企業内でAIエージェントの本格的な業務活用が進む中、セキュリティの議論に大きな変化が起きています。

というのも、これまで企業セキュリティの主軸だった「誰に何のアクセス権限を与えるか」という静的なアクセス権限管理（IAM）や、外部からの侵入・データ流出を防ぐ防御策だけでは、自律的に動くAIエージェントを制御しきれない実態が明らかになってきているんです。

AIエージェントは、指示されたタスクを達成するため、設定にもよりますが、人間と同じような手順で社内システムやデータベースへ自律的にアクセスすることができるようになっています。

このとき問題となってくるのが、意図せぬプロンプトインジェクション（悪意ある指示の混入）やロジックの逸脱で、仮に攻撃者や誤った指示によってAIエージェントが暴走した場合、そのAIは「正常に付与されたIDとアクセス権限」を持ったまま動くため、従来の権限管理システムからは「正規のユーザーによる正常な操作」と区別がつかず、結果として、内部不正と同様の挙動でシステム破壊やデータ操作が行われてしまう危険性を孕んでいます。

実際に、セキュリティベンダーのPalo Alto Networks（Unit 42）が報告したインシデント分析によると、攻撃者がAIエージェントを悪用して企業ネットワークへ侵入した際、公開APIの突破からわずか10時間未満でシステム最高権限（root権限）の奪取まで到達した事例が確認されています。

人間の手作業による一般的な侵入調査・権限昇格には、通常数日から2週間程度の時間を要しますが、AIエージェントの処理能力が悪用されると、攻撃のスピードが極端に加速することが実証され、こうしたリスクに対し、IPA（情報処理推進機構）が公表した「AIセキュリティ短信」では、AI開発元であるAnthropicやCloud Security Alliance（CSA）の指針を引用しながら、従来のアクセス権限管理からの転換を提唱しています。

これまでの「システム接続時に広範な権限をあらかじめ与えておく静的設定」ではなく、AIエージェントが特定のタスクを実行する瞬間だけ最小限の権限を付与し、作業完了とともに即座に失効させる「Just-In-Time（JIT）認可」や、実行されるプロキシを介したリアルタイムの行動監視が不可欠であると指摘されています。

さらに、AIエージェントを動作させるインフラそのものを安全区画として分離する動きも始まっていて、NVIDIAは、自律AIエージェントがOSや外部ネットワークに直接与える影響を制限するため、エージェント専用の防御ランタイム「OpenShell」を開発・オープンソース化しました。

あわせて主要企業とともに「Open Secure AI Alliance」を設立し、AIモデル単体の安全性にとどまらず、エージェントが動く実行環境全体の制御メカニズム構築を進めています。

AIエージェントの自律性を活かしながら安全に業務へ組み込むには、モデルの回答精度を高めるだけでなく、「権限を与えっぱなしにしない仕組み（JIT認可）」と「万が一の逸脱を即座に遮断する専用ランタイム環境」という動的な行動制御の基盤を整備することが、今後のエンタープライズセキュリティの新たな標準となりつつあります。

Geminiで生成した画像や動画に付く、目に見えるウォーターマークを消せるようになった。

画像の右下などに入るGeminiの印が気になっていた人には、かなり嬉しい変更となり、作品として公開したいときや、資料、商品イメージなどに使えるようになった。

なにせロゴが入っているかどうかで見た目は大きく変わるから。

ただし、ここで少しややこしいことがある。

ロゴを消すことと、AI生成を示す情報を消すことは同じではないということ。

GoogleはGeminiで、目に見えるウォーターマークとは別に、SynthIDやContent Credentialsといった仕組みを使っていて、ウォーターマークの表示をOFFにしても、これらまで無効になるわけではない。

「透かし」という言葉が、少しややこしい

混乱しやすい理由は単純で、どちらも「透かし」と呼ばれるから。

ひとつは、人が見ればすぐ分かるロゴ。

もうひとつは、人間には見えないデジタルウォーターマークであるSynthID。

さらに、コンテンツの出所や履歴を扱うC2PAのContent Credentialsもあり、Googleの説明では、Geminiの検証機能はSynthIDとContent Credentialsを利用しているようだ。

