AIの作業データを整理した翌朝、NASから「大量変更」の警告が届いた
普段は「問題なし」の定期レポートが届くNASから、初めて警告メールが2通届きました。ログと作業履歴を追い、AI関連データを大きく整理した直後の変更と照合した記録です。
先日、この技術ノートで、SCS★3に向けて「戻せるバックアップ」を実際に作った記録を書きました。
社内NASに外付けのバックアップ機器を接続し、毎日1回、30世代を残す履歴差分バックアップを設定したものです。
初回は約9時間。2回目以降は約20分。さらに、過去世代から実際にファイルを取り出し、PCで開けるところまで確認しました。
その後も毎日、自動バックアップを動かしています。数日間は特に問題もなく、毎回20分程度で正常終了していました。
ところが、ある朝メールを見ると、NASから見慣れない警告メールが2通届いていました。
初めて見る「全ファイルが変更または削除」の警告
当社のNASは、I-O DATAのクラウド状態管理サービス「NarSuS」に登録しています。
普段届く定期レポートには、
問題は検出されておりません
と書かれています。これまで何度も見てきた表示です。
ところが、この日の件名には、
アラートメール［警告］
とありました。
本文には、
フォルダー内のファイルが全て変更または削除されました。
さらにもう1通には、
複数フォルダー内で全ファイルが変更または削除されました。
と書かれています。
正直、かなり焦りました。
普段「問題なし」というメールを見ていたところへ、突然の「全ファイルが変更または削除」です。
何かおかしなことが起きたのか。ランサムウェアのような不正な書換えなのか。
まず頭に浮かんだのは、そういうことでした。
直前にNAS Securityの期限切れも見つけていた
さらに気になったことがありました。
実はこの数日前、NASの管理画面を確認していたときに、セキュリティソフトのライセンスが期限切れになっていることに気付きました。
その経緯は、「SCS★3に向けてNASを確認していたら、セキュリティソフトの期限切れが見つかった」に残しています。
更新ライセンスはすぐに注文しました。ただ、今回の警告メールが届いた時点では、まだ手元に届いていませんでした。
その状態で「全ファイルが変更または削除」という警告です。
もしかして、セキュリティソフトが切れている間に何か入ったのではないか。
タイミングが悪かったこともあり、一瞬そう考えました。
ただ、警告だけを見て原因を決めるわけにはいきません。ログや作業履歴を追っていくと、今回の警告には別の、かなり具体的な原因候補がありました。
警告は、深夜のバックアップ中に出ていた
当社では、世代バックアップを毎日深夜に実行しています。
警告が記録されたのは、バックアップ開始から約20分後でした。その時間に、人がNASを操作していたわけではありません。
そこで、まずバックアップログを確認しました。
ログでは、世代バックアップの差分処理中に複数の警告が記録されていました。ただ、その後も処理は続いています。
約5分後には、
世代バックアップ完了
さらに最後には、
バックアップ完了
と記録されていました。
実行時間は約25分。それまでの約20分より、少し長い程度です。
少なくとも、バックアップ処理が途中で失敗して止まったわけではありませんでした。
ログを見る限り、前回のバックアップから大きな変更があったため、確認を促す警告が出たと考えるのが自然そうでした。
では、何がそれほど変わったのか。
警告対象は、直前に整理したAI関連データだった
ログを確認すると、警告対象は会社の業務データ全体ではありませんでした。
AI関連の作業データを置いている領域に集中していました。
ここまで見て、心当たりが出てきました。
その少し前、AIを使う作業量が増え、数日間、AIエージェントの開発やKnowledgeの整理をかなり集中的に進めていました。
- Knowledgeの整理
- 調査と文書生成
- 検証用データの作成
- スクリプト作成
- 中間成果の保存
- 既存資料の解析
短期間で多くのファイルが生まれました。
AIを使う量が増えるほど、完成した成果物だけではなく、中間データ、確認用データ、検索用の派生物なども増えていきます。その結果、保存場所も少し複雑になっていました。
そこで、データの置き場所を一度整理することにしました。
作業記録を確認すると、9月15日から16日にかけて、次のような変更をまとめて行っています。
- プロジェクトフォルダーの改名
- 継続利用する文書の再配置
- 文書内に記録されていた保存先情報の更新
- Knowledgeと管理文書の更新
- 索引や確認用データの再生成
- 解析用データの再生成
元の資料や大きな派生データは残し、必要な文書を整理し直す作業でした。作業記録を確認した範囲では、大規模なデータ削除を行った形跡はありませんでした。
ただし、前回のバックアップと比べれば、かなり大きな構成変更です。
最初は、フォルダーを丸ごと改名したことが警告に引っ掛かったのではないかと考えました。
人から見れば、同じデータのフォルダー名を変えただけです。しかし、前回のバックアップと比較すれば、旧パスから多数のファイルが一斉に見えなくなり、別のパスに現れたように見える可能性があります。
しかも今回は、改名だけではありません。
フォルダー改名、保存先情報の変更、ファイル更新、再配置、再生成が同じ時期に重なっていました。
これだけまとまった変更が入れば、バックアップ側が「前回から大きく変わっている」と判断したことにも納得できます。
