エージェント型AIシステムは、単にテキストを生成するだけではありません。 これらは、インフラストラクチャ全体にわたってアクションを実行し、人の承認を待たずに設定の適用、データベースへのクエリ実行、エンドポイントの変更を行います。 その自律性こそが肝心なのですが、同時にそれが問題でもあるのです。
従来のAIセキュリティは、入力のフィルタリングと出力の評価に重点を置いています。 エージェント型AIセキュリティはアクション層にまで及んでおり、そこではエージェントがパッチ適用パイプライン、シークレット保管庫、および構成管理システムと、マシンの速度で連携します。
本記事では、エージェント型AIに特有の主要な脅威ベクトルを整理し、既存の対策が不十分である理由を解説するとともに、エンドポイント層におけるエージェントの挙動を制御する技術的アーキテクチャの概要を説明します。
「エージェント型AIセキュリティ」とは何でしょうか？
エージェント型AIセキュリティは、人間の継続的な監視なしに、企業ネットワーク全体において自律的に計画を立て、意思決定を行い、多段階のアクションを実行できる自律型人工知能システムを保護します。 ここで重要なのは「行動」という言葉です。 従来の大型言語モデル（LLM）のセキュリティ対策は、モデルに入力されるもの（プロンプト）と、モデルから出力されるもの（応答）に焦点を当てています。 エージェント型AIのセキュリティは、エージェントが実際に何を行うかという点にまで及びます。
なぜその区別が重要なのでしょうか？ 幻覚を起こすチャットボットは、質の悪いテキストを生成してしまいます。 誤動作を起こしたエージェントは、ログを削除したり、設定ミスのあるパッチを適用したり、データを本来あるべき場所以外へ移動させたりする可能性があります。 エージェントは、エンドポイント管理プラットフォーム、認証情報ストア、およびセキュリティツール全体において、特権的な権限で動作します。 その権限の範囲によって、セキュリティ上の問題は全く異なるものになります。
[エージェント型AIの仕組み、それが従来の自動化を超えた転換点となる理由、そしてIT運用やサイバーセキュリティをどのように変革しているかについて探ってみましょう]
もしアクション層が重要であるならば、当然の疑問として、なぜ既存のセキュリティスタックではすでにそれをカバーできていないのでしょうか？
なぜ従来の制御手法は、能動的なAIのために設計されていなかったのか
SIEM、EDR、およびIAMツールは、基本的な制御機能を提供します。 これらは、人間による操作やルールに基づく自動化をうまく処理します。 エージェント型AIは、これらのツールが当初想定していなかった機能、すなわち、単一の実行チェーン内で複数のシステムにまたがり、機械の速度で自律的かつ非決定論的な意思決定を行う機能をもたらします。
ここで、そのギャップが明らかになります：
- 自律的な推論は、決定論的なポリシーチェックを機能しなくさせます。 エージェントの挙動は非決定論的です。つまり、エージェントは、固定された論理ではなく、確率的推論に基づいて、実行時にどのツールを呼び出し、どのようなパラメータを指定するかを決定します。 静的なルールでは、AIエージェントが実行時に下す決定を予測したり、次にどのツールを呼び出すかを予測したりすることはできません。
- ツールの統合により、攻撃対象領域が拡大します。 エージェントが到達できるすべてのシステムが、進入点または退出点となります。 エンドポイント管理プラットフォーム、パッチ適用パイプライン、認証情報ストア、SIEMとの連携：たった1つのエージェントが侵害されるだけで、これらすべてに影響が及ぶ可能性があります。
- パーシステントメモリは、新たなエクスポージャーベクトルを生み出します。 セッション間でコンテキストを保持するエージェントは、その記憶が改ざんされる可能性があります。 歪んだ記憶は、実際のインフラに対する誤った判断につながります。
- マルチエージェントシステムでは、各調整ポイントごとにリスクが累積するハンドオフのリスクが生じます。 エージェント間でやり取りされる指示は、傍受されたり、悪意のあるペイロードが混入されたりすることがあり、それらはエージェントのワークフローやエンドポイント管理パイプライン全体に拡散する可能性があります。
