あなたは家を建てているところだと想像してください。何十年もの間、私たちは壁の強さや、鍵の安全性、あるいは特定の鍵を合鍵で開けられる可能性を測定するための、完璧な設計図と道具を持ってきました。これらの道具は、木やレンガで作られた標準的な家には非常によく機能します。しかし今、私たちは突然、話したり、メールを書いたり、車を運転したりできる「考える雲」で家を建てていると想像してみてください。古い道具はここでは役に立ちません。ハンマーで雲の「強さ」を測ることはできませんし、泥棒は鍵を開ける必要さえなく、ただ雲に秘密のパスワードを囁くだけで中に入れてしまうかもしれません。これが人工知能（AI）の世界です。AIは、単に固定された指示に従うのではなく、データから学習する新しい種類のテクノロジーです。これらのAIシステムは非常に新しく、かつ根本的に異なるため、通常のコンピュータソフトウェアに使用される従来の安全チェックリストでは、パズルの最も重要な部分が欠落しています。私たちはリスクを理解するための新しい方法を見つけなければなりません。さもなければ、見た目は安全に見えても、実は目に見えない亀裂だらけの家に住むことになるかもしれません。

Shubham Paikraoによって書かれたこの論文は、まさにこれらの「考える雲」の家のために特別に作られた、新しいカスタムメイドのツールキットのようなものです。著者は、現在私たちが使用している安全スコアは、雲の重さを体重計で測ろうとしているようなものであり、それらは適合していないと主張しています。この論文は、新しい数値を古い道具に無理やり当てはめるのではなく、現在のツールが完全に無視している5つの特定の「レンズ」または次元を通じて、AIのリスクを見る必要があると示唆しています。それらのレンズとは、アタックサーフェス（攻撃対象領域）（AIに開いているドアや窓がどれくらいあるか）、モデルの脆弱性（Model Exploitability）（AIがいかに簡単に騙されたり操作されたりするか）、データの完全性（Data Integrity）（AIが学習した情報の信頼性が本当にあるか）、規制への露出（Regulatory Exposure）（AIがどれほど法律上の問題を引き起こす可能性があるか）、そしてコントロールの成熟度（Control Maturity）（企業がいかにAIを監視できているか）です。

この論文は、すべてのリスクに対して完璧な金額を算出する魔法の計算機を提示しているわけではありません。実際、著者は、正確な財務予測を行うためのAIによる災難の履歴がまだ十分に存在しないことを明示しています。代わりに、それは「概念的フレームワーク」を提供しています。これは、堅牢な足場や共通の語彙を提供する、という格好の良い言い方です。それは、経営者、セキュリティ担当者、そして政府の規制当局が、AIの危険について話すときに皆が同じ言語を話せるようにするためのものです。著者は、これらの5つの次元を使用することで、組織は推測をやめ、自分たちのAIがどこで弱く、どこに強力な防御を築く必要があるのかについて、明確で構造化された会話を開始できると示唆しています。これは完成品ではなく、私たちのAIの未来がその重みで崩壊しないようにするための、必要な第一歩なのです。

旧来の安全スコアの問題点

あなたが美術館の警備員であると想像してください。長年、あなたは絵画のひび割れをチェックするために特別なスキャナーを使用してきました。絵画にひびがあれば、スキャナーは音を鳴らし、1から10までのスコアを与えます。これは絵画には完璧に機能します。しかしその後、美術館が自ら絵を描くことができるロボットを展示することに決めました。ロボットには「ひび」はありません。「幻覚（ハルシネーション）」（そこにないものが見えること）や、「プロンプト・インジェクション（奇妙なフレーズを囁かれて騙されること）」、あるいは時間が経つにつれて正しく描く方法を徐々に忘れてしまうこと（「モデル・ドリフト」）があります。

もしあなたが古い絵画用スキャナーをロボットに使おうとしたら、何も反応しません。スキャナーは、コードにひびが見つからないため、ロボットは完全に安全であると判定します。しかし、そのロボットは実は危険なのです！論文は、CVSS（ソフトウェアのバグがどれほど深刻かをスコア化するもの）やFAIR（災害がどれほどの損失をもたらすかを予測しようとするもの）といった現在の安全ツールは、古い世界の静的なソフトウェア向けに構築されたものであると指摘しています。これらは、AI特有のトリックに対しては盲目なのです。

