AIのディープフェイクには昔ながらの対策が効果的--専門家の見解 - (page 2)

　高度な検知モデルや標準のセキュリティ対策が通用しない状況下では、単一の管理されたネットワーク経路に依存するアナログなソリューションが効果を発揮する。

　Gupta氏は、「最も高度なAI攻撃に対する防御策が意図的にローテクな手段であるケースは少なくない」と説明する。ディープフェイク技術は公開されている映像や音声の再現には長けているが、外部からの探索に対して閉じられた経路の情報には関与できないためだ。

　複数の政府機関のガイダンスに基づいて現在では多くのセキュリティコンサルタントが、ハードウェアベースのセキュリティキーや口頭での合言葉（パスフレーズ）の導入を推奨している。米国土安全保障省傘下のCISAは、多要素認証（MFA）の新たな標準として「FIDO2」とPIVハードウェア認証情報の使用を推奨している（PDF）。また、FBIも職場や家庭内における音声による秘密の合言葉の共有を推奨している。

　音声でのパスフレーズとは、会話に参加する人々の間で秘密の合言葉を共有する方法だ。従業員は、会話の相手に秘密の合言葉を尋ねることで、相手が本人かどうかを確認できる。ただし、この方法が効果を発揮するには、組織全体で例外なく徹底される必要がある。Gupta氏は、自身の経験に照らして、上司を装った相手からの連絡など、従業員が圧迫感を受ける場面でセキュリティチェックを省略してしまう傾向があると指摘する。

　Scobey氏も、攻撃者が緊急性や社会的な圧迫感を演出して、従業員に徹底された対策を回避しようとするケースが多いことを指摘し、「例外を認めない自動的な運用を徹底すべきだ」と強調する。同氏は、従業員向けのセキュリティ研修においてディープフェイクやボイスフィッシング（音声詐欺）の模擬訓練を実施し、威圧的な要求に対しても毅然と拒否できるようにすべきだと提案している。

　さらにGupta氏は、一部の金融プラットフォームが実施しているようなシステムの処理プロセス自体に口頭でのパスフレーズ検証を組み込む方式が有効だろうともと付け加えた。

　例外を認めない方針を徹底することに加え、単一障害点を許容できない大規模な組織では、パスフレーズ認証のようなローテクな解決策を拡張可能なものにする必要がある。Scobey氏は、一般的なパスワード管理のベストプラクティスを音声の合言葉にも応用することを推奨している。具体的には以下の原則が挙げられる。

• 合言葉を手動で作成せず、ランダムな生成ツールを使用する
• 関連性のない単語に記号や数字を組み合わせた文字列を使用する（例えば、[email protected]）
• 単一の障害点を避けるため、役割や取引内容ごとに異なる合言葉を設定する
• 決まったスケジュールに依存することなく定期的に合言葉を変更する
• 合言葉による認証と他の手段（ハードウェアキー、通話発信とその折り返しの着信による確認、二重の認証など）と組み合わせる

　Scobey氏は、推測が難しいが覚えやすい言葉の組み合わせを作成する方法として、電子フロンティア財団（EFF）の単語リストの活用を挙げている。人は無意識に好みや偏見で推測されやすい合言葉を作成してしまいがちであるため、ランダムな生成ツールの使用が望ましいという。「単語自体の意味ではなくランダム性が強度になる」と同氏は補足する。

　また大規模組織では、特定の取引や職責に応じた役割ベース、関係性ベースの合言葉を設定することが推奨される。例えば、1000ドル未満の取引を承認するための買掛金部門専用の合言葉や、1000～2万ドルの取引では別の合言葉を用いるといったやり方が考えられる。

　この方法によって、万一1つの合言葉が漏えいしたとしても、別の合言葉への影響を防ぎつつ簡単にリセットできる。なお、NISTのガイドラインが推奨している90日ごとのパスワード変更ルールでは合言葉が推測されてしまいやすいため、これに従わない方が良い。合言葉の変更はあらかじめ決めた期間ではなく、漏えいの兆候や役割の変更、退職などが発生したタイミングで実施すべきだ。

　ただ、高額な取引を行う大規模組織では、音声での合言葉だけでは十分な安全を確保することが難しい。やはり、通話発信とその折り返しの着信による確認といった異なる経路を組み合わせた確認や複数人での認証など、他の確認手段を併用する必要がある。

　Gupta氏は、こうした方法の導入が日々の業務で負担になることを懸念する声を認めつつ、「重要なのは、あらゆる業務に対して一律に徹底することではなく、特にリスクの高い業務に限定して制御を設けることだ」と解説する。

　Gupta氏は、「従業員はセキュリティ対策が画一的ではなくリスクに応じた適切な措置であると理解すれば、それを避けようすることはしなくなる」と述べる。またScobey氏は、もし利用する合言葉が増えて運用管理の負担が高まる場合に、「FedRAMP（米国連邦政府調達におけるセキュリティ基準）」認定パスワードマネージャーなどで一元管理することが望ましいと語っている。