サイバーセキュリティにおけるエージェント型AI：可能性とリスク

Louise Scullyシニアマネージャー（プロダクトマーケティング、AIセキュリティおよび脅威インテリジェンス担当） | F5

主なポイント

• マシンスピードで活動する攻撃者に対抗するには、セキュリティにエージェント型AIを組み込むことが不可欠です。
• 固定された決定木に従う従来のセキュリティプロセスとは異なり、AIエージェントは状況の変化に適応するため、安全に利用できるようガードレールが必要です。
• セキュリティにAIエージェントを活用すると、新たな攻撃対象領域も生まれ、ツールの不正使用、権限の悪用、メモリポイズニングなどの脅威につながる可能性があります。
• AIエージェントを保護するには、組織はエージェントをガバナンスの対象となるアイデンティティとして扱い、適用範囲が限定された有効期間の短い認証情報を付与し、実行時のガードレールを適用するとともに、取り消せない意思決定については人間の承認を必須とする必要があります。

デジタルファーストかつAIを活用する時代において、サイバーセキュリティ管理の複雑さはかつてないほど増しています。セキュリティチームは、ハイブリッドマルチクラウド環境や分散アーキテクチャに加え、環境全体のアプリ、API、その他のモデルと連携する複雑なAIシステムを保護しています。一方、攻撃者はAIを悪用し、これまで以上に大規模で高度な攻撃を、かつてない速さで仕掛けています。

セキュリティにエージェント型AIを活用することで、マシン速度の脅威への対抗、環境の継続的なテスト、アラート疲れの自律的な軽減に役立ちます。AIエージェントは、未検出の脆弱性を探索し、動的なシグネチャの異常を特定して、アラートの優先順位付けを自律的に行えるため、チームはAIを活用した脅威の特定と対応に費やす時間を短縮できます。

同時に、サイバーセキュリティでAIエージェントを使用することは、新たなリスクも生み出します。サイバー犯罪者はAIを利用し、分散型サービス拒否（DDoS）攻撃、クレデンシャルスタッフィングなどの従来の手法に加え、プロンプトインジェクション、データポイズニング、エージェントの目標ハイジャックといった新たな攻撃を仕掛けています。

「2026 F5 State of Application Strategy Report」によると、調査対象組織の98%が、エージェント型AIからアクセスできるようにアプリを変更していると回答しています。これらの組織では、すでに平均7つのAIモデルを使用しているか、積極的に評価しています。こうしたAIの導入が進むにつれて、攻撃対象領域も拡大します。

エージェント型AIはサイバーセキュリティでどのように機能するのか

エージェント型AIとは、特定の目標を達成するために、複数のステップを自律的に実行できるAIシステムを指します。エージェントには、目標、ツールへのアクセス権、ステップ間で保持されるメモリ、実際の権限を持つIDが与えられます。

サイバーセキュリティ対策を支援するうえで、エージェント型AIには主に2つの機能があります。1）AIで強化されたトラフィック監視、シグネチャ追跡、脆弱性検出により、AIを利用した攻撃に対抗すること、2）リスクの優先順位付けと自動化により、インシデント対応管理を改善することです。

内部では、セキュリティエージェントがループ処理を実行します。ループを繰り返すたびに新たな情報が生成される可能性があり、エージェントはその情報を利用してループを最適化できます。

一般的なループでは、エージェントは次のすべてのアクションを実行する場合があります。

• 認識：エージェントは、アラート、ログ、テレメトリ、アイデンティティイベント、外部の脅威インテリジェンスなどのセキュリティシグナルを取り込みます。
• 推論と計画：次に、エージェントは目標を複数のステップに分解し、推論とアクションを交互に実行しながら、新しい情報が得られるたびに計画を修正します。
• 実行：エージェントは、各タスクの完了に必要なツールを使用してアクションを実行します。セキュリティ情報およびイベント管理（SIEM）システムへの照会、IPレピュテーションの確認、エンドポイントのプロセスツリーの取得、ホストの隔離、チケットの起票またはクローズなどを行う場合があります。
• 観察：エージェントはツールの出力を読み取り、目標と照合したうえで、必要に応じて推論と計画のステップに戻ります。
• 保持：出力と調査結果をメモリに書き込むことで、後続の意思決定にそれまでのコンテキストが引き継がれます。
• エスカレーション：定められたチェックポイントで、エージェントは処理を停止し、人間に判断を委ねます。

新たな情報に適応する能力は、AIエージェントを従来の自動化ツールと区別する重要な特性の1つです。この能力によって攻撃者はより迅速に行動できるため、脆弱性を発見し、IT環境全体のストレステストを行うには、AIを活用したサイバーセキュリティが必要です。

従来のSecOpsとエージェント型AIの比較

多くのセキュリティチームは、すでに重要なプロセスにSecOpsの自動化を組み込んでいます。たとえば、SOAR（セキュリティのオーケストレーション、自動化、対応）ソリューションは、マシンの処理速度でタスクを実行する決定論的なツールです。条件Aが成立すると、ツールはアクションBを実行します。これらのソリューションは高速で監査可能ですが、実際の状況が既存の意思決定分岐から外れた時点で機能しなくなります。

