社内文書を AI に読ませて大丈夫か — 取り込んだ後も、元の閲覧範囲は効いているか
社内文書を AI に読ませる仕組みは、質問のたびに文書を探してから答えを作ります。探す段が、元の閲覧範囲を見ているかどうかが問題になります。
何が起きるのか — 取り込むと権限が置いていかれる
| 段 | 元の置き場では | 取り込んだ後は |
|---|---|---|
| 文書 | 共有フォルダや案件のフォルダにあり、誰が開けるかが決まっている | 文章が小さく切られ、別の入れ物に写される |
| 探す | 開ける人の目にしか触れない | 入れ物が閲覧範囲を持っていなければ、すべてから探す |
| 答える | — | 探してきた文章を材料に、そのまま文になって出る |
OWASP の 2025 年版の一覧には、この題が独立した項目として置かれています（Vector and Embedding Weaknesses）。原文はこう書いています。
「Inadequate or misaligned access controls can lead to unauthorized access to embeddings containing sensitive information. If not properly managed, the model could retrieve and disclose personal data, proprietary information, or other sensitive content.」
編集部訳: アクセス制御が不十分だったり、かみ合っていなかったりすると、機微な情報を含む取り込み済みのデータへ、権限のないアクセスが起きうる。適切に管理されていない場合、モデルが個人データや専有情報などの機微な内容を取り出して開示してしまうことがある。
「権限が破られる」のではなく、「持ち込まれなかった」のが要点です。 元の置き場には確かに権限があり、取り込む先にそれが写らなかった、という順番で起きます。
入れ物を共有していると、隣の組のものが出る
ここで扱うのは、読ませていない文書が出てくるほうです。別の入れ物を共有している場合に起きます。
「In a multi-tenant environment where different groups or classes of users share the same vector database, embeddings from one group might be inadvertently retrieved in response to queries from another group's LLM, potentially leaking sensitive business information.」
編集部訳: 複数の集団や利用者の区分が同じ入れ物を共有している環境では、ある集団の取り込み済みデータが、別の集団からの問いに対して意図せず取り出され、機微な業務情報が漏れる可能性がある。
| 入れ物の形 | 確かめること |
|---|---|
| 自社専用 | 取り込んだ文書が、自社の中だけで探されるか |
| 他の利用者と共有 | 区分がどう分けられているか。分けていると書いてあるか |
| 自社の中で部門をまたぐ | 部門や案件の単位で分けられるか。分ける設定が誰にできるか |
3 行目が実務でよく効きます。他社と混ざらない製品でも、自社の中で人事と営業が同じ入れ物を共有していれば、同じことが起きます。
確認すべき 4 つの問い
OWASP が対策として挙げているのは、権限を意識した入れ物と分離、取り込むデータの検証と分類、取り出しの記録の 4 つです。これを買う側の問いに言い換えると、こうなります。
| 問い | なぜ効くか | 読めなかったら |
|---|---|---|
| ① 取り込んだ後も、元の閲覧範囲が効くか | 探す段で範囲を見ないと、回答に全部出る | 取り込む文書を、全員が読めるものだけに絞る |
| ② 入れ物は自社専用か | 共有だと、区分の分け方が効いているかに依る | 機微な文書を入れない |
| ③ 部門や案件の単位で分けられるか | 自社の中でも範囲は一枚ではない | 部門ごとに別の環境を使うか、入れる範囲を絞る |
| ④ 取り出しの記録が残るか | 出たかどうかを後から確かめられる | 出た疑いを調べられないので、入れる範囲をさらに絞る |
①は「対応しています」の一言では足りません。 聞き方を変えて、「元のフォルダで見えない人が質問したら、その文書は候補に入りますか」と聞くと答えが具体になります。
調査記録には、社内データの活用とアクセス制御を機能として並べて掲げている製品があります。ただし、その 2 つの関係を述べた記載は見当たりません。 これは製品の欠点ではなく、製品ページにその細かさで書かれていないというだけです。だから編集部は製品ごとの可否を判定していません。判定できるのは、問いに答えが返ってきたかどうかです。
こう決める — 入れる前に決める
| 順 | 手順 | こう判定する |
|---|---|---|
| 1 | 取り込む候補の文書を、元の閲覧範囲で 3 つに分ける（全員・部門限定・案件限定） | 分けられない置き場なら、そこは取り込みの対象から外す |
| 2 | まず「全員が読めるもの」だけで始める | これだけで効果が出るなら、範囲を広げる必要がない |
| 3 | ①〜④の問いを製品に出し、答えを記録する | 「対応しています」だけの答えは記録に値しない。設定の名前まで聞く |
| 4 | 部門限定・案件限定を入れるかを、③の答えで決める | 分ける設定が無い製品には、限定の文書を入れない |
| 5 | 取り込んだ後に、範囲の外の人で試す | 見えない人の口から質問して、候補に出ないことを自分で確かめる |
5 番目を飛ばさないでください。 設定したことと効いていることは別で、確かめるのは 5 分で済みます。なお参照した一覧は 2025 年版で、版があるスナップショットです。 取り込んだデータがどこに置かれるかは データはどこに置かれるか、学習に使われるかは 学習に使われるとは何か、読ませた文書に指示が混ざる話は PDF を要約しただけで漏れるのか に分けて置きました。