.png)
エージェント型AIセキュリティとは？
エージェント型AIセキュリティは、人間の指示をほとんど必要とせずに、さまざまなプロセスを自律的に実行できるAIエージェントを保護します。単発的なタスクを処理するだけの単純なAIアシスタントから、複数の機能を遂行する完全自律型の主力AIへと進化する段階が到来した。エージェントは戦略的な計画立案、意思決定、ツールの使用、データへのアクセス、および行動の実行が可能であり、実際の権限を持つ従業員やシステムと同様の厳格な監視が必要です。
つまり、エージェントのID、メモリ、推論能力、ツール、通信チャネル、そしてそれらすべてを支えるインフラストラクチャなど、エージェントのあらゆる部分を保護する必要があるということだ。クラウドセキュリティアライアンスのAI安全イニシアチブが最近行った調査によると、企業のCISO（最高情報セキュリティ責任者）とCIO（最高情報責任者）の92%が、自社のAIエージェントの身元を完全に把握できておらず、95%が侵害されたエージェントを検出または封じ込めることができるかどうか疑問を抱いていることが明らかになった。
エージェント型AIのセキュリティは、不正使用を防止すると同時に、すべての自律的な行動が承認された目標に沿って行われるようにすることで、このギャップを埋めます。
AIエージェントとは何ですか？
AIエージェントとは、タスクを完了し、複雑な目標を達成することを目的とした、目標指向型のシステムである。これはAIモデルの推論を利用し、関連データを取り込み、その過程で必要なツールを呼び出す。今日のエージェントは非常に高度化しており、作業中にコンテキストを記憶したり、Agent2Agent（A2A）などのプロトコルを使用して他のエージェントと連携したりすることができる。
AIエージェントをデジタル従業員として捉えることについて、Illumioの業界戦略担当副社長であるRaghu Nandakumara氏は、「AIシステムは、厳密なルールではなく、確率と学習されたパターンに基づいて動作します」と説明しています。同じ要求でも、状況、学習データ、またはモデル内部の推論経路によっては、若干異なる結果が生じる可能性があります。
エージェントは、AIチャットボットやスタンドアロンの大規模言語モデルといった、プロンプトへの応答を生成することでAIを普及させた従来の手法を超えた、新たなマイルストーンとなる。エージェントはさらに進み、ワークフローを最初から最後まで実行します。そして、自律性の度合いは大きく異なる。一部のエージェントは、利用者をサポートし、各段階での承認を待つ。中には、ほとんど監視を受けることなく、複数の段階を経た行動を計画・実行する者もいる。
エージェント型AIのセキュリティが重要な理由とは？
AIエージェントがもたらす価値は、その膨大な能力と影響力から生まれる。彼らは、機密データへのアクセス、APIの呼び出し、コードの実行、そして多数の接続されたシステム全体にわたる変更の実装を、人間がこれまで不可能だったほど高速に行うことができる。しかし、その影響力にはリスクも伴う。たった一つのエラーや改ざんされた命令が、誰にも気づかれる前に一連の不正行為を引き起こす可能性がある。
Persistent memory adds another layer of complexity and AI security risk. If corrupted or misleading information enters an agent's memory, it can quietly shape future decisions to an organization's detriment. In multi-agent environments, misleading information can spread from one agent to another, further compounding the issue.
