マルチターン型AI攻撃が防御を88%の確率で突破

Ciscoの研究者らがAIエージェントセキュリティをストレステストするために着手したとき、彼らは制御環境で15の主要モデルに対して6,986件のマルチターン型攻撃を実行した。結果は明白だった。複数の会話ターンを通じてプロンプトを適応させた攻撃者は88.3%の確率で突破した。VB Transform 2026のエージェントセキュリティパネルでAI脅威インテリジェンスおよびセキュリティ研究責任者のAmy Changによって発表されたこの知見は、業界が現在どのようにAI防御を検証するかの盲点を露呈させた。今日のレッドチーミングの大多数はシングルターン型攻撃に焦点を当てており、モデルが隔離された状態で騙されるかどうかをテストするワンショットプロンプトであり、Ciscoのデータはこのアプローチが実際に敵対者が採用する洗練された反復的攻撃を体系的に見落としていることを示した。

脅威はもはや理論的ではない。2026年6月、VentureBeatは107社の企業回答者に対するアンケートを実施し、広範な脆弱性の状況を描き出した。企業の54%以上が既に確認されたエージェントセキュリティインシデント（18%）、または被害発生前に対応されたニアミス（36%）のいずれかを経験している。調査はまた現在の防御がいかに脆弱であるかも明らかにした。企業の32%のみがすべてのエージェントに独自のスコープ付き管理アイデンティティを付与しており、最高リスク保有エージェントをサンドボックスで隔離している企業は30%に過ぎない。大多数（82%）がプロバイダーネイティブコントロールおよびハイパースケーラー提供のセキュリティツールを主要防御レイヤーとして依存している。これらは従来のワークロード向けに構築されたのと同じベンダーであり、AIエージェントの適応型マルチターン相互作用向けではない。

セキュリティ業界は注視している。Palo Alto NetworksはCyberAk買収（250億ドル、約4兆円）を2月に完了し、CrowdStrikeもAIエージェントセキュリティ領域に進出している。これらの巨大取引は、エンタープライズリーダーがAIエージェントセキュリティをミッションクリティカルと見なすようになったこと、およびマルチターン攻撃シナリオに対応できないベンダーは対応できるベンダーに取って代わられるリスクがあることを示唆している。シングルターン型レッドチーミングプログラムを実行している組織向けに、Ciscoのメッセージは明確である。重要な攻撃が見えていない。

Ciscoの調査結果は、企業が現在AIエージェントセキュリティをテストする方法と現実の脅威環境の間に存在する深刻なギャップを明らかにしている。マルチターン型攻撃（攻撃者が単一の会話内での以前のモデル応答に基づいて自らのアプローチを洗練させるもの）は、今日のレッドチーミングプラクティスを支配する孤立した単一ターンプロンプトからは根本的に異なる脅威を代表している。15の主要モデルにわたる88.3%の成功率は、現在の防御が会話の深さで動作する適応型の敵対者を処理するために設計されていないことを示唆している。

VentureBeatの調査データは緊急性を強調している。54%の企業が既に確認されたインシデント、またはニアミスを経験しているにもかかわらず、大多数がコントロールレイヤー（プロバイダーネイティブツールおよびハイパースケーラー防御）に依存しており、これらはマルチターンエージェント相互作用を念頭に設計されていない。スコープ付きアイデンティティの採用率が低い（32%）こと、およびサンドボックスによるエージェント隔離の採用率（30%）は、ほとんどの組織がAIエージェントセキュリティをまだ行動含有チャレンジではなくバイナリアクセス問題として扱っていることを示している。この脅威の高度化と防御姿勢のミスマッチはセキュリティベンダーエコシステムに気づかれていない状態ではなく、高額なM&A活動で証明されている。Palo Alto Networksによる2月のCyberArk買収（250億ドル、約4兆円）は企業顧客がセキュリティプラットフォームにAI固有のリスクをコア機能として対処することを期待していることを示唆している。

まだコメントがありません。最初のコメントを投稿しましょう！