正解：イ
各選択肢の解説
ア社内向けの生成AIチャットで、入力に紛れ込んだ不正な指示を検査して取り除く。
誤り。これはAIシステムを守るための対策（Security for AI）で、プロンプト インジェクション対策にあたります。守る対象がAIそのものです。名前が似ているので、 AIが「守る道具」か「守られる対象」かで見分けます。
イ大量の通信ログから普段と異なる振る舞いをAIで検知し、調査すべき対象を絞り込む。
正解。AIを、攻撃の兆候を見つける道具として使っています。人の目では追いきれない 量のログから異常を拾い、担当者が調べる範囲を絞るのが、AI for Security の典型的な使い方です。
ウ社員が生成AIに機密情報を入力しないように、利用規程を定めて全社に周知する。
誤り。これはAIを利用する際の情報漏えいを防ぐための管理（ルールと教育）です。 守っているのは社員が入力する情報で、AIをセキュリティの道具として使ってはいません。 組織的・人的な対策にあたります。
エ攻撃者が生成AIで文面を作り、自然な日本語のフィッシングメールを大量に送る。
誤り。これはAIを悪用した攻撃で、脅威の側の事例です。AIがセキュリティに 関わってはいますが、使っているのは攻撃者です。防御のためにAIを使う AI for Security とは立場が逆です。
理解を深めるために
AIは「守る道具」か「守られる対象」か
警備員に双眼鏡を持たせるのと、双眼鏡そのものを盗まれないよう金庫にしまうのとでは、 同じ双眼鏡の話でも向きが逆です。AI for Security は前者で、AIを防御の道具として使います。 Security for AI は後者で、AIそのものを攻撃から守ります。名前が似ているので、 AIがどちらの立場にいるかで見分けます。
AI for Security の考え方
セキュリティの現場では、通信ログや操作記録が人の目では追いきれない量になります。 そこでAIを次のように使います。
- 普段の振る舞いと比べて異常な通信・操作を検知する
- 大量のアラートを分類し、優先して調べるものを絞る
- 脅威情報を整理・要約し、担当者の判断を助ける
ただし、AIの検知には見逃しも誤検知もあります。AIが絞り込んだ結果をもとに 担当者が調べ、対処を決める運用と組み合わせて使います。AIに任せきりにすれば 安全になる、というものではありません。
混同しやすいものとの違い
| 事例の種類 | AIの立場 | 例 |
|---|---|---|
| AI for Security | 防御の道具 | ログの異常検知、アラートの絞り込み |
| Security for AI | 守られる対象 | プロンプトインジェクション対策、RAGのデータのアクセス制御 |
| AI利用時の管理 | 利用する道具（守るのは入力する情報） | 利用規程、機密情報の入力禁止の周知 |
| AIを悪用した攻撃 | 攻撃者の道具 | 生成AIで作ったフィッシングメール |
試験では、AIが誰の道具として、何を守る（または攻める）ために使われているかを 1つずつ確かめると、似た名前の用語を取り違えずに済みます。