エージェントによる不正行為は、広く蔓延している問題である。2026年に実施された本人確認セキュリティに関する調査によると、機密データの漏洩と不正アクセスが、AIエージェントのセキュリティ投資を促進する上位2つの懸念事項として挙げられている。エージェント型AIセキュリティの根本的な目的は、機密データの保護、説明責任の維持、運用上の回復力の強化、責任あるAI導入の支援を通じて、これらの懸念に直接対処することにある。
エージェント型AIセキュリティはどのように機能するのか？
エージェント型AIのセキュリティにおける最初の防御層は、エージェントが行動を起こす前に存在する。目標、指示、およびすべての入力データを検証する必要があるのは、この段階で指示が改ざんされると、ワークフロー全体が混乱する可能性があるためです。
そこから、各エージェントは従業員がIDバッジを受け取るのと同様に、固有のIDを受け取ります。その権限は最小権限の原則に従っており、指定された役割に必要な以上の権限を持たないように保証されています。これらの権限は、エージェントが連携する可能性のあるツール、API、データソース、ワークロード、およびその他のエージェントに基づいて制限されます。
エージェントが起動されると、継続的な監視が開始されます。システムは、エージェントのプロセスにおけるすべてのステップを追跡します。これには、計画、メモリ使用量/変更、ツール呼び出し、通信、完了したタスクなどが含まれます。これは従来のAIセキュリティとの重要な違いである。従来のほとんどのアプローチはモデルの出力を監視するのに対し、エージェント型AIのセキュリティは自律的なプロセスのあらゆる段階を監視する必要がある。
セキュリティチームが異常な行動を検知した場合、即座にインシデント対応計画を策定する必要がある。セキュリティチームは、エージェントを一時停止したり、相互接続されたシステムから切断したり、エージェントのその後の動作を上書きしたり、エージェントを完全に終了させたりすることができます。これらの制御メカニズムを組み合わせることで、自律システムは必要に応じて検証可能かつ制御可能となる。
エージェント型AIにおける最大のセキュリティリスクとは？
エージェント型AIの最大のセキュリティ脅威は、自律性に伴うものである。自律性は、スピードと規模の拡大という可能性をもたらす一方で、敵対者がそれらの能力を悪用する可能性も生み出す。自律エージェントの最も重大なリスクには、以下のようなものがあります。
目標操作とプロンプト注入
エージェントは指示に従うが、その指示の発信元を信頼すると攻撃対象領域が生まれる。文書、電子メール、ウェブページなどに隠された悪意のあるプロンプトは、エージェントを本来の目的から逸脱させたり、別の目的を設定させたり、エージェントの動作が制御不能になるのを防ぐための安全対策を回避したりする可能性があります。
ツールの誤用と安全でない実行
エージェントがツールへの完全なアクセス権を持っている場合、それらを使ってできることに制限はありません。エージェントは、許可されていないAPI呼び出し、安全でないコードの実行、トランザクションの開始、および構成設定の変更を行う可能性があります。多くの潜在的な行為は、それ自体は無害に見えるかもしれないが、誤って実行されると重大な損害をもたらす可能性がある。
過剰な権限と個人情報の侵害
エージェントは通常、サポートするシステムやユーザーから権限を取得しますが、それらの権限はすぐに増えてしまう可能性があります。過剰な権限を持つエージェント、あるいはエージェントを侵害した攻撃者は、任務に必要な範囲をはるかに超えた機密システムやデータへの直接的なアクセス経路を獲得してしまう。
記憶とコミュニケーションの毒
エージェントは、保存された状況情報を使用して、どのように進めるべきかについて十分な情報に基づいた意思決定を行う。そして、その消化された情報は保護されなければならない。保存されたコンテキストデータや検索データが破損している場合（メモリポイズニングと呼ばれる）、エージェントがなりすまし行為を行った場合、またはエージェント間のメッセージが改ざんされている場合（通信ポイズニング）は、エージェントが誤った前提に基づいて誤った判断を下す原因となる可能性があります。
連鎖的なエラーと横方向の動き
