見出し画像

AIエージェントのセキュリティリスクと対策

土門大貴/daikidomon

AIエージェントは文章を作るだけでなく、読んで、書いて、実行します。チャットAIとはリスクの質が違う理由と、導入前に決めておく対策を整理します。

チャットAIとの違いは「権限を持つ」こと

チャット型の生成AIで事故が起きるのは、主に人が機密を入力したときと、出力を鵜呑みにしたときです。人が間に入っている分、事故の半径は限定されます。

AIエージェントは違います。メールの送信、ファイルの更新、コードの実行、外部サービスの操作といった権限を持ち、一連の作業を自律的に進めます。判断と実行の間から人が抜けるため、騙されたときの被害が「変な文章が出た」では済まず、「実際に送信された・削除された・送金された」になります。

これはエージェントを使うなという話ではありません。権限を持つ社員を雇うときに職務と決裁権限を決めるのと同じ設計が、エージェントにも必要だという話です。

現実に起きたこと

IPAの「情報セキュリティ10大脅威2026」解説書は、AIエージェント関連の事例を具体的に挙げています。いずれも2026年7月時点で一次情報を確認できるものです。

  • 攻撃の8〜9割をAIが自律実行: Anthropicは、国家支援型の攻撃者がClaude Codeを悪用し、偵察から認証情報の窃取まで攻撃プロセスの80〜90%をAIが自律的に実行したサイバー諜報活動を確認したと公表しました

  • ゼロクリックの情報流出: Microsoft 365 Copilotの脆弱性「EchoLeak」(修正済み)では、メールに仕込まれた不可視の指示をAIが読み込むことで、利用者が何も操作しなくても社内情報が外部送信されうる状態でした

  • 開発ツールも標的に: AIコードエディタCursorでは、プロジェクト内のREADME等に悪意ある指示を埋め込むと、開発者の権限で任意のコードを実行させられる脆弱性が見つかりました(修正済み)

  • AIの間違いを待ち構える攻撃: AIが実在しないパッケージ名を提案するハルシネーションを逆手に取り、その名前でマルウェアを登録しておく手口も報告されています

核心は「間接プロンプトインジェクション」

上の事例の多くに共通するのが、間接プロンプトインジェクションです。攻撃者が直接AIに指示するのではなく、AIが作業中に自分で読みに行くデータ(メール、Webページ、ファイル、ツールの応答)に指示を仕込んでおく手口です。

エージェントは仕事をするために外部のデータを読む必要があり、読んだ内容に従う性質があります。IPAの解説書も、これを完全に見分ける技術的対策は知られていないと明記しています。つまり「AI側の賢さ」に頼る防御は成立せず、権限とデータの設計で守るしかありません。仕組みの基本は『プロンプトインジェクションとは。仕組みと対策』で解説しています。

導入前に決める5つの設計

1. 権限を最小にする

エージェントに渡す権限を「読み取り」「書き込み」「実行」「外部送信」に分けて、業務に必要な最小限だけを許可します。全部入りの管理者権限で動かすのは、新入社員に社印と銀行印を渡すのと同じです。

2. 人間の承認ポイントを固定する

取り消せない操作(送信・削除・公開・支払い・契約)は、エージェントが提案し、人間が承認してから実行する設計にします。「どこに承認を挟むか」を先に決めておくのが、エージェント導入設計の中心です。

3. 機密データと外部データを混ぜない

営業秘密を扱うエージェントに、信頼できないWeb検索結果や外部からのメールを同時に読ませると、間接プロンプトインジェクションの成立条件が揃います。扱うデータの信頼境界を分け、機密を扱う処理では外部由来データの参照を絞ります。

4. ログを残す

エージェントが「何を読み、何を実行したか」の記録がないと、事故時に何が起きたか再構成できません。操作ログの保存は導入時の必須要件にします。

5. 止め方を決めておく

暴走や乗っ取りが疑われるとき、誰がどうやって止めるか(認証情報の無効化、権限の剥奪、停止手順)を先に決めます。事故対応の初動は『生成AIに個人情報を入力してしまったときの対処』と同じく、手順化しておいて初めて機能します。

ツール連携の入口も確認する

エージェントに外部ツールを繋ぐ標準規格MCPにも、繋ぐ前に確認すべき点があります。これは『MCPのセキュリティ。確認してから繋ぐ』として別記事で整理しています。

なお、攻撃の大半は「従来のサイバー攻撃がAIで高速化されたもの」であり、多要素認証、パッチ適用、最小権限といった基本対策の価値はむしろ上がっています。エージェント固有の対策は、基本の上に載せるものです。

まとめ

  • AIエージェントは権限を持って自律実行するため、事故が「変な出力」ではなく「実行された被害」になる

  • 攻撃プロセスの8〜9割をAIが自律実行した事例、ゼロクリックで情報が流出しうる脆弱性、開発ツールへの指示埋め込みまで、現実の事例が揃ってきた

  • 核心は間接プロンプトインジェクション。完全に見分ける技術はなく、権限とデータ境界の設計で守る

  • 導入前に決めるのは、最小権限、人間の承認ポイント、データの信頼境界、ログ、停止手順の5つ

  • 基本のセキュリティ対策(多要素認証・最小権限・パッチ)の価値はAI時代にむしろ上がっている

生成AIセキュリティ対策全体の優先順位は、『生成AIセキュリティ対策の全体地図』にまとめています。

主な参考資料

  • IPA「情報セキュリティ10大脅威 2026 解説書(組織編)」 https://www.ipa.go.jp/security/10threats/omgdg50000008fi8-att/kaisetsu_2026_soshiki.pdf

  • Anthropic「Disrupting the first reported AI-orchestrated cyber espionage campaign」 https://www.anthropic.com/news/disrupting-AI-espionage

  • Trend Micro「ゼロクリックで情報漏えい: Microsoft 365 Copilot の脆弱性『EchoLeak』の調査結果を解説」 https://www.trendmicro.com/ja_jp/research/25/g/preventing-zero-click-ai-threats-insights-from-echoleak.html

AIエージェント導入の設計を相談したい方へ

TodoONadaでは、AIエージェントの受託開発・導入支援を行っています。権限設計、承認ポイントの設計、ログと停止手順の整備まで、セキュリティを織り込んだ導入をご相談いただけます。

お問い合わせはこちら

いいなと思ったら応援しよう！