![[アップデート] AWS Security Hub に AI インベントリが追加され、組織全体の AI 資産を一元的に可視化できるようになりました](https://images.ctfassets.net/ct0aopd36mqt/wp-refcat-img-cea52bc8a6ec5cad9021b38df4a08b9e/24c76ee7c1ae7aa7f9676a59c77f8702/aws-security-hub?w=3840&fm=webp)
[アップデート] AWS Security Hub に AI インベントリが追加され、組織全体の AI 資産を一元的に可視化できるようになりました
いわさです。
組織内で AI ワークロードが増えてくると、「どのアカウントのどこで何が動いているのか」を把握したくなります。
Amazon Bedrock のようなマネージドサービスだけでなく、EC2 上でセルフホストの推論サーバーを動かしているケースや、外部の AI API を呼び出しているケースもあるので、一元的に把握する手段があると嬉しいところです。
先日のアップデートで、Security Hub に「AI インベントリ」機能が追加されました。
これにより、組織全体の AI 資産を自動的に検出・カタログ化し、セキュリティ検出結果と関連付けて確認できるようになっています。
AI インベントリは Security Hub Essentials に含まれており、追加費用なし・追加の有効化操作なしで利用できるとのこと。
今回こちらを確認してみたので紹介します。
AI インベントリの検出方法を確認してみる
公式ドキュメントに検出方法の詳細が記載されています。
AI インベントリでは、以下の 3 つの方法で AI 資産を検出するみたいです。
マネージドサービスの検出
Amazon Bedrock、Bedrock AgentCore、Amazon SageMaker のリソースは AWS Config の構成アイテムから自動的にインベントリに取り込まれます。
こちらは追加設定不要とのこと。
Discovery of managed AI resources requires no additional configuration beyond enabling Security Hub.
セルフホスト AI の検出（Inspector SBOM 経由）
EC2 インスタンスや ECR コンテナイメージ上で動作するセルフホストの AI ワークロードは、Amazon Inspector の SBOM 分析から検出されます。
Inspector のディープインスペクション（拡張スキャンモード）を有効にすると、OS パッケージだけでなくプログラミング言語のパッケージマネージャー経由でインストールされたソフトウェアまで深く収集されます。
Security Hub の AI インベントリでは、この SBOM の情報をもとに AI 関連のソフトウェア（推論サーバーや ML フレームワークなど）がインストールされていることを検出するようです。
公式ドキュメントによると、EC2 の場合はエージェントベーススキャン（拡張スキャンモード）、エージェントレススキャン、またはハイブリッドスキャンのいずれかを有効にする必要があるみたいです。
For Amazon EC2 instances, enable agent-based scanning with enhanced scanning mode, agentless scanning, or hybrid scanning. Agent-based scanning without enhanced scanning mode doesn't produce the deep software inventory that AI resource detection requires.
なお、拡張スキャンモードなしのエージェントベーススキャンでは、AI 検出に必要な深いソフトウェアインベントリが生成されないため不十分とのこと。
検出対象のセルフホスト AI リソースとしては、モデル（Hugging Face モデルなど）、推論エンドポイント（vLLM、TGI、llama.cpp など）、エージェント、外部エンドポイントの 4 種類があります。
外部 AI エンドポイントの検出（GuardDuty DNS 経由）
EC2 インスタンスからサードパーティの AI サービス（OpenAI、Anthropic など）へ DNS リクエストが発生した場合、GuardDuty の DNS テレメトリを通じて検出されます。
こちらは GuardDuty を有効にしている必要があります。
公式ドキュメントによると、外部エンドポイントの検出は現時点で EC2 のみが対象で、Fargate、Lambda、SageMaker、EKS などのサービスマネージドなコンピュートは対象外みたいです。
External endpoints are detected from GuardDuty DNS activity on Amazon EC2 only.
コンソールで確認してみる
Security Hub コンソールの左メニューの「インベントリ」セクションに「AI インベントリ」が追加されています。
AI インベントリ画面を開くと、概要セクションに AI アセットの合計数と、検出タイプ（セルフホスト/マネージド）別、サブカテゴリ別の内訳が表示されます。
私の環境では AI アセットが合計 9 件検出されており、すべてマネージドタイプでした。
サブカテゴリの内訳はモデルサービング 2、開発 2、その他 5 です。
リソースタイプを展開してリソースを選択すると、右側に詳細パネルが表示されます。
カテゴリが AI/ML、検出タイプが「マネージド」、サブカテゴリやリージョンなどの属性情報が確認できます。
検出結果（Findings）について
詳細パネルの「検出結果」タブを開いてみると、「適用されたフィルターの結果はありません」と表示されました。
AI インベントリにリソースとしては表示されているものの、セキュリティの検出結果は紐づいていない状態です。
公式ドキュメントによると、検出結果の表示はマネージド AI リソースのみがサポートされており、セルフホスト AI リソースには検出結果が関連付けられないみたいです。
Self-hosted AI resources don't have findings in this release. Security Hub shows finding counts for managed AI resources only.
今回の環境ではマネージドリソースに対しても検出結果が 0 件でした。
これは、対応するセキュリティコントロール（AI Security Best Practices 標準など）に違反する設定がないためか、あるいは該当標準が有効化されていないためかのどちらかだと思います。
セルフホスト AI を検出させるための前提条件
今回の環境ではセルフホスト AI は検出されませんでしたが、セルフホスト AI を検出させたい場合に必要な構成を公式ドキュメントからまとめておきます。
- Security Hub を有効化する（Essentials プラン）
- Amazon Inspector を有効化する
- EC2 の場合：拡張スキャンモード付きのエージェントベーススキャン、またはエージェントレススキャンを有効にする
- ECR の場合：コンテナイメージスキャンを有効にする
- Amazon GuardDuty を有効化する（外部エンドポイント検出が必要な場合）
- EC2 上で検出対象の AI ソフトウェアを実行する
なお、公式ドキュメントによると、セルフホスト AI の検出は信頼度ベースのシステムを使用しているみたいです。
SBOM コンポーネントなどの主要シグナルをアンカーとし、追加のシグナルを相関分析して信頼度のしきい値を満たしたリソースのみが表示されるとのこと。
Security Hub uses a confidence-based detection system for self-hosted AI resources. Each detection is anchored to a primary signal, such as an SBOM component. Security Hub then correlates additional signals to establish confidence before a resource appears in your inventory.
さいごに
本日は AWS Security Hub に AI インベントリ機能が追加されたので確認してみました。
マネージドサービスの AI リソースは追加設定なしで自動的に検出されるので、既に Bedrock や SageMaker を使っている環境であれば、AI インベントリを開くだけで一覧が確認できます。
OpenSearch Serverless のセキュリティポリシーのような周辺リソースも AI/ML カテゴリとして分類されるのは、AI ワークロードの全体像を把握するのに良さそうですね。
一方で、セルフホスト AI の検出には Inspector の拡張スキャンモードが必要だったり、外部エンドポイントの検出対象が EC2 のみだったりと、現時点ではいくつか制約もあります。
特に Lambda や Fargate から外部 AI API を呼んでいるパターンは実運用で多そうなので、これらも検出対象になると嬉しいかも。アップデートに期待したい。
