AIワークフローにRAGを組み込む処理は、以下の手順で進む。

• データの取り込み：企業内の文書やデータベース、承認済みナレッジソースを収集して準備する
• チャンク化とエンベディング：文書を「チャンク」に分割し、効率的な検索のために意味を捉えた数値表現へ変換する
• ベクトルデータベース：チャンクを保存し、完全一致ではなく意味に基づいたセマンティック検索を可能にする
• 検索：ユーザーがプロンプトを入力すると、システムがベクトルデータベースを検索して最も関連性の高いコンテンツを取得する
• 回答生成：取得したコンテンツをコンテキストとしてLLMに渡し、当初の学習データだけに頼らず組織の最新データに基づいた回答を生成する

　データの取り込みから回答生成に至るRAGデータパイプラインの全段階が、AIのアタックサーフェス（攻撃対象領域）になる。RAGでは、機密情報がユーザーに届くまでに複数の信頼境界を通過する。

RAGの主なデータセキュリティリスク

　従来のデータベースとは異なり、RAGシステムは自然言語による検索を通じてデータを公開する。これが攻撃者に隙を与える。具体的には、不正なデータ露出、プロンプトや検索の改変、データポイズニング、データ漏えいなどがある。

不正なデータ露出

　文書へのアクセス権限の設定漏れや誤設定によって露出が起きることが多い。検索パラメーターが過度に広い場合、権限のないユーザーに機密情報が返される可能性がある。例えば営業担当者がAIアシスタントを介して社外秘の人事記録を取得してしまうケースがある。

プロンプトおよび検索の改変

　RAGシステムに不正なソースデータが注入されると、コンテキストポイズニングや悪意ある文書、隠し命令、プロンプトインジェクション攻撃につながる。この場合、攻撃者はモデル自体ではなく、取得されるコンテキストを操作する。

データポイズニング

　データポイズニング攻撃では、攻撃者はソースデータを標的にする。データを破損させたり、ナレッジベースの更新時に悪意あるデータを混入させたり、誤ったビジネスガイダンスを提供させたりする。これらは全て企業への信頼失墜につながる。

データ漏えい

　データ漏えいにより、個人を特定できる情報（PII）や顧客データ、財務情報、知的財産、規制対象の記録など、社内限定またはアクセス制限を維持すべき機密情報が外部に露出する。

安全なRAGデータパイプラインの構築

　RAGのデータセキュリティリスクを低減するには、導入後ではなくパイプラインの構築当初からセキュリティを組み込む必要がある。安全な取り込み、アクセス制御、ベクトルデータベースの保護、データベース露出の削減、安全なAIインタラクションという5つの制御策に注力したい。

安全なデータ取り込み

　データ取り込みプロセスを保護するために、以下のプラクティスを適用する。

• ソース文書の検証
• アップロードされたファイルの検査
• 悪意あるファイルや不正確なファイルの削除
• 一貫性があり正確なデータ分類
• 標準タグを用いたメタデータの特定

ID認識型アクセス制御の実装

　ロールベースアクセス制御（RBAC）や属性ベースアクセス制御（ABAC）のフィルターを使用してデータアクセスを管理する。最小権限のアクセス基準を適用し、ユーザーIDの意図しない波及や権限の過剰付与を防ぐ。AIによるデータ取得は、既存の文書権限とユーザーIDを尊重しなければならない。ユーザーが直接アクセスできないコンテンツを取得させてはならない。

ベクトルデータベースの保護

　RAGで利用可能なデータをホストするベクトルデータベースを管理する。認証やAPIセキュリティに加え、保存時および転送時の強力な暗号化を適用する。ネットワークのセグメンテーションやバックアップ管理など、インフラセキュリティも必要だ。

機密データの露出防止

　データの最小化、マスキング（墨消し）、トークン化、シークレット管理、インデックス作成対象の制限など、標準的なデータ露出削減策を実施する。

LLMインタラクション層の保護

　標準的なAI技術を用いて、ユーザーとLLM間の通信を保護する。

• プロンプトフィルタリング：ユーザー入力を検査および無害化し、プロンプトインジェクションの試行や悪意ある命令、不正な要求を検出してブロックする
• 入力検証：プロンプトが想定された形式に適合しているか確認し、長さやコンテンツの制限を適用して不正な形式や疑わしい要求を拒否する
• 出力フィルタリング：ユーザーに結果を返す前に、モデルの回答をスキャンして機密データや社外秘情報、ポリシー違反がないか確認する
• 回答検証：生成された回答を取得元のソースコンテンツと照合し、ハルシネーションを削減するとともに、出力が信頼できるデータに基づいていることを証明する
• ガードレール：安全でない動作を制限し、不正なアクションを防止して、企業のセキュリティ要件を適用する定義済みポリシーとランタイム制御を適用する

ガバナンス、コンプライアンス、継続的監視

　AIガバナンスは一度導入して終わりではなく、AIシステムとともに進化させる必要がある。標準的なAIガバナンスフレームワークを活用し、RAGの情報検索についての具体的なプラクティスを確立する。これらのプラクティスは、データのプライバシー、保持、所在（データレジデンシー）についての義務など企業および規制の要件に準拠していなければならない。AI関連の運用タスクに定期的なセキュリティ評価とコンプライアンス評価を追加する。

　データ取り込み、ベクトルデータベースへの保存、ユーザーによるプロンプトの利用など、運用のあらゆる面でRAGシステムの継続的監視を実施する。暗号化やアクセス制御などのデータ管理プラクティスも含める。

　RAGはAIの有用性を高めるが、新たなセキュリティリスクと管理責任をもたらす。安全な導入には、データ、検索、ID、監視を含む他のAI導入と同様の階層化された制御策が必要だ。RAGのデータセキュリティを包括的なセキュリティアーキテクチャの一部として扱う企業は、危険を低減しながら責任あるAI導入を実現できる。