Nati Hazut、Bold SecurityのCEO兼共同創業者 — インタビューシリーズ

Nati HazutはBold SecurityのCEO兼共同創業者です。それ以前には、SAM Seamless NetworkとPolyrizeを共同創業し、コネクテッドデバイスのセキュリティ、アイデンティティ、クラウド権限、データ保護の分野で経験を積みました。Boldでの取り組みでは、そうした経験を生かし、従業員やAIエージェントと機密性の高い企業データとのやり取りを保護しています。

Bold Securityは、デバイス上で直接動作する小規模言語モデルを使い、機密情報を分類するとともに、その利用状況を把握するエンドポイント向けデータ保護技術を開発しています。同社のプラットフォームでは、セキュリティチームがユーザーに注意を促したり、操作を別の方法へ誘導したり、ブラウザー、デスクトップアプリケーション、AIエージェント上でリスクのある操作をブロックしたりできます。このインタビューでは、HazutがシャドーAI、デバイス上のインテリジェンス、自律型エージェント、そして企業データを取り巻くセキュリティ境界の変化について語ります。

Bold Securityを立ち上げる前に、SAM Seamless NetworkとPolyrizeを共同創業されています。その後、Hadar Krasner氏、Omri Mallis氏とBold Securityを始めるにあたり、企業セキュリティとAIにどのような変化が起きていると感じ、セキュリティ企業を一から立ち上げる必要があると考えたのでしょうか？

AIがもたらした最大の変化は、仕事が行われる場所を移したことです。数十年にわたり、企業データを使った業務のうち、特に機密性の高いものはブラウザーやSaaSアプリケーション上で行われていました。セキュリティ対策も、まさにそうした環境に重点を置いてきました。ところが今では、業務の多くがデバイスそのもので行われています。デスクトップのAIアシスタントで文書を作成したり、ネイティブアプリにソースコードを貼り付けたり、ノートPC上でファイルやアプリケーション、社内システムに直接アクセスするエージェントを動かしたりするようになっています。

この変化によって、ほとんどのセキュリティ製品が前提としていた考え方は通用しなくなりました。ネットワーク検査で確認できるのは、検査経路を通る通信だけです。一方、デスクトップアプリケーションは通信を暗号化してプロキシを迂回します。CASBが把握できるのは、許可されたクラウドアプリです。DSPMが把握できるのは、クラウドストレージに保存されたデータです。いずれも、ローカルファイルがデスクトップのAIアプリに取り込まれる様子や、キーボードの前に人がいない状態でエージェントがデータを移動させる様子は捉えられません。

私たちがBoldを立ち上げたのは、エンドポイントこそ、あらゆる要素が一つに集まる場所だからです。データ、それを扱う従業員やエージェント、彼らが何をしようとしているのか、そして情報がどこへ向かっているのかを把握できます。機密データが会社の管理下から外れる前に、対処することもできます。

シャドーAIには、従業員が個人のChatGPTアカウントを使うケースから、デスクトップアプリケーション、ブラウザー拡張機能、API、Model Context Protocol接続、さらには自律性を高めるエージェントまで、さまざまな形があります。今日、企業のセキュリティチームにとって、検知や制御が特に難しいシャドーAIはどのようなものでしょうか？

1年前は誰もが「シャドーAI」を懸念していましたが、議論はさらに深まりつつあります。企業のセキュリティチームは、従業員がこれまでにない速さで新しいAIツールを導入しているという現実を受け止め始めています。そのため、問題の焦点はツールの洗い出しよりも、ツールを通じてやり取りされるデータの制御へと移っています。

もちろん、見えないものは制御できません。そして、最も見えにくいのは、監視対象となるネットワーク経路を一切通らないチャネルです。デスクトップアプリケーションはデバイス上のファイルを直接読み取り、通信を暗号化するため、検査用に構築されたツールを経由しません。エージェントは社内情報へのアクセス権を持ち、従業員がその都度情報を渡さなくても利用し続けます。

これらはいずれも新たなデータ流出経路であり、そこで何がやり取りされるのかが重要な問題です。公開文書を承認済みの企業アカウントに取り込むことと、顧客データベースや独自のソースコードを個人アカウントに送ることは、同じではありません。その違いが見えるのは、データが存在し、操作が行われる場所だけです。つまり、見えないシャドーAIこそ、データをめぐる問題が最も重要になる場所でもあります。

Boldはエンドポイントを最優先するアプローチを採用し、主にネットワークやクラウドの監視に頼るのではなく、デバイス上でAIを実行しています。デバイス上のモデルは、従来のデータ損失防止（DLP）では把握できない、AIとのやり取りに関するどのような情報を理解できるのでしょうか？

Boldのアプローチには、従来とは異なる点が二つあります。まず、機密データを分析のために別のAIサービスへ送ることなく、AIを使って保護しています。小規模言語モデルはデバイス上で直接動作し、どのデータが機密情報に当たるのか、誰がアクセスしているのか、どこへ送られるのかを把握できます。そのため、すべてのデータをクラウドへ送る際の遅延やコストを伴わずに、リスクのある操作をリアルタイムで特定して阻止できます。

