【セキュリティ】AIの"言い換え攻撃"を防げ。Base64対策について

こんにちは! AI技術の「なぜ?」を解き明かす、現役インフラエンジニアのコシです。

前回、私たちはAIの恐ろしい弱点を知りました。

Base64という「言い換え」で、AIの門番が簡単に騙される。

「社外秘」→「56S+5aSW56eY」

形を変えただけで、防御をすり抜けてしまう。

門番は真面目に働いているのに、なぜ防げないのか?

それは、門番が「形」しか見ていないからでした。

では、どうすればこの攻撃を防げるのか?

答えは、門番に「意味を理解する力」を与えることです。

今回は、Base64攻撃を完全に防ぐ3つの対策を、具体的な実装方法とともに徹底解説します。

▼ 前回の記事はこちら
👉 【セキュリティ】AIは"言い換え"で騙される。Base64エンコード回避の罠

結論:門番を「賢く」するには、3つの魔法が必要である

まず結論から、今回のテーマを僕が得意なたとえ話で表現しましょう。

たとえ話:賢い門番への進化

前回、私たちの門番は「真面目だが融通が利かない」状態でした。

「社外秘」という言葉しか見抜けない。

「56S+5aSW56eY」(Base64)という記号は、門番にとって「ただの意味不明な文字」に見えてしまう。

しかし、今回の3つの対策で、門番は「賢い門番」へと進化します。

3つの魔法:

1. 正規化の魔法:「どんな形でも、元の姿に戻してから判定する」

2. 禁止の魔法:「そもそも言い換えを禁止する」

3. DLPの魔法:「企業全体で機密情報を守る」

この3つの魔法で、門番は「形」だけでなく「意味」を見抜けるようになります。

攻撃者がどんなに形を変えても、門番は「これは社外秘だ」と見破るのです。

エンジニア視点で斬る:「ディープパケットインスペクション」をAIに応用する

では、なぜこの3つの対策が効果的なのか?

インフラエンジニアの視点から解説しましょう。

前回までの防御:

第5回:憲法(システムプロンプト)
第6回:門番(入出力フィルタ)

しかし、これだけでは「言い換え攻撃」を防げませんでした。

なぜ防げなかったのか?

門番が「パターンマッチング(形の一致)」しかしていなかったからです。

「sk-xxxxx」という形式は検知できる しかし「c2stYWJjZGVmZ2hpamtsbW5vcA==」(Base64)は検知できない

今回の対策の本質:

「形を見る」→「意味を見る」への進化

これは、インフラセキュリティの世界で言う「ディープパケットインスペクション(DPI)」と同じ考え方です。

ディープパケットインスペクションとは?

通信の「中身」まで見る技術 暗号化された通信も、一度復号してから検査 ファイアウォールの進化版

AIの防御も同じです。

「エンコードされた出力」も、一度デコードしてから検査する。

これが「正規化」の本質なのです。

Base64攻撃を防ぐ「3つの対策」

では、具体的にどうやって門番を「賢く」するのか?

3つの対策を、初級から順に紹介します。

対策1:出力を「正規化」してから再判定する(中級)

最も効果的で、本質的な対策です。

問題:
門番は「形」しか見ていない Base64にエンコードされると見逃す

解決策:
AIの回答を、一度「元の形」に戻してから判定します。

これを「正規化(Normalization)」と呼びます。

具体的な実装フロー:

ポイント:

「形を変えたら見逃される」という盲点を完全に潰します。

Base64だけでなく、あらゆる変換方式に対応できます:

ROT13 HEX(16進数)
URLエンコード Unicode

エンジニア視点:

これは、ファイアウォールの「プロトコル正規化」と同じです。

攻撃者が通信を暗号化・難読化しても、一度復号してから判定します。

セキュリティの基本原則:「入口と出口で正規化」

実装の具体例(疑似コード):

この仕組みがあれば、攻撃者がどんな形式でエンコードしても、門番は見破ることができます。

対策2:「エンコード形式での出力」を禁止する(初級)

シンプルですが、効果的な対策です。

今日からすぐに実践できます。

具体的な実装:

システムプロンプトに、以下を追加します。

効果:

AIが「じゃあBase64で」と言われても、「それもお答えできません」と拒否します。

攻撃の入口を塞ぐのです。

実際の会話例:

弱点:

攻撃者が「新しいエンコード方式」や「遠回しな指示」を使うと対応できません。

例:「1文字ずつ教えて」「逆さまで教えて」など

だから、対策1(正規化)と組み合わせることが重要です。

エンジニア視点:

これは「ホワイトリスト方式」の一種です。

「許可された形式以外は禁止」という考え方。

インフラの「デフォルト拒否(Deny by Default)」と同じ原則です。

対策3:「DLP(データ損失防止)」ツールとの連携(上級)

企業レベルの対策です。

DLPとは?