従来のセキュリティでは、人間の判断速度に基づく意思決定サイクルと、人間による行動の開始が前提とされています。 エージェント型アーキテクチャの動作は異なります。これらは、既存のコントロールプレーンでは管理するよう設計されていなかった、自律的な推論、永続メモリ、および複数システム間の連携を導入しています。 コントロールプレーンもそれに合わせて変更する必要があります。
その転換は、能動型AIによる脅威が実際にどこで実行されるのかを理解することから始まります。 その答えは、エンドポイントです。
エンドポイントが攻撃対象領域となります
エージェント型AIシステムがツール呼び出しを実行すると、そのアクションはエンドポイント上で実現されます。 設定の変更、ファイルの修正、プロセスの実行、ネットワーク接続、認証情報のアクセス――これらすべてが、環境全体のエンドポイントデバイス上で行われています。
攻撃対象領域は、特定のシステムに対応しています：
- エンドポイント管理プラットフォーム： エージェントによる設定の適用やソフトウェアの展開
- パッチ適用パイプライン： デバイスグループ全体で更新のスケジュール設定や実行を行うエージェント
- SIEMとの連携： エージェントによる検知ルールの作成または変更
- 認証情報ストア： 認証のためにシークレットを要求・使用するエージェント
侵害されたエージェントの挙動を検出するには、エージェントの動作とエンドポイントの状態変化を関連付ける必要があります。 エージェントプラットフォームの監視だけでは不十分です。 アクションが実行されるエンドポイントで何が起きているのか、その状況を把握する必要があります。
企業のエンドポイントにマッピングされた一般的な脅威ベクトル
自律型AIエージェントは、従来のAIセキュリティモデルの枠を超えた攻撃経路をもたらします。 以下の例は、エンタープライズシステムおよびそれらを保護するために必要な統制措置に対応しています。
アクションレイヤーでのプロンプトの挿入
エンドポイントツールへのアクセス権を持つエージェントに対するプロンプトの注入は、チャットボットに対する注入とは異なります。 エージェント型システムは、自然言語を制御プレーンとして使用しているため（文書、電子メール、Webコンテンツ、およびツールの出力からの指示を解釈します）、エージェントが参照するデータソースに悪意のある指示が混入した場合、エージェントによってその指示が解釈され、実行されてしまう可能性があります。 これは間接的なプロンプト注入です。攻撃者はエージェントと直接やり取りすることはありません。
[プロンプト注入攻撃とは何か、なぜ検出が難しいのか、そしてAIの導入における多層防御戦略とはどのようなものかについてご紹介します]
ツールおよびAPIの悪用
ツールの悪用（エージェントが騙されて、正規のエンドポイント管理ツールを誤用してしまうこと）により、ログの削除、制限された設定へのアクセス、あるいはデバイスグループ全体での不正なスクリプトの実行につながる可能性があります。 そのリスクは、エージェントが本番環境インフラへの書き込みアクセス権限を持つ程度に応じて増大します。
信頼関係を利用した権限昇格
スコープ指定された権限で開始されるエージェントは、悪用されることで、特権アクセスを取得される可能性があります。 攻撃者は、エージェントとエンドポイントプラットフォーム間の信頼関係を悪用し、システム全体において、読み取りアクセス権限から設定書き込みアクセス権限へと権限を昇格させることができます。
サプライチェーンの侵害
エージェント・フレームワークとそのプラグインのエコシステムは、従来のソフトウェア審査プロセスでは検出できないサプライチェーン上のリスクをもたらします。 侵害された、あるいは悪意のあるツールプラグインは、標準的なエンドポイントアラートをトリガーすることなく、エージェント自身の権限を通じて攻撃者に永続的なアクセス権を与える可能性があります。
