AIエージェントの固有セキュリティリスク、3件の実例が示す危険

AIエージェントはゴールに到達するための自身の実行パスを設定する自律システムである。離散的なリクエストに応答するチャットボットとは異なり、エージェントはステップ間に人間の介入なしに複数の操作（データベース照会、外部API呼び出し、データ変更）を連鎖させることができる。この自律性と生成AIの確率的性質の組み合わせが、標準的なIT管理では対応できないセキュリティ上の危険をもたらす。

2025年6月、セキュリティ企業Aim SecurityはMicrosoft 365 Copilotの「EchoLeak」（CVE-2025-32711）を公表した。攻撃者は隠れた指示を含むメールを細工でき、Copilotはメールを解析し、隠れた指示と正当なユーザー意図の区別に失敗し、ユーザーが何もクリックすることなく機密データを外部アドレスに送信する。構造的な欠陥はCopilotが信頼できない入力（メール）と信頼できる入力（ユーザー自身のコマンド）をフィルタリングできないことにあった。この脆弱性はCVSSスコア9.3を持ち、Microsoftの生産性スイート全体の複数のCopilot統合に影響していた。Microsoftはサーバー側で修正し、野生での悪用確認はなかった。しかし、このインシデントはエージェントが処理するよう設計されたデータソース自体を通じて操作できることを証明した。

2番目のケースはMetaのAIアシスタントに関わるものである。研究者は、攻撃者がチャットボットに自然な会話言語で「[ターゲットアカウント]に新しいメールアドレスをリンクする」と求めることができ、アシスタントが従うことを報告した。これにより認証コードが攻撃者のメールに送信される。攻撃者はアカウントパスワードをリセットして制御を奪う。この攻撃が成功した理由は、アシスタントが帯域外検証なく自然言語リクエストだけの根拠でハイリスク操作（アカウント修正）を受け入れたからである。被害者にはアメリカの元大統領バラク・オバマの保存されたキャンペーンページとSephora小売アカウントが報道で含まれていた。

第三に、2025年、Supabase（データベースプラットフォーム）と協力する研究者は、AIエージェントをモデルコンテキストプロトコル（MCP）経由でデータベース認証情報とコンテンツをリークするよう騙す可能性を発見した。MCPはエージェントを外部ツールに接続するための標準である。攻撃者がサポートチケットに悪意のある指示を埋め込んだ。エージェントがそのチケットを要約するよう求められると、隠れた指示に従ってMCPサーバーにクエリし、過度な権限を持つそのサーバーが機密トークンと無関係なテーブルデータを返した。SupabaseとGeneral Analysis（この欠陥を検証したセキュリティチーム）は、リードオンリーアクセスがリークを可能にした書き込みと削除操作を防止したはずだと指摘した。

この記事は6つの核心的なセキュリティリスクを特定する。プロンプト注入（エージェントが読むテキスト内の隠れた指示）、過度な権限、機密またはプライベートデータの漏洩、不安全なツール統合（特にMCP）、メモリポイズニング（エージェントの保存状態を破損して将来の判断を偏らせる）、複数のエージェントが相互作用する時のカスケード障害である。その後、5つの即時緩和策を規定する。（1）タスクに必要な最小限の権限のみをエージェントに付与する、（2）資金移動や外部データ送信などのハイリスク操作に人間の承認を要求する、（3）監査ログと異常検知を維持して侵害を早期に検知する、（4）プロンプト注入をブロックするために入力をフィルタリングしてエージェントが見る前に、（5）「シャドウAI」（無許可のエージェント使用）を防ぐための使用ポリシーと従業員トレーニングを確立する。

この記事はまた4つのセキュリティフレームワークを参照する。日本の「AI事業者向けガイドライン」（2026年3月31日にバージョン1.2に更新）は、国内AI事業者に対するベースラインの原則を提供する。OWASPの「Agentic AI Threats and Mitigations」はエージェントの自律性、メモリ、ツール使用に固有の脅威をカタログ化する。EU AI法は高リスクAIシステムの人間による監視を義務付ける。NIST IR 8596（サイバーAIプロフィール）は2025年12月の予備版ドラフト公開により、AI固有のリスクを既存のサイバーセキュリティフレームワークにマップする。運用上、この記事は階層化された承認ワークフロー（低リスク操作は自動承認、高リスク操作は審査）、事前に作成されたインシデント対応手順（誰がエージェントを停止するかの判断、変更をロールバックする方法）、従業員が使用できるエージェントと入力できるデータについての明確なポリシーを推奨する。結論は、最小限の開始点は最小権限アクセスであることを強調する。エージェントに必要な権限のみを与え、不可逆的な操作に対する人間の署名をオフするという最小限である。

AIエージェントは従来のソフトウェアと根本的に異なる。ゴールを与えられると、人間の承認を待たずに独自の手順を組み立てて実行し、過去のやり取りと外部データに基づいて動作を調整する自律性を持つ。この自律性は3つのリスク分類をもたらす。第一に、出力は非決定的である。同じ指示を与えても毎回異なる動作をするため、テストで本番環境での安全な動作を保証できない。第二に、エラーが連鎖する。単一の誤った判断が後続の自律的な操作に波及し、誰にも介入できないまま進行する。第三に、適応性が兵器化される。攻撃者は段階的に入力を調整してエージェントを有害な出力へ誘導できる。

3つの具体的インシデント（EchoLeak、Instagramアカウント乗っ取り、Supabaseトークン流出）はすべて、開発者の意図と自律システムが曖昧または悪意のある入力を受けた時の実際の動作のギャップを利用している。各事例で従来のセキュリティコントロール（ファイアウォール規則、認証チェック）は失敗している。エージェントが正当な権限を持ち、有害な行動がエージェントの視点から正当なタスクに見えたからだ。だからこそ本記事は、エージェンシー（自律性）そのものが脆弱性であることを強調する。自律システムに集中した権限は、いかなる誤りや悪用の影響も増幅する。

まだコメントがありません。最初のコメントを投稿しましょう！