このブログを作る第3回 — これってマジで大丈夫なん？（セキュリティの話）

前回、AIに丸投げしたらブログがインターネットに公開できてしまいました。そして記事の最後に、こう書きました。「何も考えずに許可するのは怖い」と。

AIに聞きながら進めると、サーバーだのDNSだの、よく分からないものがよく分からないまま動いてしまいます。便利です。便利なんですが、ふと我に返るわけです。

これってマジで大丈夫なん？　と。

今回はこの「なんとなく怖い」を放置せず、何がどう怖いのかを分解します。先に言っておくと、怖がるべき場所は実はそんなに多くありません。

何が怖いのか、分解してみる

「セキュリティが心配」という漠然とした不安の正体は、だいたい次の5つに分けられます。

ひとつずつ、「何が起きるのか」と「どう防ぐのか」を見ていきます。

①アカウントの乗っ取り

一番現実的で、一番痛いやつです。CloudflareやGitHubのようなサービスのアカウントを他人に入られると、サイトごと持っていかれます。

ただ、防ぎ方は昔から変わりません。

パスワードを使い回さない（これが最重要。どこか1つ漏れると全部やられます）
大事なサービスは2段階認証をONにする

地味ですが、これだけで乗っ取りの大半は防げます。逆にいうと、どれだけ他を頑張っても、パスワードが「いつもの」だと全部台無しです。

「2段階認証」とか何やねん、という人へ

パスワードに加えて、スマホの確認コードなどでもう一度本人確認する仕組みです。カギを2つ付けるイメージ。パスワードが漏れても、2つ目の確認で止められます。

各サービスの設定画面に「2段階認証」「二要素認証」「2FA」という項目があるので、大事なサービスから順にONにしていくのがおすすめです。

②秘密のカギの置き忘れ

AIやWebサービスを使っていると、APIキーという「秘密の合いカギ」を発行する場面が出てきます。これをメモしたファイルごと、うっかりインターネットに公開してしまう——実はこれ、初心者事故の大定番です。カギを玄関に貼り紙して出かけるようなものです。

私のルールはシンプルです。

秘密のカギは決まったファイルにだけ置く
そのファイルはAIにも読ませない・公開する場所に置かないと最初に決めておく

AIに作業を頼むときも、「秘密の情報が入ったファイルには触らないで」と最初に伝えています。

「APIキー」とか何やねん、という人へ

サービスを自分の代わりに使うための、長い文字列のカギです。たとえばAIのサービスと連携するときに発行されます。

これが人に見られると、あなたの契約で勝手に使われます。使った分だけ課金されるサービスだと、気づいたら請求が……ということも。「パスワードと同じ扱いをするもの」と覚えておけば大丈夫です。

③AIに渡しすぎる

AIチャットは何でも聞いてくれるので、つい何でも貼りたくなります。ここで一線を引きます。

人の個人情報（名前・住所・連絡先など）は貼らない
仕事の秘密は貼らない
迷ったら「これが漏れて困る相手は誰か」を考える

AIサービスには、入力内容をAIの学習に使うかどうかの設定があることが多いので、一度見ておくと安心感が違います。ちなみにこのブログが「仕事の内側は書かない」と決めているのも、根っこは同じ発想です。

④公開したサイトへの攻撃

「サイトを公開したら、ハッカーに狙われるのでは……」という不安。結論からいうと、個人ブログの段階では、過度に怖がらなくていいです。

盗まれて困る情報（会員データなど）を、そもそもこのブログは持っていない
Cloudflareのようなサービスには、攻撃をある程度防ぐ仕組みが最初から入っている

怖がるべきタイミングは、問い合わせフォームやコメント欄など「人からデータを受け取る仕組み」を付けるときです。そこから先は考えることが増えるので、実際に付ける回でちゃんと書きます。

⑤気づいたら課金

セキュリティというよりお金の事故ですが、不安の正体としては同じ仲間です。

使うサービスの無料の範囲をざっくり把握しておく
無料で試したいだけの間は、支払い情報を登録しないという手もある

このブログは今のところ0円で動いていて、超えそうになったら分かるようにしています。「知らないうちに」が一番怖いので、そこだけ潰しておく方式です。

はなげるげの慎重ルール

最後に、私がAIと作業するときに実際にやっていることを並べておきます。たいしたことはやっていません。でも、これだけで「なんとなく怖い」がだいぶ消えます。

分からない操作の前に「これは何をする操作？」と聞く
「あとで元に戻せる？」を確認してから触る
秘密のカギが入ったファイルはAIに読ませない
公開・削除など、取り返しのつかないボタンの前はひと呼吸
たまにAIに「セキュリティ的にまずいところない？」とレビューさせる

AIは頼めば何でもやろうとしてくれます。だからこそ、どこで止まるかはこちらが決める。それが今のところの、私なりの答えです。

今回出てきた言葉

2段階認証：パスワードに加えて、スマホなどでもう一度本人確認する仕組み
APIキー：サービスを自分の代わりに使うための、秘密の合いカギ

例によってはなげるげのAI用語辞典にも収録してあります。

まとめ：怖さを知っている人から自由になれる

AIのおかげで、「作れるかどうか」はもう問題ではなくなりつつあります。これからの分かれ目は、安心して作り続けられるかどうかだと思っています。

怖い場所を5つ知った今のあなたは、昨日より安全にAIと遊べるはずです。一緒にぼちぼちやっていきましょう。

この連載、次は「ブログを書くときに気をつける法律の話」（著作権とか、引用とか、あのへん）を準備中です。

この連載は、Web開発初心者の筆者がAIと一緒に実際にブログを作っていく記録です。セキュリティの考え方は執筆時点の一般的な内容です。各サービスの設定方法は最新の公式情報を確認してください。