例えば、論文は、CVSSはドアを壊すのがどれほど容易かを教えるのには優れていますが、誰かが面白いジョークを言ったためにロボットがドアを開けてしまうほど簡単に騙されるかどうかを測定する方法は持っていないと述べています。同様に、FAIRは財務的リスクを計算することには優れていますが、動作させるためには歴史的なデータ（例：「昨年、これが何回起きたか？」など）を必要とします。AIは非常に新しいため、これらの特定のAIの災難に供給するための歴史的なデータが不足しています。論文は、AIに対してこれらの古いツールを使うことは、定規で火の温度を測ろうとするようなものであり、道具の形自体が間違っていると主張しています。

5つの新しいレンズ

これを解決するために、論文はAIリスクを見るための5つの新しい方法を紹介しています。これらは、AIシステム全体を把握するために照らす必要がある、5つの異なる懐中電灯だと考えてください。

1. アタックサーフェス（攻撃対象領域）：開かれたドア
これは、悪意のある者が侵入できる方法がどれだけあるかについてです。通常のコンピュータの場合、これはいくつかの開いたポートかもしれません。しかしAIの場合、それはもっと大きくなります。チャットボットと会話したり、ファイルをアップロードしたり、AIをメールに接続させたりするたびに、新しいドアが開いています。論文は、もしAIエージェント（物を行うロボット）を銀行口座やメールに接続させた場合、巨大な「アタックサーフェス」を持つことになると強調しています。それは、玄関、裏口、ガレージ、そして地下の窓をすべて開けっ放しにしているようなものです。AIが外部の世界と相互作用する方法が増えるほど、それはより露出した状態になります。

2. モデルの脆弱性（Model Exploitability）：トリッキーな精神
これは、AIを騙すことがどれほど容易かを測定します。一部のAIは「ブラックボックス（どのように考えているのか不明）」であり、他のAIはオープンです。論文は、もしAIの指示が公開されていたり、あるいは企業が既知のトリックへの対処に遅れていたりする場合、そのAIは非常に「脆弱（エクスプロイタブル）」であると示唆しています。それは、秘密を忘れてしまった手品師のようなものです。もし誰かがその手品を知っていれば、その手品師に何をさせることもできてしまいます。論文は、プロンプト・インジェクション（テキストを使ってAIを騙すこと）はこれらのモデルの根本的な仕組みの一部であるため、壊れた鍵のように完全に「修理」することはできず、常に管理されなければならないと述べています。

3. データの完全性（Data Integrity）：毒された井戸
AIは、学生が教科書から学ぶのと同様に、データから学びます。もし教科書が嘘や毒で満たされていれば、学生は嘘を学ぶことになります。この次元は、以下の3つの要素を見ています。

• ポイズニング（汚染）： 誰かがAIのトレーニングに悪いデータを紛れ込ませたのではないか？
• ドリフト（漂流）： 現実の世界が変わったために、AIが正しく機能することを忘れてしまったのではないか？（例えば、2020年のデータで訓練された医師AIが、2026年のウイルスを診断しようとした場合、間違える可能性があります）。
• ハルシネーション（幻覚）： AIが自信満々に事実を捏造していないか？
  論文は、単に動作が停止する壊れたコンピュータプログラムとは異なり、「ドリフト」したAIは、動き続けながらも、誰にも気づかれずに数ヶ月間にわたって微妙に間違った答えを出し続ける可能性があることを強調しています。

4. 規制への露出（Regulatory Exposure）：法の監視の目
これは、ルールを破った際のコストについてです。政府は、EU AI法やSECの規則など、AIに関する新しい法律を作っています。もしあなたのAIが法律に違反した場合、多額の罰金（論文によれば、最大3500万ユーロ、または全世界の総収益の7%）を科されたり、ミスを公表しなければならなくなったりする可能性があります。論文は、従来のリスクツールはこれらの法的コストをカウントしていないと指摘しています。それは、保険なしで車を運転するようなものです。車自体は問題なく走っているかもしれませんが、もし事故を起こせば、経済的な打撃は甚大です。