破損したツールのスキーマ、改ざんされたプラグインレジストリ、および誤解を招くツールの説明は、アクションが検出レイヤーに到達する前に、その発生源においてエージェントの動作を改変してしまう可能性があります。 ツールの統合については、サードパーティ製ソフトウェアの依存関係を検証するのと同じ方法で、一つひとつ入念に検証してください。具体的には、ソースコードを確認し、バージョンを固定し、予期せぬ動作がないか監視してください。
メモリポイズニング
攻撃者は、エージェントの永続コンテキストに、誤解を招くようなデータを混入させることができます。 その結果、エージェントは誤った前提に基づいて長期的な意思決定を行うことになり、セッションをまたいでインフラに関する意思決定に悪影響を及ぼす可能性があります。
大規模な意図しない自律的行動
エージェントは、曖昧な指示や誤ったツール呼び出しにより、設定ミス、不適切なパッチ、あるいは有害な是正措置を数千台のエンドポイントに広めてしまう可能性があります。 エラーは、どのチームも対応しきれないほどの速さで広がっていきます。
シャドウエージェントと展開の拡散
エンドポイントインフラと連携する未承認のエージェントを展開する従業員は、セキュリティ上の死角を生み出します。 設定ミスが生じた認可済みエージェントが、本来の範囲外で動作を行う場合、悪意がなくても同様のリスクを伴います。
以下の脅威ベクトルのいずれかをクリックすると、そのエンドポイントのコンテキストと推奨される対策が表示されます。
OWASP：エージェントの目標乗っ取り
エージェントが利用するあらゆるデータソース（文書、電子メール、ツールの出力結果など）に注入された悪意のある命令は、エージェントによって解釈され、実行される可能性があります。 攻撃者は、エージェントに直接連絡を取ることはありません。
エンドポイントのコンテキスト
エンドポイントツールへのアクセス権を持つエージェントは、間接的な注入を通じて悪用される可能性があり、攻撃者が直接操作することなく、デバイスグループ全体に対して設定を適用したり、スクリプトを実行したりすることが可能です。
推奨される操作方法
- 入力の検証
- サンドボックス環境での実行
- アクションのログ記録
- ソースの整合性チェック
これらのベクトルは、 に掲載されている「エージェント型アプリケーションに関するOWASP Top 10 」の項目2026（）に対応しています。 フレームワークの全容については、完全なリストをご覧ください。
脅威の経路は、単独で存在するものではありません。 エージェント型AIは、防御側と攻撃側の双方でますます活用されるようになっており、セキュリティチームが現在対応に追われている緊張感を生み出しています。
脅威の双方に存在するエージェント型AI
サイバーセキュリティチームは、自組織が導入した自律型AIのセキュリティを確保しつつ、敵対的な自律型AIからの攻撃を防ぐという、二重の課題に直面しています。
攻撃面では、攻撃者はエージェント型AIを活用して、エンドポイント環境全体での偵察を加速させ、エンドポイントの設定に合わせて適応するフィッシング攻撃を自動化しています。 彼らは、脆弱性間のエクスプロイトをマシン速度で連鎖させ、標的となる環境に応じて動作を変えるマルウェアのペイロードを展開します。
[AIがサイバーセキュリティ運用をどのように変革しているか、AIが防御面においてどのような真の価値をもたらすか、そしてなぜ人間の監督が依然として不可欠なのかについてご紹介します]
防御面では、セキュリティチームはエージェント型AIを活用し、脅威の自動検出、エンドポイント全体にわたるリアルタイムな対応の調整、および既知の脆弱性パターンに対する自律的な是正措置を行っています。
両方の操作方法は一部重なっていますが、まったく同じというわけではありません。 防御エージェントを確保するには、その動作を管理する必要があります。 攻撃的なエージェントから防御するには、そのエージェントが何をしようとしているのかを検知する必要があります。 どちらにも、エンドポイント層での可視性と制御が必要です。
エンドポイント層におけるセキュリティアーキテクチャ
