投稿者 global-ai-media 
生成AIの業務適用において、日本企業で最も採用が進んでいるRAG（検索拡張生成）。しかし、その参照データ自体を悪意を持って操作される「コーパス汚染」のリスクは十分に認識されていません。本記事では、最新の防御手法である「RAGPart」および「RAGMask」の研究動向を参考に、実務家が知っておくべきAIセキュリティの新たな視点と対策について解説します。
RAGの普及と表裏一体の「データ汚染」リスク
日本国内において、大規模言語モデル（LLM）の業務活用は、社内ナレッジを参照させる「RAG（Retrieval-Augmented Generation：検索拡張生成）」の形態が標準になりつつあります。マニュアル検索、社内規定の回答、カスタマーサポート支援など、ハルシネーション（もっともらしい嘘）を抑制しつつ自社データに基づいた回答を得られるRAGは、実務的メリットが明確だからです。
しかし、このアーキテクチャには「参照するデータ（コーパス）が信頼できる」という前提があります。もし、悪意ある攻撃者が社内のファイルサーバーやWikiに侵入し、検索対象となるドキュメントの一部を書き換えたり、不正な情報を混入させたりしたらどうなるでしょうか。これが「コーパス汚染（Corpus Poisoning）」と呼ばれる攻撃手法です。
攻撃者は、LLM自体をハッキングする必要はありません。RAGが参照するデータベースに「特定のキーワードが入力されたら、誤った（あるいは危険な）回答を誘導する」ようなテキストを忍ばせるだけで、生成AIの挙動を操作できてしまうのです。これは、従来のプロンプトインジェクションとは異なる、より根本的で検知が難しい脅威です。
防御の多層化：RAGPartとRAGMaskのアプローチ
こうした脅威に対抗するため、研究者たちは新たな防御システム「RAGPart」および「RAGMask」を開発しました。これらは、従来の「検索して回答する」という単純なプロセスに、セキュリティのためのチェック機構を組み込む試みです。
技術的な詳細は割愛しますが、概念としては以下のようなアプローチをとります。
- RAGPart（検索の分割・区分け）： 検索対象となるデータソースを信頼度やカテゴリによって区分（パーティション化）し、汚染された可能性のある情報が回答生成に与える影響を構造的に制限します。
- RAGMask（影響の遮断）： 生成プロセスにおいて、統計的に不自然な情報の寄与や、既知の攻撃パターンに類似した検索結果の影響を「マスク（遮断）」し、毒された情報が最終的な回答に出力されるのを防ぎます。
この「2段階の防御」という考え方は、今後のエンタープライズAI開発において重要な示唆を与えています。単に精度の高い回答を返すだけでなく、「検索結果が本当に安全か」「生成プロセスが汚染されていないか」を検証するレイヤーが必要になるということです。
日本企業における実務上の課題
日本企業の組織文化やシステム環境を鑑みると、この「コーパス汚染」は看過できないリスクを含んでいます。
多くの日本企業では、長年の業務で蓄積された膨大なWordファイルやPDF、社内ポータルの記事などが、厳密なクレンジングを経ずにRAGのデータソースとして指定されるケースが散見されます。また、ファイルサーバーのアクセス権限管理が形骸化しており、多くの従業員（あるいは侵害されたID）がドキュメントを編集・追加できる環境も珍しくありません。
このような「性善説」に基づくデータ管理環境下では、コーパス汚染攻撃は非常に容易に成立します。例えば、就業規則に関するRAGシステムに対し、攻撃者が嘘の給与規定ドキュメントを紛れ込ませれば、社員に誤情報を拡散させ、組織的な混乱を引き起こすことも可能になります。
日本企業のAI活用への示唆
今回の「RAGPart / RAGMask」の研究事例を踏まえ、日本の経営層やプロジェクト責任者は以下のポイントを意識してAI導入を進めるべきです。
1. AIセキュリティを「入力」と「データ」の両面で捉える
ユーザーが入力するプロンプトへの対策（プロンプトインジェクション対策）だけでは不十分です。「AIが参照するデータソースの完全性」をどう担保するかという、データガバナンスの視点が不可欠です。
2. 「ゼロトラスト・データ」の思想を持つ
社内データだから安全だとは限りません。RAGシステム構築においては、すべてのドキュメントを無条件に信頼するのではなく、検索スコアの異常値を検知したり、参照元の信頼度に応じて回答を保留したりする「ガードレール」の実装を検討してください。
3. アクセス権限とデータライフサイクルの見直し
AI導入は、既存の文書管理の不備を洗い出す良い機会でもあります。RAGに読み込ませるフォルダの書き込み権限を最小化する、定期的にデータの整合性をチェックするなど、IT全般統制とセットでAI活用を進めることが、結果として最も安全な近道となります。