不正に関与したエージェントによる単一の誤った判断が、孤立したまま終わる可能性は低い。このようなエージェントは、自身がサポートする他のエージェント、アプリケーション、またはワークロードに対して、不正確な指示を送信する可能性があります。修正されないまま放置されると、エラーは組織全体に連鎖的に広がり、エージェントを制御する攻撃者は同じ接続を利用して横方向の移動を行い、単一の事象をシステム全体の問題に発展させる可能性があります。
これらのリスクは、 マイクロセグメンテーションの価値を浮き彫りにする。マイクロセグメンテーションは環境を分離することで、ある環境での侵害が他の環境に波及するのを防ぐ。これはゼロトラストセグメンテーション（ZTS）の基本であり、侵害が発生した場合にその拡散を防ぐものです。
エージェント型AIの脅威モデルは何を網羅すべきか？
包括的な脅威モデルは、何らかの問題が発生する前に、エージェントの活動範囲のあらゆる側面をマッピングします。最低限、これらのエリアをカバーしてください。
- エージェントが独立して追求できる目標
- 人間の介入なしに下せる決定
- 本人確認情報と保持する権限
- 他のエージェントまたはシステムへの委任パス
- アクセスできるツール、API、およびアプリケーション
- データソースとインフラストラクチャは、その範囲内にある。
- メモリストアとそれに依存する検索システム
- その行動を形作るコミュニケーションチャネル
- 実行前に人間の承認を必要とする行為
- エージェントを一時停止、隔離、またはシャットダウンするための制御
エージェント型AIセキュリティの中核となる構成要素とは何ですか？
積極的なAI開発は、効率的な自律運用を実現する機会を生み出す一方で、リスクも増大させるだろう。堅牢で安全なシステムを構築する上で重要なのは、信頼できる自律システムに必要な基本コンポーネントを特定することである。特に、 最先端のAIモデルが自律的に動作する能力を高めていくにつれて、この重要性は増していく。強力なエージェント型AIのセキュリティは、いくつかの基礎的な要素に依存している。これらには以下が含まれます。
エージェントのIDとアクセス管理
各エージェントは、それが奉仕する人間やシステムとは独立した、固有のIDを必要とする。このIDは、有効期限が限定された一時的な認証情報、必要最低限の権限を反映したアクセス許可、およびエージェントが他のエージェントまたはプロセスに委任できる範囲を明確に制限したものと組み合わせる必要があります。固有の識別情報がない場合、単一の共有アカウントを侵害した攻撃者は、エージェントがアクセスできるすべてのリソースにアクセスできる可能性があります。
ツールとアクションのコントロール
エージェントは、使用を明示的に承認されたツールのみにアクセスできるべきである。機密データの削除や資金の移動など、最も重要な操作については、実行前に追加の承認が必要となり、最終的な判断は人間またはポリシーエンジンが行います。
さらに、 Mythosのようなシステムは、高度なAIシステムが受動的な分析から自律的な行動へとどれほど迅速に移行できるかを示す好例となっている。その結果、ツールレベルの制御はもはや単なる二次的な考慮事項ではなく、安全なシステムを設計する上で不可欠な要素となっている。
データとメモリの保護
各エージェントが一度にアクセスできるデータ量を制限する。メモリストアを保護するため、すべての更新を書き込む前に検証し、エージェントが許可なく情報を保持または共有することを防止するポリシーを適用してください。
モニタリングとトレーサビリティ
エージェントによるすべての決定、ツール呼び出し、データアクセス要求、およびエージェント間の通信は、ログを生成する必要があります。これらのログは、ポリシー違反が発生した場合や、人間が承認を与えた場合にも記録されるべきであり、介入が必要な場合にチームが調査するための完全な監査証跡を提供する。
人間の監視と封じ込め
承認チェックポイントにより、重大な結果が生じる可能性のあるワークフローの段階で、人間が介入することが可能になる。エスカレーション手順、シャットダウン制御、および侵害されたエージェントを封じ込める方法を確立し、障害発生時に迅速な対応を可能にする。