SynthIDはGoogleのAIモデルで生成・編集されたコンテンツを識別するための見えないウォーターマークで、Content Credentialsはコンテンツの作成元や履歴を記録する「デジタルパスポート」のような仕組みだ。

つまり、「右下に何もない画像」と「AI生成の情報が何もない画像」は全くの別物で、ロゴは「見るため」、SynthIDは「調べるため」。

見えるウォーターマークの強みは、とにかく分かりやすいことで、画像を見た人が、その場でAI生成だと判断することができ、専用の確認機能を使う必要もない。

その代わり、当然ながら作品そのものに入り込むことになる。

写真風の画像や広告素材、デザイン、動画などでは、右下の小さなロゴでも気になるし、画像を切り抜いたり加工したりすれば、見えなくすることも可能だ。

しかし、SynthIDは発想が違う。

人間の目には見えない情報をコンテンツ自体に埋め込み、あとから検証できるようにする。

Googleによれば、サイズ変更、色の変更、圧縮などを行ってもSynthIDは通常残るようで、何度も加工された場合などでは、検出できなくなる可能性はあるようだ。

だから、右下のロゴがなくなったからといって、SynthIDまでなくなったわけではなく、Content Credentialsも別に存在している。

さらにややこしくしてくれる、C2PAのContent Credentialsは、SynthIDとは役割が異なっていて、SynthIDがGoogle AIによる生成・編集を検出するためのウォーターマークなのに対し、Content Credentialsはコンテンツの出所や編集履歴などを扱う仕組みとなっている。

GeminiではContent Credentialsが含まれているコンテンツについて、メディアの構成、編集履歴、AIが使われたかどうかといった情報を確認することができる。

なので「AI画像を見分ける仕組み」がひとつだけ存在しているわけではなく、「見えるロゴ」「見えないSynthID」「来歴を扱うContent Credentials」という似た目的を持ちながらも、それぞれ役割が違うものが存在している。

OFFにできるのは「見える部分」

今回の設定変更で利用者が選べるようになったのは、基本的にこの中の「見えるウォーターマーク」。

Gemini側も、見えるウォーターマークをOFFにしても、見えないSynthIDやC2PAの情報は残ると案内しているし、この設定を「AI生成情報を削除するスイッチ」だと考えるのは間違い。

どちらかといえば「AI生成物であることを、作品上で常に見せるかどうかを選ぶ設定」と考えたほうが実態に近いだろう。

ロゴを残せば、見る人にはすぐ伝わるし、消せば、画像や動画としてはすっきりする。

ただし、裏側の検証手段まで一緒に消えるわけではないし、「SynthIDなし＝人間が作った」ということでもない。

---

そして覚えておきたいのが、SynthIDで分かる範囲で、GeminiでSynthIDが検出された場合、その画像や動画の全部または一部がGoogleのAIモデルで生成・編集されたことを示している。

だからといって、SynthIDが検出されなかった場合でも「人間だけで作った」と証明されたことにはならない。

Google自身も、SynthIDが検出されなかったコンテンツについて、別のAIシステムで作られた可能性があるとしているし、GeminiがSynthIDによって認識できるのはGoogle AIツールで作られたコンテンツが基本だ。

ここはAI画像を見る側にとっても大事なところで「検出された＝Google AIが関わっている」というのは判断材料になるが「検出されない＝AIではない」とは断定できない。

AI生成物を一発で白黒判定する万能な仕組みではないし、画像を作る側にとっては、むしろ分かりやすくなっただけ。

今回の変更は、AI生成の痕跡を消せるようになったというより、作品の見た目と、検証の仕組みが分離されたと考えると分かりやすい。

これまではAI生成を示す仕組みが、そのまま作品上のロゴとして見えていたが、これからは、ロゴを表示するかどうかを利用者が選べるようになり、その一方で、AI生成コンテンツの出所をあとから確認するための仕組みは残っている。

ネット上ではこれから、「AIのロゴが付いていないAI画像」を見る機会も増えていくだろう。

だから、右下を見るだけではAI生成かどうかは分からない。

ただ、それは「何も記録されていない」という意味でもない。

AI生成物の表示は、目で見て判断するものから、必要になったときに来歴を確認するものへと少しずつ分かれてきている。

今回のGeminiの設定変更は、その違いがかなり見えやすい例と言える。