AIサービスを業務で使いはじめると、必ず「APIキー」というものを扱うことになります。長い英数字の文字列で、一度設定したらほとんど目にしません。
ただ、これはお金が出ていく蛇口の鍵です。仕組みを知らないまま扱うと、気づいたときには請求が積み上がっていることがあります。
APIキーとは何か
プログラムからAIサービスを使うための鍵です。パスワードとの違いは、次の2点です。
- 本人確認の画面がありません。鍵を持っていれば、誰でも使えます
- 使った分だけ課金されます。多くのAIサービスは従量制です
この2つが組み合わさると、「他人が自由に使えて、その料金は自社に請求される」という状態になります。
どこから漏れるのか
攻撃されて盗まれるより、自分で外に出してしまうほうが圧倒的に多いです。
1. 画面共有・スクリーンショット
設定画面を映したまま、オンライン会議で共有する。エラー画面を撮って、チャットに貼る。録画が残ると、後からでも読み取られます。
2. ソースコードへの直接記入
「とりあえず動かす」ためにコードへ直接書き、そのまま忘れる。制作を外注している場合、納品されたコードに残っていないか確認してください。
3. 公開リポジトリへの誤アップロード
GitHubなどに誤って上げてしまう例です。公開リポジトリを自動で監視し、見つけた鍵を数分以内に試す仕組みが実在します。「すぐ消したから大丈夫」は通用しません。
4. AIへの相談
皮肉な話ですが、「このエラーを直したい」と設定ファイルを丸ごとAIに貼る場面です。前回の記事でも触れましたが、貼る前に鍵が混ざっていないか確認してください。
5. 退職・担当交代
担当者が持っていた鍵が、そのまま有効に残り続ける。使えなくなる仕組みがないため、誰も気づきません。
漏れると、何が起きるか
| 起きること | 内容 |
|---|---|
| 身に覚えのない請求 | 従量課金のため、使われた分だけ増えます。上限を設定していない場合、気づくのは請求時です |
| 自社アカウントの停止 | 不正利用と判断され、サービス側でアカウントが止まることがあります。正常な業務まで止まります |
| 自社名義での悪用 | 第三者が自社の契約でAIを使い、その内容の記録が自社アカウントに残ります |
いちばん厄介なのは、漏れたこと自体には気づけない点です。鍵が使われても、画面には何も起きません。
やっておくべき4つのこと
1. 利用上限を設定する
これが最優先です。多くのAIサービスには、月額の上限を設定する画面があります。設定しておけば、万一のときも被害がそこで止まります。5分で終わります。
2. 鍵をコードに書かない
環境変数など、コードとは別の場所に置きます。制作を外注する場合は、「鍵はコードに直接書かないでください」と依頼時に伝えてください。
3. 定期的に作り直す
半年に一度、鍵を発行し直して古いものを無効にします。漏れているかどうか分からなくても、作り直せばそこで切れます。担当者が変わったときは、その都度行ってください。
4. 使用量を月に一度見る
各サービスの管理画面に、使用量のグラフがあります。普段の形を知っておくと、おかしな増え方に気づけます。知らなければ、増えていても分かりません。
もし漏れたと分かったら
- まず鍵を無効にする。原因を調べるのは、その後です
- 新しい鍵を発行し、使っている場所すべてに設定し直す
- 使用量の履歴を見て、身に覚えのない利用がないか確認する
- 不正利用があれば、サービス提供元へ連絡する
順番が大事です。調べている間も、料金は増え続けます。
ツールを選ぶときに聞くとよいこと
AIツールの導入を検討されるときは、提供元に次の3点を確認することをおすすめします。
- 預けたAPIキーは暗号化して保管されますか
- 画面上で鍵の全体が表示されないようになっていますか
- 利用量を自分で確認できますか
答えられない提供元は、避けたほうが無難です。
ママダカラEC AI での扱い
お預かりしたAPIキーは暗号化して保管し、画面上でも末尾4文字のみを表示します。ご利用量は企業ごとに集計しており、管理画面からご確認いただけます。