の機械学習モデルは、ほとんどのエージェント型システムを支える大規模言語モデルを含め、確率的推論エンジンであるため、セキュリティ対策はエージェントの内部プロンプトのみに依存することはできません。 エージェントのライフサイクル全体にわたる、決定論的なインフラストラクチャレベルの保護機能が、コントロールプレーンを構成します。
これは、本番環境のインフラストラクチャと直接やり取りを行うエージェント型アプリケーションにおいて特に重要であり、設定ミスが1つあるだけで、その影響が数千ものエンドポイントに波及する恐れがあります。
エージェントの識別と認証
エージェントを、独自の実体情報を持つ第一級の実体として扱い、特定のエンドポイントグループやアクションの範囲に限定します。 エージェントの権限を、人間の説明責任モデルに照らし合わせてみてください。 従来のIAMフレームワークでは、エージェントごとのアクセス制御に必要な細かさが欠けていることがよくあります。
制限付きの実行権限
エージェントがアクセスできるすべてのツールに対して、最小権限の原則を適用してください。 特定のタスクやデバイスグループを対象とした、ジャストインタイムの権限設定をご利用ください。 ポリシーを、単なる識別子レイヤーだけでなく、ツール呼び出しレベルで適用することで、エージェントが特定のアクションに至るまでの推論の過程がどうであれ、スコープの制限が一貫して適用されることが保証されます。 実行範囲の制限を設定し、人間の承認なしに、単一のエージェントアクションが定義された数を超えるエンドポイントに影響を与えないようにします。
メモリおよびコンテキストの整合性
エンドポイントデータエージェントが保持するデータを制限します。 保存されたコンテキストに対して整合性チェックを実施します。 セッション分離機能を使用して、セッション間のデータ漏洩やデータ改ざんを防止してください。
マルチエージェント通信制御
エージェント間の通信を認証します。 引き継ぎのたびに、指示内容を確認してください。 注入や改ざんを示唆する可能性のある異常なシーケンスについて、その連携パターンを監視してください。
[自律型AIの能力が企業のガバナンスをどのように凌駕しているのか、どのような新たな攻撃対象領域が出現しているのか、そしてITチームがまずどこに注力すべきかについてご確認ください]
マルチエージェントアーキテクチャでは、標準的なロギングでは各エージェントの行動を個別に記録することはできますが、システム全体として現れる創発的挙動は捉えきれません。 エージェント間のアクションを関連付けるには、分散トレーシングが必要です。これは、マイクロサービスの可観測性で用いられているのと同じパターンを、エージェント間の通信や共有ツールの呼び出しに適用したものです。
リアルタイム監視と異常検知
エンドポイント層におけるエージェントの動作をリアルタイムで監視します。 エージェントツールによる呼び出しとエンドポイントの状態変化を関連付け、ネットワークトラフィックの分析も組み合わせて、エージェントの動作によって引き起こされる横方向の移動や不正なデータ流出を検知します。 異常な行動パターンに対する自動封じ込めトリガーを設定します。
監査ログと説明可能性
エージェントの決定、ツールへの呼び出し、およびエンドポイントの変更を包括的に記録します。 監査可能性、すなわちエージェントがいつ、何を、なぜ行ったかを正確に再現できる能力は、フォレンジック調査と規制遵守の証拠の両方において基礎となるものです。
ヒューマン・イン・ザ・ループ・ゲート
全フリートにわたる設定変更やセキュリティポリシーの変更など、重大な影響を及ぼす可能性のある操作については、人的承認を必須とします。 信頼度スコアリングを導入し、エージェントの判断に不確実性がある場合は、人間による審査に回すようにします。
| 自律レベル | 説明 | 必須の統制 |
|---|---|---|
| 代理店なし | AIはあくまで推奨事項を提供するのみです | 標準出力の確認 |
| 規定 | エージェントは、あらかじめ定義されたアクションを実行します | アクションのログ記録、範囲の限定 |
| 教師あり | エージェントがアクションを提案し、人間が承認します | 承認ワークフロー、信頼度スコアリング |
| 完全な自律性 | エージェントは自律的に動作します | 上記のすべての制御機能に加え、異常検知および自動封じ込めトリガー |
