投稿者 global-ai-media 
海外のAIセキュリティ・スタートアップにおいて、採用候補者がディープフェイクを使用して面接に臨むという事例が発生しました。技術の進化により、エンターテインメントや偽情報だけでなく、企業の採用プロセスそのものがセキュリティ攻撃の対象となりつつあります。リモートワークやオンライン面接が定着した日本企業において、この事例は「本人確認（KYC）」と「インサイダーリスク」に対する重大な警鐘を鳴らしています。
AIセキュリティの専門家すら標的にされる時代
英国のIT系ニュースサイト「The Register」などが報じたところによると、あるAIセキュリティ・スタートアップのCEOが、自社の求人に応募してきた候補者がディープフェイクを使用していたことを明らかにしました。皮肉なことに、セキュリティリサーチャーという高度な専門職への応募プロセスにおいて、最新の生成AI技術が悪用されたのです。
この事例で注目すべきは、攻撃者が「セキュリティ企業」という、いわばその道のプロフェッショナルを相手に騙しを試みた点です。これは、現在のディープフェイク技術（リアルタイムでの顔交換や音声合成）が、一般的なWeb会議ツール越しの対話であれば、人間の目や耳を欺けるレベルに達しつつあることを示唆しています。もし、セキュリティの専門知識を持たない一般的な企業の採用担当者がターゲットにされた場合、その偽装を見抜くことは極めて困難でしょう。
単なる「なりすまし」ではない、企業への深刻な脅威
なぜ求職者がディープフェイクを使うのでしょうか。単に経歴を詐称して高給を得たいという動機だけでなく、より深刻な「組織への侵入」が目的である可能性を排除できません。
昨今、北朝鮮などの国家支援を受けたIT労働者が、身分を偽って西側諸国の企業に就職し、外貨獲得や知的財産（IP）の窃取、あるいは将来的なサイバー攻撃のためのバックドア（裏口）設置を試みるケースが、米国FBIなどから警告されています。ディープフェイク技術は、こうした活動を容易にするツールとして悪用され始めています。
日本企業にとっても他人事ではありません。もし「存在しない従業員」や「悪意ある別人」を雇用してしまった場合、社内のソースコード、顧客データ、機密情報へのアクセス権を正規の手続きで渡してしまうことになります。これは、外部からのハッキングよりも遥かに検知が難しい「インサイダー脅威」を自ら招き入れることと同義です。
日本の「性善説」とオンライン採用の死角
日本国内でも、コロナ禍を経てオンライン面接が標準的なプロセスとして定着しました。地方や海外からの優秀な人材にアクセスしやすくなった一方で、対面による本人確認の機会は激減しています。
日本の商習慣や採用文化は、伝統的に履歴書や職務経歴書の情報を信頼する「性善説」に基づいています。しかし、生成AIによる文書作成とディープフェイクによる面接対応が組み合わされれば、架空の優秀な人材を作り上げることは容易です。特にエンジニア採用においては、GitHubのアカウントやポートフォリオさえも偽装されるリスクがあります。
また、日本企業は欧米企業に比べて、採用時のバックグラウンドチェック（経歴調査）やリファレンスチェック（前職への照会）が厳格に行われないケースも散見されます。この「確認の甘さ」が、攻撃者にとっての脆弱性（セキュリティホール）となり得ます。
技術とプロセスの両面で防御策を
ディープフェイクを見抜くためのAIツールも開発されていますが、攻撃側と防御側の「いたちごっこ」は続きます。したがって、テクノロジーだけに頼るのではなく、採用プロセス自体を再設計する必要があります。
例えば、最終面接のみ対面で行う、あるいは信頼できる第三者機関を通じた本人確認（eKYC）を義務付けるといった物理的・手続き的な対策が考えられます。また、Web面接中に「横を向いてもらう」「手を顔の前にかざしてもらう」といった、現在のリアルタイム・ディープフェイクが苦手とする動作を求めることも、簡易的ですが一定の効果があると言われています。
日本企業のAI活用への示唆
今回の事例は、AI技術の悪用が「情報の信頼性」だけでなく「個人の同一性」をも揺るがし始めていることを示しています。日本企業の実務担当者は、以下の点を考慮して対策を進めるべきです。
- 人事部門とセキュリティ部門の連携：採用プロセスはもはや人事だけの問題ではなく、企業のセキュリティ境界線（ペリメーター）の最前線です。人事担当者に対し、ディープフェイクのリスクや最新の手口に関する教育を行う必要があります。
- 採用プロセスの「ゼロトラスト」化：「画面の向こうの人物は本人ではないかもしれない」という前提に立ち、オンライン面接だけに依存しない多要素による本人確認プロセスを導入すべきです。特に特権IDを付与するエンジニアや管理職の採用では、リファレンスチェックの徹底が不可欠です。
- AIガバナンスの拡張：自社でAIを活用するだけでなく、AIによって攻撃されるリスク（AIセキュリティ）を経営課題として捉える必要があります。AI倫理規定やガバナンス体制の中に、対AI攻撃への防御策も盛り込む時期に来ています。
AIは業務効率化の強力な武器ですが、同時に攻撃者の武器でもあります。この現実を直視し、性善説に頼らない堅牢な組織作りを進めることが、AI時代の企業の責務と言えるでしょう。