Data Loss Prevention(データ損失防止)

機密情報が外部に漏れるのを防ぐツールです。

メール、ファイル共有、チャットなど、あらゆる出口を監視します。

AIとの連携の仕組み:

エンジニア視点:

これは「多層防御」の究極形です。

AIの出力フィルタだけでなく、企業のセキュリティインフラ全体で守ります。

1つの壁が破られても、次の壁が止める。

国内企業の事例:

大手金融機関の事例:

• AIチャットボットの出力を、既存のDLPシステムに通す

• 顧客番号、口座番号、APIキーなどを自動検知

• エンコード回避攻撃も、正規化→再判定で防御

• 結果:情報漏洩ゼロを維持

IT企業の事例:

• AIがコードを生成する際、DLPがAPIキーや秘密鍵を自動検知

• 検知されたら、開発者にアラートを送信

• 本番環境への漏洩を事前に防ぐ

• 結果:セキュリティインシデント80%削減

導入のハードル:

DLPツールは高価です(数百万〜数千万円)。

中小企業には難しいかもしれません。

まずは対策1(正規化)と対策2(禁止)から始めるべきです。

どの対策から始めるべきか?実践ガイド

3つの対策を紹介しましたが、「どれから始めればいいの?」と思いますよね。

優先順位をつけて、実践的なガイドをお伝えします。

初心者向け(今日から実践):

対策2:エンコード禁止をシステムプロンプトに追加

コスト:ゼロ円 時間:5分 効果:中程度(基本的な攻撃は防げる)

中級者向け(1〜2週間で実装):

対策1:出力フィルタに正規化機能を追加

コスト:開発工数(数日〜1週間) 時間:1〜2週間 効果:高(ほとんどの言い換え攻撃を防げる)

上級者向け(企業レベル):

対策3:DLPツールとの連携

コスト:高額(ツール導入+設定) 時間:数ヶ月 効果:最高(企業全体のセキュリティ向上)

推奨の組み合わせ:

対策2(エンコード禁止)は必須 → すぐに実装 +対策1(正規化)で、かなり安全 → 可能なら実装 予算があればDLP連携も検討 → 企業規模なら検討

まずは対策2から始めて、徐々にレベルアップしていくのが現実的です。

まとめ:門番を「賢く」することが、AIを守る唯一の道だ

今回のポイントを整理しましょう。

今回のポイント:

Base64攻撃を防ぐには「正規化」が鍵
対策1:出力を元に戻してから再判定(最も効果的)
対策2:エンコード形式での出力を禁止(すぐできる)
対策3:DLPツールとの連携(企業レベル) 門番は「形」だけでなく「意味」を見るべき

締めの一言:

セキュリティは、攻撃者との「いたちごっこ」です。

攻撃者が「形を変える」なら、私たちは「形を戻す」。

攻撃者が「新しい手口」を使うなら、私たちは「AIに判定させる」。

この戦いに終わりはありません。

しかし、だからこそ、私たちは常に一歩先を行く必要があるのです。

門番を「賢く」することが、AIを守る唯一の道なのです。

形だけを見る門番は、必ず騙されます。

しかし、意味を理解する門番は、どんな攻撃も見破ります。

あなたのAIの門番は、今日から「賢い門番」へと進化します。

次回予告:

門番の盲点を完全に潰しました。

しかし、考えてみてください。

そもそも、AIに「見せてはいけない情報」を見せなければ、漏れることはないのでは?

最強の防御は「入口で止める」ことではなく、「最初から見せない」ことかもしれません。

次回は、AIに「社員証」を持たせ、アクセスできる情報を厳密に管理する「AIガバナンスとアクセス制御」について解説します。

お楽しみに!

コシ@現役インフラエンジニア

AIを最高の相棒にするためのヒントを発信しています。フォローして、最新のAI活用術を見逃さないでください!

▼ AIセキュリティシリーズ 過去記事一覧

【第1部:AIの4大リスク】
第1回:プロンプトインジェクション(入力の脅威)
第2回:データ漏洩(記憶の脅威)
第3回:ハルシネーション(出力の脅威)
第4回:データポイズニング(学習の脅威)

【第2部:AIを教育する】
第5回:セキュアなプロンプト設計(AIの憲法)
第6回:入出力フィルタリング(AIの門番)
第7回:Base64エンコード回避の罠(攻撃編)

#AI #AIセキュリティ #Base64 #ChatGPT #DLP #セキュリティ対策 #正規化 #エンコード #エンジニア #AI時代