[自律型AIの管理にはアクセス制御以上の対策が必要な理由と、自律システムの無秩序な拡大がリスクとなる前に、いかにして説明責任を組み込むかについて探ります]
導入前に必要な事項
自律型AIツールを導入する前、あるいはすでに稼働しているツールを評価する際は、まず以下の質問、管理措置、および監視要件から検討してください。
確認すべき事項
- このエージェントは、どのエンドポイントにアクセスできますか？
- どのような操作を実行でき、どのような権限で実行できるのでしょうか？
- 設定ミスが1つあった場合、その影響範囲はどの程度になるのでしょうか？
- どのような監査証跡が生成されますか？
- 認証情報はどのように管理・更新されるのでしょうか？
導入前に、エージェントのツールへのアクセス、権限の範囲、およびデータフローの経路に特化した脅威モデリングを実施することで、一般的なセキュリティ評価では見落とされがちな「影響範囲」のリスクを明らかにすることができます。 エージェントが呼び出すことができるすべてのツール、各ツールがアクセスできるデータ、および各ツールが行える変更の最大範囲を、それぞれ洗い出してください。
本番稼働前にエージェント型ソリューションの展開に対してレッドチーム攻撃を行うことは、静的解析では見落とされがちな制御上の不備を明らかにする最も効果的な方法の一つです。 敵対的なプロンプト注入、権限昇格の試み、およびツールの悪用といったシナリオをシミュレートし、リリース前に制御策の耐性を検証します。
必要な制御項目
- 定義されたエンドポイントの制限による実行範囲の限定
- ジャストインタイム付与による最小権限の権限設定
- 全車両を対象とした変更に対する、人間による承認
- 整合性検証機能を備えたセッション分離メモリ
- 認証済みのエージェント間通信
- 異常検知機能を備えたリアルタイムのエンドポイント監視
導入後に監視すべき事項
- エンドポイントの状態変化と関連付けられたエージェントのアクションログ
- 権限範囲の変更およびエスカレーションの試み
- メモリの整合性とコンテキストのずれ
- マルチエージェントの協調パターン
- 許可されていないエージェントの展開
Taniumが、安全なエージェント型AIの運用をどのように支援するか
エージェントがテキストの生成から、エンドポイント全体でのアクションの実行へと移行するにつれ、セキュリティ上の課題も変化していきます。 組織は、エージェントが自社のインフラ上でどのような動作を行っているかを確認し、それらの動作が適切であったかどうかを評価し、不適切な場合は対応する必要があります。
の「Tanium Autonomous IT Platform」（ ）は、まさにこうした問題を解決するために開発されたものです。 エンドポイント管理、エクスポージャー管理、セキュリティ運用を1つのプラットフォームに統合することで、可視化、評価、対応を、連携が取れていないツールに分散させることなく、一元的に調整することが可能になります。
仕組みは以下の通りです：
- アクション層における統制された自律性： 自律エージェントには、プロンプトへの単なる「ガードレール」だけでなく、決定論的な制御が必要です。 Tanium Ask Agent は、ロールベースのアクセス制御、ヒューマン・イン・ザ・ループ方式の権限管理、および信頼度スコアリングを採用しています。 プログレッシブ・リング方式による展開では、変更を管理されたバッチ単位で段階的に適用するため、設定ミスのあるアクションが、担当者が確認する前に全環境に波及することを防ぎます。
- プラットフォームのログからの推論ではなく、エンドポイントレベルでの検出： 侵害されたエージェントの挙動を検出するには、エージェントの動作とエンドポイントの状態変化を関連付ける必要があります。 Taniumは、データベースからではなく、エンドポイントから直接、オンデマンドでデータを取得します。 エージェントが設定を変更したり、ソフトウェアをデプロイしたり、認証情報ストアにアクセスしたりすると、チームは何がどこで変更されたかをリアルタイムで確認できます。 継続的な監視とリアルタイムのアラートにより、アクションが発生したエンドポイントにおいて、予想される動作からの逸脱が明らかになります。
