AI エージェントセキュリティとは

AI エージェントセキュリティの定義

AI エージェントセキュリティとは、自律型 AI システムと、自律型 AI システムとの間でやり取りされる企業データ、アプリケーション、リソースを侵害、改ざん、誤用から保護する対策のことです。このようなインテリジェントなエージェントが意図したとおりに動作するようにするとともに、そのエージェントが本来の構築目的である組織に背いた行動をとるのを防ぐことに重点が置かれています。企業での AI の活用が急速に進む中、AI を利用したサイバー攻撃から防御する方法を把握することが、ビジネス上の最優先事項になっています。

静的コードを保護する従来のアプリケーション セキュリティや、受動的なモデルとデータに重点を置く一般的な AI セキュリティとは異なり、AI エージェントセキュリティは、計画と推論を行い、自律的なアクションを実行する、委譲された権限を持つシステムという新しいパラダイムに対応します。人間ではない AI 労働者が人と連携して複雑なワークフローを自動化していく新たなエージェント型 AI エコシステムに業界が移行する状況で、AI エージェントの保護は、信頼の構築とイノベーションの実現の基盤となります。

AI エージェントが新たなセキュリティ課題を生み出す仕組み

AI エージェントの力は、大きなリスクにもなります。エージェントには行動するための権限が委譲されているからです。この自律性は、生産性の面で非常に優れていますが、新たにダイナミックな攻撃対象領域を生み出します。操作されたチャットボットは誤った情報を提供する可能性があり、侵害された AI エージェントは不正な金融取引を実行したり、重要なデータを削除したり、機密ファイルを流出させたりする可能性があります。

大きな課題は、エージェントが静的プログラムではないことです。コンテキスト、取得した情報、ユーザーの指示、ツールとのやり取りに基づいて動作が変化するため、従来のソフトウェアよりも動作が予測しにくいものとなっています。攻撃者はコードのバグを見つける必要がなく、正当な権限を悪用するようにエージェントを説得するだけで済みます。そのため、セキュリティにおける焦点は、コードの保護から動作の管理へとシフトします。

一般的な AI エージェントのセキュリティリスク

エージェント型 AI の独自の機能は、組織が備えなければならない新たな種類の脅威をもたらします。

• 不正アクセスと権限昇格：侵害されたエージェントは、付与された権限を使用して、本来対象ではない、接続されたシステムやデータにアクセスする可能性があります。攻撃者がエージェントを操作して、過度に広範な権限をエクスプロイトしたり、接続システムを悪用したり、権限昇格を招くアクションを要求したりできます。
• 悪意のあるツールの使用とエクスプロイト：エージェントは、API の呼び出しやスクリプトの実行など、各ツールの機能を利用できます。攻撃者は、エージェントを騙してこうしたツールを悪意のある目的で使用させ、役に立つ機能をファイルの削除、スパムの送信、他のシステムの攻撃を行う武器に変えてしまいます。
• データ抽出と漏えい：プロンプトインジェクションを通じて機密情報にアクセスできるエージェントを操作して、許可のない相手にデータをリークするようにできます。指示が巧妙に偽装されている場合、エージェントはデータを漏えいさせていることに「気づく」ことさえありません。
• 複数エージェントの結託：複数エージェントの環境で、攻撃者が複数のエージェントやワークフローを操作して制御をバイパスしようとする可能性があり、その結果、検出と対応がより複雑になります。これにより、単独のエージェントだけでは侵入できないセキュリティ制御を攻撃者はバイパスできます。
• サービス拒否（DoS）：攻撃者は、強制的に大量のリソースを消費するループにエージェントを誘導し、過剰なコンピューティングパワーや API コールを消費することができます。サービスが実質的に無効になったり、組織に想定外の莫大なコストが発生したりすることになります。
• プロンプトインジェクションと間接的なプロンプトインジェクション：攻撃者は、エージェントが処理する Web サイト、ドキュメント、電子メール、またはその他の外部コンテンツに悪意のある命令を埋め込むことができます。エージェントはその指示を正当なものとして扱い、不正なアクションを実行したり、データを公開したり、意図した保護をバイパスしたりする可能性があります。

