マクドナルドのAI採用ツールが応募者数百万件のデータを漏洩

3アストラペンテスト

採用の最前線におけるAI

Oliviaは、企業が求職者の選考、スケジュール管理、そしてコミュニケーションを支援するインテリジェントアシスタントとして販売されています。開発者によると、テキストベースのインターフェースで操作でき、効率性を向上させると同時に、応募者に親しみやすい対応を提供することを約束しています。

マクドナルドのような、数千人の時間給労働者を定期的に採用する企業にとって、オリビアは採用プロセスの重要な部分を担っています。応募者は、採用プロセスの最終段階まで人間と直接やり取りをしないことがよくあります。

この傾向はマクドナルドに限ったことではありません。eWeekの報道によると、多くの大手企業がAIを活用し、最初の採用面接を実施し、自動スクリーニングツールに基づいて候補者を選別しています。AI主導の採用プラットフォームのエコシステム全体が、候補者のマッチング、履歴書の解析、面接のスケジュール設定を最適化しています。しかし、キャロル氏とカリー氏が実証したように、自動化の利便性には深刻なプライバシーリスクが伴います。

Cyber​​security NewsとThe Vergeの報道によると、2人は管理パネルに入り、最も分かりやすい認証情報を入力するだけでチャットボットのバックエンドにアクセスできることを発見した。アクセスすると、数百万人の応募者の名前、メールアドレス、電話番号、職歴など、膨大なデータにアクセスできた。中には、履歴書などの機密情報をアップロードしている求職者もいた。

どうしてこんなことが起きたのでしょうか?

Paradox.aiは侵害を認め、データにアクセスしたのは2人の研究者だけだったことを確認した。しかしながら、多国籍企業が使用する本番環境にこのような脆弱性が存在していたという事実は、サイバーセキュリティ業界の多くの人々を驚愕させた。さらに悪いことに、この侵害はゼロデイ脆弱性攻撃や国家によるサイバー攻撃によるものではなく、中学生でさえ避けるべきと教えられている類のミスだったのだ。

キャロル氏とカリー氏がParadox.aiに報告した後、同社はシステムをロックダウンし、将来の問題を防ぐためのバグ報奨金プログラムを開始したと報じられている。Paradox.aiは声明の中で、研究者らに感謝の意を表し、この脆弱性が悪意を持って悪用されたとは考えていないと述べた。

マクドナルドが反応…そして距離を置く

一方、マクドナルドは、Oliviaプラットフォームがサードパーティベンダーによって運営されていることを強調しました。デイリービーストに提出された声明の中で、このファストフード大手は「深い懸念」を抱き、Paradox.aiと協力して問題の調査と保護対策の強化に取り組んでいると述べました。また、同社はAIソフトウェアのインフラを直接管理しておらず、セキュリティ侵害はベンダーの不備に起因するものであると明言しました。

「迅速かつ効果的に解決されたとはいえ、私たちはこの問題を軽視していません」と、Paradox.aiの最高法務責任者ステファニー・キング氏はWIREDに語った。「これは私たちの責任です」

マクドナルドをはじめとする人事機能にAIを活用している企業は、デジタルサプライチェーンに対する責任をより強く負うべきだと批判する声もある。数百万人もの求職者の個人データを、セキュリティ対策を検証することなく外部システムに委託することは、重大な説明責任の欠如と言える。

AIと人間のデータを信頼する

オリビアが批判を浴びるのは今回が初めてではない。デイリー・ドット紙によると、求職者は応募プロセスにおけるオリビアのぎこちない、あるいは繰り返しの返答に不満を表明している。中には、ボットが「ぐるぐる回っている」と感じ、人間と話すよりも応募を完了するのが難しいと指摘する人もいた。今回の情報漏洩は、チャットボットの使い勝手とセキュリティに関する新たな懸念材料となり、人間の機密データをソフトウェアプラットフォームに渡すリスクを浮き彫りにした。

こうしたリスクは、採用チャットボットに限ったものではありません。LinkedInなどの求人情報サイトもAIを活用したワークフローを導入しつつあり、データの利用、所有権、そしてセキュリティに関する疑問が生じています。TechRepublicの報道によると、採用におけるAIの活用は、企業の人材獲得・評価方法を急速に変革していますが、その方法は必ずしも予測可能で透明性が高いとは限りません。根深いバイアスから不透明な意思決定に至るまで、自動化への依存度の高まりは、広範囲にわたる影響を及ぼしています。

次に何が起こるでしょうか?

Paradox.aiによるバグ報奨金プログラムの開始は正しい方向への一歩ですが、今回の事件はすでにAIベンダーとそれらを利用する企業に対するより広範な監視を促しています。採用の自動化と効率性の向上を目指す競争において、強力な認証、監査ログ、適切な暗号化といった基本的なサイバーセキュリティ対策は軽視できません。

マクドナルドのセキュリティ侵害は、巨額の罰金や訴訟にはつながらないかもしれないが、同社のデジタル採用プロセスに対する信頼を失墜させた。求職者にとっては、求職活動の最初のステップでさえ、現実的なリスクを伴う可能性があることを改めて認識させるものだ。

では、他の皆さんはどうでしょうか？パスワードを変更してください。