第二に、従来のセキュリティツールが監視するチャネルの範囲を超えて対応しています。市場の大半は依然としてブラウザーやネットワーク通信に重点を置いていますが、機密データはデスクトップのAIアプリケーション、コーディングツール、ターミナル、自律型エージェントを通じて、ますます多く移動するようになっています。こうした環境は、従来型のDLP製品やクラウドセキュリティ製品では、はるかに把握しにくいものです。

エンドポイント上で動作することで、こうしたあらゆる環境にあるデータを保護し、機密情報が会社の管理下から外れる前に介入できます。

御社の技術は、どのデータにアクセスされているかだけでなく、操作の背景や意図も把握できるよう設計されています。過剰な誤検知を生じさせずに、機密情報の正当な利用と、実際のセキュリティリスクとなる行動をどのように見分けているのでしょうか？

ここでは、状況がすべてです。あらゆるファイルのアップロードや、データにアクセスするすべてのエージェントをセキュリティインシデントとして扱うわけにはいきません。それでは誰も仕事ができなくなってしまいます。

同じファイルでも、ある場所では日常的なものですが、別の場所では重大な問題になります。顧客リストはサポートツール内にあるのが当然ですが、個人アカウントにアップロードされれば深刻な問題です。ソースコードはリポジトリに置くべきものであり、一般向けAIツールに入力するものではありません。

コンテンツがルールに一致したことしか分からないツールでは、どちらのケースも警告するか、どちらも警告しないかの二択になります。誤検知が生じるのはそのためです。データの種類、誰が移動させているのか、どこへ送られるのかを把握することで、通常のAI利用と本当のリスクを見分けられます。

ソフトウェアがファイルにアクセスし、ツールを呼び出し、MCPサーバーを介して接続し、人間の関与が限られた状況で行動するようになるにつれて、AIエージェントは従来とは異なるセキュリティモデルを必要としています。機密性の高い企業データを操作する主体が従業員ではなく自律型エージェントである場合、エンドポイントセキュリティはどのように進化する必要がありますか？

これまでセキュリティは主に人を前提に構築されてきました。しかし、今ではエージェントが、すべての手順で人の承認を得ることなく、ファイルを開き、ツールを呼び出し、データを移動させることができます。セキュリティも同じ速度で機能する必要があります。多くの製品は、事後にインシデントを分析するためにAIを使っています。私たちはAIを使って、ブラウザー外で起こるものも含め、リスクのある行動をリアルタイムで把握し、阻止します。

エージェントは、デスクトップアプリケーションやターミナル、あるいはタスクの実行中に見つけた別のツールを使って作業することがあります。人とエージェントのどちらが関与している場合でも、セキュリティは環境をまたいでデータと行動を追跡する必要があります。

また、これまでセキュリティチームが問う必要のなかった問題も生じます。リスクのあることが起きたとき、それは本人が意図して行ったのでしょうか。それともエージェントが誤ったのでしょうか。これらには、それぞれ異なる対応が必要です。従業員が誤った判断をしているなら、指導します。エージェントが誰にも指示されていないことをしているなら、それを止めます。

エンドポイントであれば、データ、プロセス、行動が一緒に現れるため、その違いを見分けられます。

多くの企業は、特定のツールを制限したり禁止したりして、生成AIのリスクに対処してきました。データへのアクセスやデータの送信先を管理する仕組みがあれば、ほぼあらゆるAIツールを許可できるというモデルへ、組織は移行していると思いますか？

一律の禁止では解決しません。従業員は新しいAIツールを見つけて、数秒で使い始められます。その大半は、セキュリティを回避しようとしているわけではありません。仕事をより速く進めようとしているのです。

より重要なのは、そうしたツールを使ったときに会社のデータがどうなるかです。

誰かが個人用のAIアカウントを無害な業務に使っているのであれば、会社のアカウントを案内するだけでよいかもしれません。一方、ソースコードや顧客情報、認証情報を会社が許可していない場所へ送ろうとしているなら、セキュリティ部門が介入する必要があります。

今後はそのような方向に進むと思います。AIを使える余地を従業員に与えながら、データには管理策を設けるのです。何にアクセスしているのか、どこへ送られるのか、いつ介入する必要があるのかを把握します。

AIをローカルで実行すれば、遅延やプライバシーの面で利点が期待できますが、エンドポイントデバイスの計算能力やメモリには限りがあります。従業員のデバイス上で意味に基づくデータ分類とリアルタイムの制御を直接行えるモデルを構築する際、どのような技術的なトレードオフがありましたか？

巨大なモデルをノートパソコンに載せ、CPUやメモリを大量に消費させておいて、それをセキュリティと呼ぶわけにはいきません。セキュリティ製品のせいでコンピューターが使いづらくなれば、従業員は不満を持ち、IT部門はその製品を無効にするでしょう。

そのため、現実的なトレードオフがいくつもあります。モデルは、無害なデータと機密データを見分けられるだけの理解力を備える必要があります。同時に、バックグラウンドで継続的に動作できるだけの速度と小ささ、信頼性も求められます。

