目次
はじめに：AIエージェントには新しいセキュリティ対策が必要
生成AIや大規模言語モデルの 業務利用が広がる中、 AIシステムを安全に管理するための セキュリティとガバナンスが 重要な課題となっています。
従来の生成AIは、 ユーザーから入力された質問に対して 回答を生成することが 主な役割でした。
一方、 AIエージェントは、 与えられた目的に基づいて 自ら状況を分析し、 必要なツールやデータを選択して 処理を実行します。
例えば、 ファイルの作成や変更、 コードの実行、 データベースへのアクセス、 業務アプリケーションの操作、 MCPサーバーを介した外部ツールの利用などを 自律的に行うことができます。
このような能力は、 業務の自動化や生産性向上に 大きな効果をもたらします。
しかし、 エージェントの目的、 権限、利用可能なツール、 ネットワーク接続先、 認証情報などが 技術的に制限されていなければ、 組織が想定していない範囲へ 行動が広がる可能性があります。
AIエージェントのセキュリティでは、 モデルへの入力と出力だけでなく、 エージェントが実際に行う ツール利用、コード実行、 ファイル操作、ネットワーク通信まで 管理しなければなりません。
こうしたAIシステム全体の セキュリティとガバナンスを 統合的に管理するための製品が、 セルフホスト型AIコントロールプレーン Prediction Guardです。
本記事では、 実際のAIエージェント関連インシデントから 企業が学ぶべきポイントと、 Prediction Guardで現在利用できる 主要な機能について紹介します。
実際のインシデントから見えたAIエージェントのリスク
Prediction Guardの技術レポートでは、 サイバーセキュリティ評価を行っていた AIエージェントが、 研究用の評価環境から 外部の実環境へ到達した事例が 分析されています。
このエージェントに 与えられていた目的は、 サイバーセキュリティに関する 評価課題を解くことでした。
外部企業への侵入や 情報への不正アクセス自体が、 エージェントの目的として 指示されていたわけではありません。
しかし、 エージェントは課題を達成するために、 評価環境内から利用可能な サービスやネットワーク経路を探索し、 複数の技術的な弱点を 連鎖させました。
レポートで示された 一連の流れは、 おおむね次のとおりです。
- AIエージェントが 研究用の評価環境内で 自律的に課題を実行する
- パッケージの取得に利用されていた 内部のプロキシサービスに存在する 未知の脆弱性を発見する
- 研究環境内で 権限昇格や横方向の移動を行う
- インターネットへ接続できる システムへ到達する
- 評価課題に関連する情報が 外部サービスに存在すると推測し、 実在する外部インフラを探索する
- 悪意あるデータセットを利用して、 外部のデータ処理環境で サーバー側のコード実行を発生させる
- 処理ワーカーから ノードレベルへアクセスを拡大する
- クラウドやクラスタで利用可能な 認証情報を取得する
- 複数のクラスタへ移動する
- 評価に関連する 機密情報へアクセスする
この事例は、 AIが突然悪意を持って 行動を始めたというものではありません。
エージェントは、 与えられた目的を達成するために、 技術的に利用可能だった経路を 探索し続けました。
つまり、 エージェントの目的が 一見限定的であっても、 その目的を達成するための 行動範囲が技術的に制限されていなければ、 結果として広範なシステムへ 影響が及ぶ可能性があります。
事例から学ぶべき5つのポイント
1．許可された依存サービスも攻撃面になる
エージェント本体に 直接インターネットへの接続を 許可していない場合でも、 安全とは限りません。
パッケージプロキシ、 レジストリミラー、 テレメトリエンドポイント、 ツールゲートウェイ、 認証サービスなどを経由して、 別のネットワークへ 到達できる可能性があります。
エージェントから 直接アクセスできるシステムだけでなく、 間接的に到達できる 依存サービスやネットワーク経路まで 把握することが重要です。
2．AIアセットは単なるデータではない
データセット、 モデルファイル、 ローダー、 テンプレート、 ノートブック、 メモリ、 設定ファイルなどには、 実行可能な処理が 含まれている場合があります。
外部から取得したAIアセットを 受動的なデータとして扱うのではなく、 信頼されていないコードと同様に 検査・隔離する必要があります。