5. コントロールの成熟度（Control Maturity）：警備員のスキル
これが最後のピースです。企業がリスクを管理する能力がどれほど高いかです。たとえAIに多くの開いたドアがあり（高いアタックサーフェス）、騙されやすい（高い脆弱性）としても、企業が24時間体制で監視する非常に熟練した警備員を配置していれば、リスクは低くなります。これには、AIに対するレッドチーミング（悪意のある入力によるテスト）、出力のモニタリング、そして人間が重要な決定をチェックすることなどが含まれます。論文は、「成熟した」コントロールシステムを持つ企業は、単に運に任せている企業よりもはるかに良い立場にあると主張しています。

実社会での活用法

論文は、この新しいフレームワークがどのようにリスクの考え方を変えるかを示すために、3つの例を用いています。

• 銀行のチャットボット： このAIは顧客と会話ができ、口座情報を見ることができます。これは高いアタックサーフェス（誰もが話せる）と、高い脆弱性（ブラックボックスである）を持っています。また、中程度の規制リスクがあります。論文は、攻撃が容易で公開されているため、これは**クリティカル（重大）**なリスクであると示唆しています。
• 病院のトリアージAI： このAIは、医師が誰を優先的に助けるべきかを判断するのを支援します。中程度のアタックサーフェス（医師のみが使用）を持っていますが、高いデータの完全性リスク（もし幻覚を起こせば、患者が危害を受ける可能性がある）を持っています。また、医療法によりクリティカルな規制リスクがあります。論文は、これも理由こそ違え、クリティカルであると述べています。解決策は単に「ドアに鍵をかける」ことではなく、「AIが嘘をついていないかを確認する」ことです。
• ソフトウェア会社のコードアシスタント： このAIはプログラマーがコードを書くのを助けます。低いアタックサーフェス（従業員のみが使用）と、低い規制リスクを持っています。たとえ間違いを犯したとしても、大きな問題にはなりません。論文は、このリスクは**管理済み（マネージド）**であり、それほど注意を払う必要はないとしています。

重要な教訓は、2つのシステムがどちらも「クリティカル」なリスクであっても、その理由は全く異なる可能性があるということです。古いツールは、それらに単一の数字を与えるだけで、どのように修正すべきかを教えることはできません。この新しいフレームワークは、どこにエネルギーを集中させるべきかを正確に教えてくれます。

この論文が行っていること、行っていないこと

この論文が何を主張していないかを理解しておくことは重要です。著者は、これが現在、リスクに対して完璧な金額を算出する魔法の計算機ではないことを非常に明確にしています。私たちはまだ、「このAIが失敗した場合、5万ドルのコストがかかる」と言えるほどのデータを持っていません。論文は、これらのAIの災難がどのくらいの頻度で発生するかという数値が不足していることを認めています。代わりに、この論文は思考のための構造を提供しています。それは、将来データが得られたときに、それをどのように使うべきかを知るための方法です。

また、論文は、従来のツールを微調整するだけで済むという考えも否定しています。CVSSやFAIRにいくつかの新しい設定を追加するだけでAIに対応できるとは主張していません。問題はより深く、リスクに対する考え方そのものを、これらの新しい次元を含めるように変える必要があるのです。

なぜこれが重要なのか

論文は、私たちが直面している最大の課題は、脅威について知識が足りないことではなく、それらについて話すための「共通の言語」を持っていないことであると結論づけています。規制当局、保険会社、そしてセキュリティチームは、皆異なる言語を話しています。このフレームワークは、共通の語彙を提案しています。それは、取締役会がコンピュータの専門家である必要なくリスクを理解する方法を与え、セキュリティチームには構築すべきものの明確なチェックリストを与えます。

最終的に、論文は私たちが「足場（スキャフォールディング）」の段階にいることを示唆しています。私たちは、将来的に、完全に定量化され精密なAIリスク管理システムを支えることになる構造を構築しているのです。数値を埋めるためのデータが得られるまで、この5次元のフレームワークは、私たちのAIの友人が誤って家を焼き尽くさないようにするための、現在持てる最善の道具なのです。これは、遊び心があり、実用的であり、かつ、私たちの未来が砂の上の土台の上に築かれないようにするための、不可欠なステップなのです。