Illumioのシニアプロダクトマーケティングマネージャーであるアービン・マルドナド氏が述べているように、「エージェントAIは決してデフォルトで信頼されるべきではありません。」それは、制御され、監視され、区分され、継続的に制約されるべきである。まさにその考え方こそが、IllumioとNetskopeがエージェント型AIのセキュリティ導入を支援し、インタラクション層の制御とインフラレベルの封じ込めを組み合わせる理由なのです。
エージェント型AIは、ライフサイクル全体を通してどのようにセキュリティが確保されているのでしょうか？
エージェント型AIのセキュリティ実装は、チェックリストとしてではなく、ライフサイクルとして捉えるべきである。以下に、このライフサイクルの不可欠な構成要素を定義するシンプルなワークフロープロセスを示します。
- 設計：エージェントの目的と機能、自律性の程度、実行可能な行動、信頼範囲、およびエージェントがもたらすリスクを決定する。
- 構築：エージェントが使用するモデル、ツール、コード、データソース、プロンプト、依存関係、およびメモリアーキテクチャを検証します。
- テスト：敵対的テストを実行して、即時インジェクション、権限昇格、不正なツール使用、メモリ汚染、およびエージェントによって実行されることを意図していなかったアクションをテストします。
- 展開：スコープ付きID、セグメンテーション、アクティブモニタリング、行動ガードレール、および人間による承認要件を設定した状態でエージェントを起動します。
- 運用：エージェントの動作、権限、統合、およびエージェントの運用に関するインシデントやリスクの変化を監視および評価します。
エージェント型AIのセキュリティ確保とサイバーセキュリティにおけるエージェント型AIの活用
これら二つの概念は似たような響きだが、意味するところは全く異なる。エージェント型AIのセキュリティを確保するには、エージェント自体だけでなく、エージェントが関わるワークフロー、データ、ツール、インフラストラクチャも厳重に保護する必要がある。これは、自律システムが乗っ取られたり、騙されたり、誤った標的に向けられたりするのを防ぐ方法という疑問に答えるものです。
Using agentic AI for cybersecurity flips the relationship, making agents part of your security stack to triage alerts, correlate threat signals, recommend remediation paths, or even execute parts of incident response on their own.
このアプローチには確かにメリットがある一方で、新たな種類のリスクをもたらす。セキュリティ重視のエージェントは、有用性を発揮するために高度な可視性と真の権限を必要とすることが多く、そのため、誤ったワークロードを隔離したり、正常なシステムを隔離したりすることも可能です。組織がセキュリティ担当者に与えるアクセス権限が多ければ多いほど、その担当者自体が侵害される価値のある標的となる。
そのため、サービスの停止やネットワークアクセスの遮断といった重大な結果を招くような措置は、エージェントの判断が実際の事案で検証されるまでは、人間の承認を経るべきである。
エージェント型AIのセキュリティに関するベストプラクティスとは？
強力なエージェント型AIセキュリティは、エコシステム内のすべてのエージェントに均一に適用される、一連の規律あるルーチンで構成されます。
- すべてのエージェントとその役割を特定し、所有者、動作内容、使用ツール、アクセスするデータ、依存する他のエージェント、自律性のレベルなど、さまざまな要素を網羅する。
- 各エージェントに固有のIDを割り当て、可能な限り低い権限レベルで短期間のアクセス権限を付与する。
- システム（またはコード）の変更を可能にするツールの使用を制限し、コードの実行を分離し、リスクが高く取り返しのつかない操作には承認を必要とする。
- エージェントが処理を実行する前に、入力、メモリの更新、取得データ、およびエージェント間の通信を検証します。
- エージェントの動作を継続的に監視し、想定されるパターンからの逸脱を検出する。
- エージェントに関する問題の隔離、停止、調査、復旧のための手順を確立し、問題が発生した場合にチームが迅速に対応できるようにしてください。
エージェントは常に進化し、統合機能は絶えず追加され、新たなリスク要因も出現するため、これは継続的な学習分野として捉えるべきです。