- 爆風半径を縮小するための予防的な評価： エンドポイントインフラストラクチャと連携するエージェントは、その脆弱性の状況を継承します。 エステートにパッチが適用されていない場合や設定に誤りがある場合、エージェントによって引き起こされるエラーや権限昇格の影響は大きくなります。 このプラットフォームは、 を通じて、環境全体にわたる継続的なエンドポイントセキュリティ を提供し、リスクの特定を支援するとともに、攻撃対象領域を可能な限り最小限に抑える統合された是正ワークフローにより、コンプライアンスの遵守をサポートします。
自社の環境において自律型AIをどのようにガバナンスすべきかを検討しているチームのために、Taniumは、お客様がすでに管理されているエンドポイントインフラストラクチャを基盤としています。 別途セキュリティスタックを用意する必要はありません。
エージェント型AIのセキュリティに関するよくある質問
これらのアイデアを実践に移す前に、基本事項について共通認識を持っておくことが役立ちます。 このFAQでは、現在、各チームから寄せられている、能動型AIのセキュリティに関する最も重要な質問について、詳しく解説しています。
なぜ、従来型のセキュリティツールはエージェント型AIに対して効果を発揮しないのでしょうか？
従来のSIEM、EDR、およびIAMツールは、人間の判断速度に合わせた意思決定や予測可能な自動化を想定して構築されたものであり、永続メモリとマルチエージェント連携を活用し、マシン速度で複数のシステムにまたがり実行時の意思決定を行う自律型エージェントを想定したものではありません。
自律型AIによる脅威は、実際にはどこで実行されるのでしょうか？
エージェント型AIによる脅威は、デバイス、サーバー、クラウドインスタンスなどのエンドポイント上で現実のものとなります。そこでは、エージェントがツール呼び出しを実行し、エンドポイント管理プラットフォーム、パッチ適用パイプライン、SIEM統合環境を横断して、設定の適用、ファイルの変更、認証情報の取得、システム状態の変更を行います。
エージェント型AIの主な脅威の経路にはどのようなものがありますか？
主な脅威の侵入経路としては、アクション層におけるプロンプトの注入、ツールやAPIの悪用、信頼関係を通じた権限昇格、メモリ汚染、エージェントプラグインのエコシステムを通じたサプライチェーンの侵害、不正または設定ミスのあるエージェントの展開、および大規模に拡散する意図しない自律的な動作などが挙げられます。
自律型AIの導入をどのようにセキュリティ対策すればよいでしょうか？
安全なエージェント型AIの導入には、エージェントの識別と認証、最小権限に基づく実行権限の制限、メモリおよびコンテキストの整合性チェック、エンドポイントの状態変化と連動したリアルタイム監視、包括的な監査ログの記録、そして重大な影響を伴うアクションに対する「ヒューマン・イン・ザ・ループ」による承認プロセスが求められます。
[IT運用において、真の自律性を実現するために実際に何が必要なのか、また、リアルタイムの可視性、ポリシーのガードレール、クローズドループ検証がそれをどのように可能にするのかについて学びましょう]
侵害されたエージェントの影響範囲はどのくらいですか？
エンドポイント管理プラットフォームへの書き込み権限を持つ、悪意のあるエージェントは、人間のオペレーターがその活動を検知して封じ込める前に、設定ミスのある更新プログラムを拡散させたり、ログを削除したり、数千台ものエンドポイントにわたってセキュリティポリシーを変更したりすることが可能です。
エージェント型AIのセキュリティ対策は、エージェントが何ができるか、そしてどこで実行されるかを把握することから始まります。
Taniumは、エンドポイントの可視化と制御をリアルタイムで提供し、エージェントが実際に実行される場所でその動作を管理できるようにします。
個別デモをご予約ください 。Taniumの自律型ITプラットフォームが、エンドポイント環境全体でエージェント型AIの安全な運用をどのようにサポートするかをご確認いただけます。