最初に取り組んだのは、さまざまな種類のコンピューターで動作し、速度を落とすことなく有用な分類を行えるモデルの構築でした。そのための技術的な開発はすでに完了しているため、お客様自身がこうしたトレードオフに直面する必要はありません。

開発を通じて、ユーザー体験を最優先にしてきました。当社の製品が使用する計算リソースは、従来型の競合製品が使う非AIエージェントの約20%にとどまります。また、行動が起きたその場で、ローカルに判断を下します。機密データかどうかを判定するだけなら、データをデバイスの外へ出す必要はありません。

Boldは、AIツールやアカウント、エージェントの活動を特定し、リスクのある行動について、ユーザーへの案内や別の行動への誘導、ブロックを行えます。システムがユーザーに警告するだけにするか、行動を自動的に止めるかは、どのように判断していますか？

気の利く同僚ならどう対応するかを考えてみてください。個人用のChatGPTに下書きを貼り付けようとしていたら、隣から「ねえ、それなら会社のアカウントがあるよ」と声をかけるでしょう。顧客データベースを個人用Driveにアップロードしようとしていたら、腕をつかんで止めるはずです。

私たちも同じやり方を心がけており、コーチングによってユーザーを安全な代替手段へ誘導できる割合は、少なくとも90％に達しています。多くの場合、誤って別のアカウントを使っているか、データをどこに保存・送信してよいかという会社の方針を知らないだけです。

どこでブロックするかは最終的には顧客が決めることで、その基準は会社ごとに異なります。私たちの役割は、適切な判断を下すための背景情報と自信を提供することです。より複雑でリスクの高い操作の流れでは、先ほど触れた背景情報を、ユーザー自身の過去の履歴、さらには同僚グループの履歴と照らし合わせて判断することになります。

あなたのキャリアは、SAMでのコネクテッドデバイスのセキュリティ確保から、Polyrizeでのアイデンティティとクラウド権限の保護へ、そして現在はBoldで人間、AIエージェント、企業データ間のやり取りを保護するところへと移ってきました。この3世代のサイバーセキュリティを通じて、セキュリティの根本的な境界についての見方はどのように変わりましたか？

セキュリティの基本に対する私の見方は、より明確になりました。一貫しているのは、実際に処理が行われる場所の近くにセキュリティを配置し、大規模に機能させることです。

SAMでは、リソースが非常に限られたルーターに、エンタープライズ水準のセキュリティを導入しました。その経験から、高度なテクノロジーをエッジに効率よく実装する方法を学びました。Polyrizeでは、可視化とセキュリティ態勢管理を通じて、クラウド環境やSaaS環境全体のデータ保護に取り組みました。リスクへの露出状況を把握することは不可欠ですが、それだけでリスクのある操作を阻止できるとは限りません。

Boldでは、そうした学びを結集しています。人やAIエージェントがデータとやり取りするエンドポイントにインテリジェンスを配置し、セキュリティチームがリスクを把握してリアルタイムで介入できるよう、状況を理解するための情報を提供します。

ネットワークセキュリティやクラウドセキュリティも依然として重要ですが、エンドポイントでは、デスクトップアプリケーション、ローカルファイル、個人アカウント、そしてデバイス上で稼働するエージェントを通じた活動を把握できます。セキュリティがどれほど高度かと同じくらい、どこで、いつ機能するかが重要だと学びました。

3年から5年先を見据え、従業員が自律性を高めるAIエージェントと共に働くようになるなかで、企業のエンドポイントはどのような存在になっていくと考えますか？すべてのデバイスが、それぞれ独自のインテリジェントなセキュリティレイヤーを実質的に備え、どの人間やエージェントが特定のデータとやり取りできるかを継続的に判断する段階に至る可能性はあるでしょうか？

まさにその方向に進んでいると思います。

エンドポイントは、デバイス上のデータを理解し、人間とエージェントのどちらがそのデータを操作しているかを把握したうえで、何を許可し、何を許可すべきでないかをローカルで判断するインテリジェントなセキュリティレイヤーになります。

エージェントの自律性が高まるほど、これは重要になります。本人に代わって、複数のエージェントがファイル、アプリケーション、社内システムを横断して同時に作業することも考えられます。本人がすべての手順を承認することをセキュリティの前提にはできません。本人がすべてを見守ることは、ますますなくなるからです。

データを保護する必要性は変わりませんが、データにアクセスする主体の数は、キーボードの前にいる一人をはるかに超えて増えていきます。セキュリティシステムはエージェントと通信し、判断を下し、操作が行われるのに応じて自律的に対応する必要があります。そうしたシステムを運用する人々は、個々のイベントを一つずつ確認するのではなく、制御や判断を監督する役割をますます担うようになります。データがまだ会社の管理下にある間に、そうした判断を行える場所がエンドポイントです。

素晴らしいインタビューをありがとうございました。エンドポイントでのデータ保護や、安全なエンタープライズAIの導入について詳しく知りたい読者は、Bold Securityをご覧ください。