AI エージェントの保護方法

効果的な防御には、基本的なセキュリティ対策の強化と、AI 固有の新しい制御機能の活用を組み合わせた多層型の戦略が必要です。攻撃者も AI を使用して弱点を見つけ、悪用しているため、セキュリティの自動化、予測性、レジリエンスをさらに強化する必要があります。

基本的なセキュリティ対策の強化

AI を活用したサイバー攻撃の多くは、依然として基本的なセキュリティの弱点を悪用します。エージェントを保護する前に、そのエージェントが動作する環境を保護する必要があります。基本を習得することが、最初の、そして最も重要なステップです。

• ゼロトラストアーキテクチャの活用：AI エージェントを含む、すべてのユーザー、デバイス、アプリケーションに対して「決して信頼せず、常に確かめる」という原則を実践します。このモデルは、すべての接続とリクエストを認証および認可するため、攻撃対象領域が大幅に縮小します。
• アイデンティティおよびアクセス管理（IAM）の強化：人間のユーザーと AI エージェントの両方に多要素認証（MFA）および最小権限アクセスを適用します。エージェントには、指定タスクを実行するための必要最小権限のみが付与されます。
• アセットの可視性、パッチ適用、ライフサイクル管理の維持：見えないものは守れません。AI モデル、エージェント、それらがやり取りするシステムなど、すべてのアセットのインベントリを継続的に作成します。厳格なパッチ適用頻度を維持し、セキュリティアップデートが提供されなくなった古いテクノロジーの修復、交換、または分離の優先順位付けを行います。

エージェント固有のセキュリティ制御の実装

次の防御層では、AI エージェント自体の特殊な性質に対処します。これらの制御は、エージェントの動作を管理し、アプリケーション層で脅威を軽減することを目的としています。

• 入力と出力の検証：すべての外部入力（例、ユーザープロンプト、API データ）をサニタイズして悪意のある命令をブロックし、エージェントの出力をフィルタ処理して機密データの漏えいを防ぎます。これは、「OWASP AI エージェント セキュリティ チートシート」などのセキュリティフレームワークで中核となる推奨事項です。
• リスクの高いアクションに対するヒューマンインザループ：資金移動やシステム設定変更などの重要な操作や取り消しができない操作については、エージェントが対応する前に、人間による明示的な承認を必要とさせます。
• メモリ分離：エージェントのメモリとコンテキストが、異なるユーザーセッション間で厳密に分離されるようにして、あるユーザーが別のユーザーのデータにアクセスするのを防ぎます。
• ふるまいモニタリングと異常検出：AI を活用したツールにより、エージェントのアクティビティをリアルタイムでモニタリングします。ツールの過剰な使用、範囲外のリクエスト、制限されたリソースへのアクセスの試みなどの異常なふるまいに対するアラートを設定します。
• ツールとアクションの管理：エージェントがアクセスできるツールを制限し、許可されるアクションを定義し、機密性の高い操作が実行される前にポリシー制御を適用します。

ゼロトラストのエージェント AI への拡張

エージェント型 AI が事業運営に不可欠になるにつれて、ゼロトラスト セキュリティ モデルを人間以外のアクターに拡張する必要が出てきます。つまり、エージェント間やエージェントとシステム間のやり取りを管理するきめ細かいポリシーを作成して適用する必要があるということです。

AI エージェントセキュリティの未来

エージェント AI の活用は加速しています。Gartner 社の推定によると、2028 年までに、日常のビジネス意思決定の約 15% が、エージェント型 AI ワークフローによって自律的に行われるようになります。この変化に対応するには、能動的で統合された AI ネイティブな新しいセキュリティアプローチが必要です。NISTや OWASP、その他の業界グループによる新たな標準は、組織がベストプラクティスを確立するのに役立ちますが、効果的な保護には、ガバナンス、アイデンティティ管理、モニタリング、ランタイム保護を組み合わせた階層型アプローチが必要です。