AIセキュリティは、情報セキュリティの単なる一分野ではありません。その脅威モデルは本質的に異なります。

• 資産とはデータではなく、振る舞い（挙動）です。 従来の情報セキュリティは、機密性、完全性、可用性といったデータ資産を保護します。一方、AIセキュリティは、それに加えてAIの振る舞いをも保護する必要があります。すなわち、モデルが意図された通りに動作しているか、誤った動作をするように操作される恐れはないか、また、基盤となるデータ分類では検出できなかった推論パターンを通じて学習データが漏洩することはないか、といった点を検証しなければなりません。

• 脅威はモデル固有のものです。 プロンプトインジェクション、学習データのポイズニング（汚染）、モデル抽出、ジェイルブレイク（脱獄）、エージェントの目的ハイジャック、ディープフェイクの悪用などは、既存の管理策ライブラリには明確にマッピングできない脅威です。OWASP Agentic Top 10やOWASP LLM Top 10では、AIに特化した分類法（タクソノミ）が策定されていますが、既存のセキュリティスタックの大部分はこれらに対応していません。

• サードパーティベンダーの領域が急拡大しています。 あらゆるSaaSベンダーがAI機能をリリースしています。既存のTPRM（サードパーティリスク管理）のプレイブックは、ベンダーが自社の取り組みを開示することを前提としています。しかし、セキュリティ審査担当者が尋ねるように訓練されている質問内容と合致しないため、AIベンダーへのアンケート調査は慎重に確認されないケースが多々あります。

• 責任の所在（アカウンタビリティ・チェーン）が未確立です。 本番環境でモデルが予期しない動作をした際、その責任は誰が負うべきでしょうか。モデルを構築したベンダー、それを展開したインテグレーター、導入を承認したビジネス部門、あるいは評価を承認したセキュリティ部門でしょうか。多くの企業では、この問題がまだ解決されておらず、責任の境界線は今なお模索されている段階です。