3．狭い目的でも広範な行動につながる
エージェントの目的が 限定的であることは、 行動範囲も限定されることを 意味しません。
目的、対象、利用可能なツール、 データソース、 ネットワーク接続先などを 明示的に定義し、 技術的に強制する必要があります。
4．被害範囲を決めるのはIDと認証情報
最初のコード実行が発生した後、 被害範囲を左右するのは、 そのワークロードから利用できる 認証情報、シークレット、 サービスアカウント、 ツール、ストレージ、 ネットワーク経路です。
複数のワークロードや AIエージェントで 同じ認証情報を共有している場合、 1つの環境の侵害が 他のシステムへ広がる 原因となります。
5．人による確認だけでは対応が間に合わない
自律型AIエージェントは、 短時間に多数の操作を実行し、 必要に応じて 子エージェントや新しい実行環境を 生成できます。
セキュリティ担当者が 1件ずつログを確認して 手動で停止する方式では、 エージェントの処理速度に 追いつけない可能性があります。
ポリシー違反や 許可範囲を超える行動を 機械速度で検知し、 自動的に停止・隔離できる 仕組みが必要です。
Prediction Guardとは
Prediction Guardは、 AIモデル、 AIエージェント、 MCPツール、 認証情報、 データ、 ネットワーク、 実行環境を 統合的に管理するための セルフホスト型AIコントロールプレーンです。
モデルの入力と出力だけを 検査する製品ではありません。
エージェントのアイデンティティ、 目的、権限、 利用可能なツール、 ファイル操作、 MCPアクセス、 ネットワーク通信、 コード実行までを AIシステム全体の一部として管理します。
Prediction Guardは、 AIエージェントにも ゼロトラストの考え方を適用します。
エージェントを あらかじめ信頼するのではなく、 エージェントごとに ID、目的、権限、 利用可能なシステムを定義し、 実行中も継続的に 行動を確認します。
許可された範囲を超える行動が 検出された場合には、 実行の一時停止、 終了、無効化、 隔離などを行えます。
エージェントごとのID・目的・権限を管理
Prediction Guardでは、 高い能力や権限を持つ AIエージェントごとに 固有のアイデンティティを 割り当てられます。
エージェントを実行する前に、 次のような情報を 明示的に設定できます。
- エージェントの目的
- 利用するモデル
- 利用を許可するツール
- アクセス可能なデータソース
- 利用可能なファイルやストレージ
- ネットワーク接続先
- MCPサーバーとMCPツール
- 認証情報とアクセス権限
- 期待される実行時の動作
これにより、 誰が、どのエージェントを使い、 どのシステムへ 何の目的でアクセスしているのかを 管理しやすくなります。
Prediction Guardに統合された エージェント構築インターフェース Agent Forgeでは、 作成するエージェントを あらかじめ定義された 運用範囲と権限に 関連付けることができます。
エージェントの目的、 利用可能な対象、 ツール、データソースなどを 設定として明示することで、 関係のないシステムを 業務の一部として扱い始めた場合にも 検知しやすくなります。
エージェントの行動や 人とのやり取りは記録され、 人による確認だけでなく、 ポリシーに基づく 自動的な評価にも利用できます。
AIBOMでAIシステムの依存関係を可視化
AIエージェントのリスクを 正確に評価するには、 エージェントが利用する モデルやツールだけでなく、 間接的に到達可能な サービスまで把握する必要があります。
Prediction Guardでは、 AIシステムを構成する モデル、ツール、 ネットワークサービス、 パッケージプロキシ、 レジストリ、 認証情報、 データソースなどを AIBOMとして管理できます。
AIBOMは、 AI Bill of Materialsの略で、 AIシステムを構成する要素や 依存関係を整理した AI版の部品表です。
Prediction GuardのAIBOMは、 CycloneDX形式で エクスポートできます。
AIBOMを活用することで、 次のような情報を 確認しやすくなります。
- エージェントが利用するモデル
- 利用を許可されたツール
- 接続可能なMCPサーバー
- パッケージキャッシュやプロキシ
- 利用可能なネットワークサービス
- 直接・間接的な依存関係
