Uber、AIエージェント向け多層防御の枠組みを公開

Uberの投稿は、エージェント型AIを攻撃対象領域の変化として捉えている。定義済みのロジックを実行するのではなく、エージェントはユーザー、ウェブページ、文書、ツール、他のエージェントからのコンテンツを推論し、その推論を現実の行動に変換できる。これによりセキュリティ問題の一部は、IDやAPIの制御から、Uberがセマンティック層と呼ぶ領域へ移る。プロンプトインジェクション、ツールやメモリの汚染、目標の乗っ取り、行動の drift、幻覚に起因する行動といったリスクが生まれる。Uberによれば、従来の認可は誰が行動を許されているかを判断できても、その行動がユーザーの要求やエージェントに定義された目的、セッションの文脈と整合するかは判断できない。

このフレームワークはAI Registryを基盤とする。AI RegistryはエージェントのID、所有者、ペルソナ、許可された意図、制約、依存関係、リスク階層を記録し、Argusと呼ばれる自動化プラットフォームがソースコード、プロンプト、ツール呼び出し経路を分析して構造化された意図を導き出す。Uberは商用のAIセキュリティおよびガードレールプラットフォームと従来のポリシーエンジンを評価したが、対象とする脅威モデルに完全に対応できるものはなかったと述べている。同社は実用上のトレードオフも説明する。強制を強めれば誤ブロックが増え、実行時の評価は遅延と推論コストを追加し、導入の複雑さはチームが制御を回避する方向に働きかねない。

Uberはこの取り組みをセキュリティであると同時にエンジニアリングの問題と位置づけ、共通のインフラポイントに制御を組み込むことで、エージェントが作成・導入される際に保護を継承できるようにしている。次の段階では間接的なプロンプトインジェクションへの防御を拡大し、エージェントの検出とレッドチーミングをさらに自動化すると述べている。この投稿は個々の制御を扱うシリーズの第1回だという。