NASへ反映した変更と、翌朝の警告がつながった
当社では、ローカルPCで作業するデータのうち、残す必要があるものをNASへ反映しています。業務関連データは、NASとは別に事務所外のクラウドにも保存しています。
今回の流れを整理すると、次のようになります。
- AIを使う作業量が増えた短期間に多くの中間データや派生データが生まれた
- 保存体系を整理したフォルダー改名、文書の再配置、保存先情報の変更を行った
- 索引などを再生成した整理後の状態に合わせ、関連データも更新した
- 必要な変更をNASへ反映した多数の変更がまとまってNAS側へ届いた
- 翌朝、世代バックアップが差分を確認した前回からの大きな変化を検知した
- 大量変更として警告された警告メールとログが記録された
警告対象、作業内容、作業時期、NASへの反映、バックアップの実行時間。それぞれがつながりました。
最初は、警告メールが2通来たので、二つのフォルダーで別々の異常が起きたのかとも考えました。
実際には、一方は特定フォルダーで全ファイルの変更または削除を検知した警告で、もう一方は複数フォルダーで同様の変化を検知した警告でした。
I-O DATAの「多くのファイルに変更があった場合に通知する」条件についての公式Q&Aでは、フォルダー直下のファイルがすべて更新・削除された場合などに警告が記録され、対象が5フォルダー以上になると複数フォルダーの警告へ集約されると説明されています。
2通届いたから、単純に2フォルダーという意味ではありませんでした。これも、実際に警告を受けてログを見なければ分からなかったことです。
警告だけで決めず、順番に確認した
今回、最初にメールを見たときは本当に焦りました。
しかも直前には、NAS Securityのライセンス期限切れも見つけています。そのため最初は、そちらと関係しているのではないかという不安もありました。
ただ、警告だけを見て判断するのはやめました。
まず、バックアップが最後まで正常終了していることを確認しました。
次に、どの領域で警告が出ているのかを確認しました。NAS上の実データも見ました。さらに、数日前にAI関連データへ何をしていたのか、作業記録まで遡りました。
その結果、今回の警告は、数日前に行ったAI関連データの大きな整理と、その変更をNASへ反映した流れでかなり説明できそうでした。
現時点で確認できた範囲では、ランサムウェアや不正アクセスによる大量書換えを示す動きより、自分たちが実際に行った整理作業との一致の方が大きい状況です。
ただし、これで一般的な安全を証明できたわけではありません。今後、まったく心当たりのない状態で同じ警告が出れば、今回と同じ理由だと決めつけず、原因が分かるまで慎重に確認する必要があります。
今回使っていた不正ファイル操作検知は、前回のバックアップと比較して大量の変更が確認された場合に管理者へ知らせる機能です。
つまり、警告は「危険が確定した」という通知ではなく、前回から大きく変わっているので、一度確認する必要があるという知らせとして受け取るのがよさそうです。
今回は、自分たちが行った正当な整理作業との一致が見つかりました。一方、心当たりのない大量変更であれば、ランサムウェアなどによる書換えを疑うきっかけにもなります。
実際に一度警告を経験したことで、「警告が来たら、まずどこを見るか」も少し分かりました。
AIを本格的に使うと、データ管理も変わってくる
今回の出来事で、もう一つ感じたことがあります。
AIを本格的に使い始めると、思っていた以上にデータが増えます。
完成した成果物だけではありません。
Knowledge、調査結果、中間成果、検証用データ、スクリプト、キャッシュ、一時的な解析データ。
AIエージェントを多く動かせば、それらが短期間で増えていきます。
そうなると、
どこに保存するか。
どれを正本にするか。
何をNASやクラウドへ残すか。
どこまで履歴を持つか。
まで考える必要が出てきます。
今回の警告も、元をたどれば、AIを使う作業量が増え、保存体系を整理したところから始まっています。
AI活用が進むほど、情報管理やバックアップも一緒に考える必要がある。今回、かなり具体的な形でそれを経験しました。
実際に運用したから、警告の意味まで分かった
今回使っていた世代バックアップは、SCS★3に向けて情報管理を見直したことがきっかけで導入しました。
最初は、少し前の状態へ戻れるようにしたい、というところから始まっています。
実際にバックアップを動かしました。過去のファイルも戻してみました。そして今回は、大量変更の警告が実際に届きました。
ログを確認し、対象領域を追い、数日前の作業記録まで遡って原因候補を確認しました。
設定画面を見ているだけでは、ここまでは分かりません。実際に日々使い、何か起きたときに確認する。その経験が少しずつ増えてきました。
今回は、次のところまで確認できました。
- 警告メールが実際に届くこと
- バックアップは正常に完了していたこと
- 大量変更の対象をログから追えること
- 実際の作業履歴と照合できること
- 正常な大規模整理でも警告条件に入る場合があること
次に同じ警告が届いたときには、今回より落ち着いて確認できると思います。
AIを使う量が増えれば、データの扱いも変わっていく。
そして、そのデータをどう守り、どう戻し、どう異常に気付くかまで含めて、AI活用なのかもしれません。
今回も、実際に運用して初めて分かったこととして残しておこうと思います。