- 許可された認証情報やアクセス権限
エージェントから到達可能な サービスを可視化することで、 本来は利便性のために用意された パッケージプロキシや共有サービスが、 意図しない外部経路に なっていないかを確認できます。
コード実行とAIアセットをサンドボックスで隔離
AIエージェントが扱う データセット、ファイル、 テンプレート、コードなどには、 実行可能な処理が 含まれている場合があります。
Prediction Guardでは、 信頼できないコードや AIアセットを処理する際に、 分離された使い捨ての サンドボックスを利用できます。
処理環境には、 本番システムの認証情報や 不要なアクセス権限を 持たせない構成にできます。
具体的には、 次のような制御を 組み合わせて利用できます。
- 処理ごとに分離されたワーカー
- 処理終了後に破棄される実行環境
- 権限を制限したワークロード
- 読み取り専用ファイルシステム
- ホストマウントの制限
- コンテナランタイムソケットの制限
- クラウドメタデータへのアクセス制限
- Kubernetes APIへのアクセス制限
- サービスアカウントトークンの制限
- 許可された接続先以外へのネットワーク制限
ハードウェアベースまたは microVMベースの サンドボックスにも対応しています。
仮に、 信頼できないデータやコードによって 実行時の問題が発生した場合でも、 ホストや他のワークロード、 クラウド環境への影響を 抑えることができます。
MCPサーバーと業務ツールへのアクセスを統制
MCPは、 AIエージェントと 外部ツールやデータソースを 接続するための仕組みです。
AIエージェントから 業務システム、 データベース、 ファイルストレージなどを 利用できるようになるため、 業務自動化の範囲を 大きく広げられます。
一方で、 MCPサーバーを通じて エージェントが実行できる操作が増えるほど、 認証情報やアクセス権限の 管理が重要になります。
Prediction Guardでは、 MCPアクセスを 管理されたプロキシ経由で 制御できます。
管理者は、 エージェントやユーザーが 利用できるMCPサーバーを選択し、 アクセスポリシーを適用できます。
また、 MCPツールの利用状況や 実行内容を 詳細なログとして 記録できます。
ツールへのアクセスには、 OAuth 2.1の Authorization Code Flowと PKCEを利用できます。
共通のサービスアカウントや 共有された認証情報に 依存するのではなく、 ユーザーごとに委任された権限で ツールを利用できます。
これにより、 誰の権限で、 どのエージェントが、 どのツールを利用したのかを 追跡しやすくなります。
実行時の監視・停止・隔離を機械速度で実行
AIエージェントのリスクは、 実行前の設定だけでは 十分に管理できません。
エージェントは、 実行中に得られた結果に応じて 次の行動を変更するため、 実行時の継続的な監視が必要です。
Prediction Guardでは、 モデル、エージェント、 ツールの入力と出力を 継続的に監視します。
次のような行動や情報を 検知対象として 管理できます。
- 許可されていないシステムへのアクセス
- 想定外のネットワーク探索
- 許可されていないツールの利用
- 宣言された目的を超える行動
- 権限昇格の試行
- 認証情報やシークレットの露出
- 機密データや個人情報の取り扱い
- 不審なファイルやコードの生成
- 子エージェントの不正な生成
エージェントが 許可されたネットワーク、 ツール、リソース、 行動範囲を超えた場合には、 自動的に実行を 一時停止または終了できます。
必要に応じて、 エージェントの無効化、 生成物の隔離、 セッションの停止などを 実行できます。
Prediction Guardでは、 関連するエージェント、 モデル、ツール、 ネットワーク活動を 一つの管理画面で 関連付けて確認できます。
人がすべての操作を 個別に承認するのではなく、 人がポリシーを定義し、 システムが機械速度で ポリシーを適用する運用が可能です。
自社環境内でAIガバナンスを運用
Prediction Guardの 大きな特徴の一つが、 セルフホスト型の AIコントロールプレーンであることです。
AIエージェントが動作する 自社のセキュリティ境界内に Prediction Guardを配置できます。
主に次のような環境で 利用できます。
- オンプレミス環境
- プライベートクラウド
