c3.8 AI ランタイムへの脅威を検知する

AI ランタイムが標的になる理由

AWS の認証情報を入手した攻撃者は、Amazon Bedrock や Amazon SageMaker に軸足を移し、モデル推論の悪用（「LLMjacking」: 高額な推論請求を発生させる、またはアクセスを転売する）、データの持ち出し、モデルやそのロギングの改ざんを行うことが増えています。これを検知するには、ビルド時のチェックだけでなく、AI のコントロールプレーンとデータプレーンのランタイムシグナルが必要です。

GuardDuty AI Protection を有効化する（主要な統制）

Amazon GuardDuty AI Protection は、このカバレッジを得るためのマネージドな方法です。有効にすると、GuardDuty は Amazon Bedrock・Bedrock AgentCore・SageMaker AI の AWS CloudTrail データイベントを自動的に分析し（サービスにリンクされたチャネルを作成するため、証跡の設定は不要）、次を検知します。

• 異常なモデル呼び出し: アイデンティティやアカウントのベースラインから逸脱する呼び出し（通常と異なる IP・API・モデル）。
• コストハーベスティング（LLMjacking）: 計算コストの高い入力でトークン消費とコストを膨らませる行為。
• 直接プロンプトインジェクション: モデルの指示を上書きしようとする悪意あるプロンプト。この検知には Amazon Bedrock Guardrails が必要です。AWS Organizations の Bedrock ポリシーで、プロンプト攻撃対策のガードレールを組織全体に適用してください。

GuardDuty の Foundational プランは、管理イベントからの検知を追加します。Bedrock ガードレールの異常な削除、学習データソースの変更（データポイズニング）、モデル呼び出しロギングの無効化（回避）、Bedrock/SageMaker を呼び出す exfil された EC2 認証情報など。Lambda Protection は Bedrock エージェントの脅威検知に役立ちます。

検知を対応に連携する

検知は、誰かが対応して初めて意味を持ちます。AI Protection の検出結果を検出結果に対応するワークフローと SIEM / Security Lake に送り、インシデント対応プレイブックが侵害された AI ワークロードをカバーすることを確認します（たとえば、アイデンティティの失効、影響を受けたキーの無効化、呼び出しログの確認）。

AI Security Maturity Model でさらに深める

これは AI のランタイム検知の基本をカバーする Cloud の統制です。AI を深く守ることは独立した専門分野なので、AI の攻撃対象領域全体をたどるには、専用の AI Security Maturity Model を使ってください。