[Financial Express]サイバー保険会社は、ハッキングとは何か、そしていつ保険金が支払われるべきかを定義するために何年も費やしてきたが、AIエージェントの急速な出現により新たな疑問が生じ、保険会社は保険契約の見直しを迫られている、とロイター通信は報じている。
大手AI開発企業の開けるAI、人間、メタプラットフォームは最近、自社のAIエージェントが予期せぬ挙動を示し、管理されたテスト環境から逸脱して、人間の直接的な指示なしに企業へのサイバー攻撃を実行したことを明らかにした。これらの事案による被害は報告されていないものの、企業や保険会社が直面するサイバーリスクが急速に進化していることを浮き彫りにした。
初期指示を受けた後、自律型AIシステムは独自に意思決定を行うことができる。大手企業の幹部8名とアナリストによると、MSIG、QBE、ベイズリーなどの保険会社は、従来のサイバー保険契約を見直し、こうしたシステムがより自律的なタスクを担うようになることで生じる新たなリスクに対応するため、契約内容を改訂しているという。
アナリストや専門家によると、企業は、自律型AIシステムが従来のサイバー攻撃者の定義に当てはまるかどうか、また、AIが引き起こした損失に対する責任は誰が負うのかといった問題に取り組んでいるという。
ミュンヘン再保険が最新の報告書で推定したところによると、世界のサイバー保険市場は昨年約150億ドル規模に達し、2030年までに約280億ドルに達すると見込まれている。アオンは今年初め、同社の予測によれば、2027年までにサイバー攻撃の約20％が生成型AIによるものになると述べている。
「AIが脆弱性を特定し、自律的に攻撃を実行できるようになるにつれ、保険会社は保険契約の内容を継続的に見直す必要が出てくるだろう」と、損害保険専門会社MSIG USAの北米サイバー部門責任者であるライアン・クラッツ氏は述べた。
アルミラ AI、ミュンヘン再保険のアイシュア、AXA XLなど複数の企業が、モデルのパフォーマンス低下、AIが誤った、あるいは誤解を招くような出力を生成する「幻覚」、知的財産権侵害といった、AI特有のリスクに対する的を絞った保険を提供している。
しかし、従来のサイバー保険はより広範な補償範囲を想定して設計されており、ランサムウェアによる身代金の支払い、事業中断、システム復旧、フォレンジック調査、訴訟費用など、さまざまな事象に起因する損失をカバーします。事業中断は、一般的に保険金請求額の中で最も大きな割合を占めます。
ほとんどのポリシーでは、従業員による不正アクセスによる企業データの窃盗や、システムダウンを引き起こすサーバー攻撃など、損失の原因となる特定のセキュリティ事象を想定しています。しかし、AIエージェントは、特に意図的に付与されたシステムへのアクセスを使用している場合、従来のセキュリティ事象を引き起こすことなく損失を引き起こす可能性があります。
「AIエージェントによって引き起こされる損失の中には、間違いなくサイバーセキュリティポリシーの対象となるものもあるでしょう」と、アルミラ AIのCEO兼創設者であるカルティク・ラマクリシュナン氏はロイター通信に語った。「より難しいのは、従来型の攻撃者が存在せず、不正な認証情報の使用も想定されない場合です。」
例えば、企業がセキュリティ上の脆弱性を修正するために、AIエージェントにネットワークへのアクセス権を与えることがある。しかし、そのエージェントは脆弱性を悪用し、企業のシステム内を移動して機密データを漏洩させる可能性がある。そうなれば、従来のハッカーによる攻撃や、当初は不正アクセスが発生しない可能性があったにもかかわらず、損失が発生する恐れがある。
AIが原因の損失に関する過去の保険金請求データは比較的少なく、AI業界も自律型モデルの能力を理解しようとしている段階であるため、こうしたリスクの価格設定は困難である。
「彼らはまだ、それらがどのような可能性を秘めているのか、どのように機能するのか、そしてそれらを封じ込めるためにどのようなセキュリティ対策を講じる必要があるのかを模索している段階です」と、サイバーセキュリティや保険などを専門とするランド研究所の上級政策研究員、サシャ・ロマノスキー氏は述べた。
保険会社は、除外条項を追加するのではなく、AIが関係する場合に既存の保険約款がどのように適用されるかを明確にする方向にシフトしている。「引受担当者は、こうした事態に対応できる商品を提供し続けることが重要だと認識している」と、保険ブローカーであるマーシュのグローバルサイバー商品リーダー、グレッグ・エスキンズ氏は述べている。
例えば、保険会社QBEは、特定の新たなAIリスクに対する保護を強化している。QBEのグローバルサイバー部門責任者であるセリーン・デイビス氏は声明の中で、「AI関連の事象が従来のサイバーインシデントにつながった場合、その結果生じる損失は引き続きサイバー保険の対象となる」と述べた。「AIは根本的に新しいサイバーリスクではなく、リスク増幅要因として扱われている」と彼女は付け加えた。
英国のベイズリー社の広報担当者は、企業はAIリスクを包括的なサイバー保険に含めることを望んでいると述べた。「新たなAIリスクが出現するにつれ、当社は新たな補償内容を開発しています。」
それでも、業界の一部では、対象を絞った除外措置が議論されていると幹部らは述べている。ベリスク・アンダーライティング・ソリューションズのスペシャリティ・コマーシャル・ライン担当副社長であるジェニー・ソウブラ氏は、「単一のAIモデルやプラットフォームが、一度に多くの組織に損失をもたらす可能性のある、潜在的なシステム事象」が注目されている分野の一つだと述べている。
もう一つは、設計通りに動作するAIエージェントが、高額な費用のかかる自律的な意思決定を行った場合の責任に関するものです。一部の保険会社は、これをサイバー事象ではないと分類する可能性があります。
「市場はまだ発展途上ですが、AIの導入が加速するにつれて、企業や保険会社はAI関連のリスクに対処する方法を模索し続けると予想されます」とソウブラ氏は付け加えた。
Bangladesh News/Financial Express 20260828
https://today.thefinancialexpress.com.bd/stock-corporate/as-ai-agents-go-rogue-cyber-insurers-are-adapting-their-policies-1787849626/?date=28-08-2026
関連
