、ユーザーのタスク管理を支えてくれます。ドライバーは、車両を共有する場合でも自身のIDや情報、行動が保護されていることを確信でき、安心してインタラクションを行うことができます。結局、強力なセキュリティとガバナンスこそが、次世代車載AIを実現する鍵であり、人と車両との間の、より高度でパーソナライズされた、安全なインタラクションを支えるのです。