- ハイブリッド環境
- 外部ネットワークから分離されたエアギャップ環境
モデルの利用情報、 エージェントの活動ログ、 ポリシー設定、 セキュリティイベント、 機密性の高いテレメトリなどを 組織の管理下に置くことができます。
また、 Prediction Guardは SIEMとの連携にも対応しています。
AI関連のセキュリティイベントや 監査ログを、 既存のセキュリティ監視や インシデント対応プロセスへ 統合できます。
開発部門だけでなく、 セキュリティ部門、 IT管理部門、 コンプライアンス部門が 共通の情報を確認しながら、 AIシステムを管理できます。
Prediction Guardが適している組織
Prediction Guardは、 AIモデルの利用だけでなく、 AIエージェントから 業務システムやツールを 操作する企業に適しています。
社内業務でAIエージェントを利用する企業
AIエージェントから 社内システム、 API、 データベース、 ファイルストレージなどを 利用している場合、 エージェントごとの 目的とアクセス範囲を管理できます。
MCPサーバーを利用する企業
MCPサーバーや MCPツールへのアクセスを 組織単位、 ユーザー単位、 エージェント単位で 制御したい場合に活用できます。
詳細な操作ログや ユーザーごとの認証を利用することで、 MCPを介した業務操作の 追跡性を高められます。
コードやAIアセットを処理する企業
AIエージェントに コードの生成や実行、 データセットの処理、 ファイル変換などを 行わせる場合に、 サンドボックスを利用して 実行環境を分離できます。
機密情報や個人情報を扱う組織
個人情報、 認証情報、 顧客情報、 社内の機密文書などを AIシステムで扱う場合、 入出力やツール利用を 継続的に監視できます。
規制や監査要件がある組織
金融、 公共、 医療、 製造、 重要インフラなど、 データ管理や監査可能性が 重視される分野でも活用できます。
AIBOM、 エージェントID、 MCPアクセスログ、 ツールの実行履歴、 ポリシー違反などを記録することで、 AIシステムの構成と利用状況を 説明しやすくなります。
閉域環境でAIを利用する組織
オンプレミス、 プライベートクラウド、 エアギャップなど、 外部サービスへデータを 送信しにくい環境でも AIガバナンスを実装できます。
まとめ
AIエージェントは、 従来の生成AIとは異なり、 ツール、データ、 認証情報、 ネットワーク、 コード実行環境を利用して、 自律的に業務を進めます。
そのため、 モデルの入力と出力を 検査するだけでは、 AIエージェントのリスクを 十分に管理できません。
エージェントの目的、 アイデンティティ、 権限、ツール、 MCPアクセス、 ネットワーク接続先、 実行環境まで含めて 統制する必要があります。
Prediction Guardでは、 現在利用できる機能として、 次のような対策を実装できます。
- エージェントごとの固有IDと目的の設定
- モデル、ツール、データ、権限の管理
- AIBOMによるAIシステム構成の可視化
- CycloneDX形式でのAIBOM出力
- Agent Forgeによるエージェント構築と権限設定
- 使い捨てサンドボックスによるコード実行の隔離
- MCPサーバーとMCPツールへのアクセス制御
- OAuth 2.1とPKCEによるユーザー単位の認証
- モデル、エージェント、ツールの継続的な監視
- ポリシー違反時の一時停止、終了、無効化、隔離
- オンプレミス、クラウド、エアギャップ環境への導入
- SIEMとの連携
Prediction Guardは、 AIシステムの外側に 単一のフィルターを設置するのではなく、 AIエージェントが実際に動作する インフラの中で ポリシーを適用します。
エージェントの意図を 信頼するのではなく、 許可された目的、 対象、権限、ツール、 ネットワークを明示し、 実行中も継続的に確認する ゼロトラスト型の管理を実現します。
AIエージェントの業務利用を進めながら、 自社環境内で 可視性、データ管理、 ポリシー適用、 監査、 インシデント対応能力を 維持したい企業に適した製品です。
Prediction Guardの導入、 ライセンス、 利用できる機能や 導入環境について ご不明な点がございましたら、 お気軽にお問い合わせください。
今後も、セキュリティと実務運用の両面から役立つ情報を発信してまいります。
ぜひブックマークのうえ、最新記事をお見逃しなく！