ゼロトラストはエージェント型AIのセキュリティをどのように強化するのか？
ゼロトラストセキュリティは、基本的な原則から始まります。それは、認識されたAIエージェントを含め、何もデフォルトでは信頼されないということです。そのため、すべてのエンティティは信頼できないIDとみなされ、一度限りのオンボーディングチェックではなく、それぞれ継続的な検証が必要となります。
ツール、データ、ワークロード、およびアプリケーションへのアクセスは、タスクの要件に従います。エージェントは、割り当てられたタスクを完了するために必要なリソースのみにアクセスできます。最小権限の原則は、エージェント間の通信範囲だけでなく、エージェントとエージェントが相互作用する他のシステム間の通信範囲も制限する。
アクセス範囲を厳密に制限することで、監視の効果も高まります。各エージェントに期待されるコミュニケーションが明確に定義されていれば、逸脱はすぐに明らかになる。
問題が発生した場合、隔離措置は迅速に行われる。ゼロトラストは、侵害されたエージェントとその関連ワークロードを隔離することで、侵害されたエージェントの横方向の移動能力を制限し、悪意のある活動が広範囲にわたる被害を引き起こす前に、その潜在的な影響を軽減します。
IllumioがエージェントAIセキュリティをどのようにサポートするか
Illumioは、エージェント型AI環境を支えるインフラストラクチャ、ワークロード通信、およびアクセスパスを保護します。AIエージェント、アプリケーション、データストア、ツール、クラウドワークロード間の通信をマッピングすることで、すべてが実際にどのように接続されているかを可視化します。
そこから、Illumioのゼロトラストソリューションは、エージェントインフラストラクチャとそれが接続する重要なシステムに対して最小権限のセグメンテーションを強制し、同時にAIワークロードに関連する不審な通信や横方向の移動を継続的に監視します。
Illumioは、プロンプト検証、モデルテスト、メモリセキュリティ、エージェントガバナンスを置き換えるのではなく、それらと連携して機能し、インフラストラクチャ層を包含する一方で、他の制御によってエージェント自体を保護します。
よくある質問(FAQ)
エージェント型AIセキュリティとは、簡単に言うとどのようなものか？
エージェント型AIセキュリティは、限られた人間の介入で計画、意思決定、行動を行うAIエージェントを保護します。これは、エージェントの身元、記憶、ツール、および通信を網羅し、不正使用を防止すると同時に、すべての自律的な行動が実際に承認された目標と一致するように機能します。
エージェント型AIセキュリティは、従来のAIセキュリティとどのように異なるのでしょうか？
従来のAIセキュリティは、モデル、トレーニングデータ、プロンプト、および出力を保護します。エージェントAIのセキュリティはさらに一歩進んで、エージェントの計画、メモリ、ツールの実行、ID、ワークフローを保護します。その違いは、エージェントが単に応答を生成するのではなく、複数のステップからなるタスクを実行するという点にある。
AIエージェントの最大のセキュリティリスクは何ですか？
主なリスクとしては、エージェントの目標を逸脱させる即時注入、安全でない動作につながるツールの誤用、エージェントの活動範囲を拡大させる過剰な権限、保存されたコンテキストを破損させるメモリ汚染、接続されたエージェントやシステム全体に横方向に広がる連鎖的なエラーなどが挙げられます。
AIエージェントを安全に運用するにはどうすればよいですか？
エージェントを保護するということは、エージェントに固有のIDを割り当て、最小権限のアクセスを強制し、エージェントが使用するツールとデータソースを制限し、入力とメモリの更新を検証し、エージェントの動作を継続的に監視することを意味します。エージェントが行う機密性の高い、あるいは取り返しのつかない行動は、人間の承認によって制限されるべきである。
エージェント型AIにゼロトラストはどのように適用されるのか？
ゼロトラストは、すべてのエージェントを信頼できない非人間的な存在として扱い、継続的な検証を必要とする。必要な場合にのみアクセスを許可し、エージェントと接続されたシステム間の通信を制限し、侵害されたエージェントを迅速に隔離して、その潜在的な影響範囲を限定することを可能にする。