AIエージェントは非決定論的であり、厳格なルールには従いません。代わりに、新たな入力に応じて動的に調整し、適応します。そのため、未知の脅威への対応に優れています。さらに、人間による操作をほとんど、またはまったく必要とせず、複雑なタスクを自律的に実行できます。また、多くの場合、SIEMやSOARソリューションよりも包括的に対応し、迅速に結果を得られます。ただし、動的に動作するため、より厳格なガバナンスとオブザーバビリティが必要です。

高速化するエージェント主導の脅威に立ち向かう

サイバーセキュリティにAIエージェントを導入することは、もはや任意ではありません。エージェント型AIの脅威に対抗するには、エージェント型AIのセキュリティが不可欠です。

2025年11月、Anthropicは公表しました。これは、公に記録された初のAI主導型スパイ活動です。エージェント型フレームワークが、約30の標的組織に対する戦術的作業の最大90%を実行しました。人間のオペレーターが関与したのは、ごく少数の意思決定時のみでした。

標的となる組織にとって、攻撃者によるAIエージェントの利用は、攻撃への防御に残された時間を大幅に短縮します。偵察、エクスプロイト開発、ラテラルムーブメントがすべて機械主導で行われる場合、脆弱性が公開されてから悪用されるまでに組織に残された時間は、わずか数時間です。M-Trends 2026によると、脆弱性が悪用されるまでの平均時間は推定-7日にまで短縮しており、パッチがリリースされる前に悪用される可能性があることを意味します。

人間中心の対応キューでは、この差を短時間で埋めることはできません。セキュリティチームがAIエージェントによる攻撃を防御するには、AIエージェントが必要です。

エージェントが攻撃対象であることを認識する

サイバーセキュリティをさらに複雑にする要因として、組織がサイバーセキュリティに導入するAIエージェントも、攻撃者の標的となります。こうしたエージェントは、セキュリティスタックへのアクセス権を持つ、特権を付与された信頼済みの自動化ユーザーにほかなりません。そのため、攻撃者にとって価値の高い標的となります。

サイバー犯罪者がAIエージェントを攻撃する手口は複数あります。エージェントの目標を乗っ取ることは、最も一般的な攻撃の1つです。この場合、攻撃者はエージェントの目的を書き換えます。通常は、エージェントが作業の一環として読み取るWebページ、文書、メールに隠された間接プロンプトインジェクションを利用します。また、攻撃者がエージェントの動作方法を変更し、本来のタスクの範囲外でAPIを呼び出したり、コードを実行したり、システムに書き込んだりするよう仕向ける場合もあります。

アイデンティティと権限の悪用も、頻繁に用いられる手口です。たとえば攻撃者は、プロンプトインジェクションを利用してAIエージェントを欺き、付与された権限で有害な操作を実行させる可能性があります。

こうした手口をはじめとするさまざまな戦術は、広範な被害をもたらす可能性があります。サイバーセキュリティに使用されるAIエージェントが標的となった場合、攻撃者は機密データを窃取したり、企業の防御機能を抑制したりすることで、さらに大規模で壊滅的な攻撃を成功させる可能性があります。

AIエージェントの保護

組織は、サイバーセキュリティやその他の機能に使用するエージェントをどのように保護すべきでしょうか。いくつかのベストプラクティスを実践することで、エージェントのセキュリティを支える強固な基盤を構築できます。

• 最小権限だけでなく、最小限の自律性を付与する。最小権限は、エージェントがアクセスできる範囲を制限します。最小限の自律性は、確認を求めずに実行できる範囲を制限します。特定のタスクが終了すると失効する、ジャストインタイムかつセッション単位の権限を適用してください。
• ワークフローを分割する。機密データ、信頼できない入力、外部への送信チャネルを1つのステップで同時に扱わないよう、ワークフローを分割します。これにより、1回の侵害による被害を抑えられます。
• サンドボックス実行を実装する。ツール呼び出しと生成されたコードを一時的で厳重に制限されたコンテナ内で実行し、侵害が発生した場合の影響範囲を限定します。
• 実行時に、ループのたびにガードレールを適用する。エージェントが次のステップを自ら決定する場合、最初に1回チェックするだけでは不十分です。ループを通過するたびに、プロンプト、ツール呼び出し、メモリの読み書き、出力を検査してください。
• 各AIエージェントに固有のIDを付与します。共有サービスアカウントやハードコードされたAPIキーは使用しないでください。各エージェントに固有のIDを付与することで、特定のアクションを実行したエージェントをチームが特定できます。
• ログを保持し、人による承認プロセスを維持する。各実行のトリガーを含め、エージェントの推論、ツール呼び出し、ペイロードについて、改ざんできないログを保持します。本番環境への書き込み、資金移動、その他の取り消し不能な操作を行う前に、別経路で人による承認を必須とします。

エージェント型AIのサイバーセキュリティに対するF5のアプローチ

F5は、AIエージェントがサイバーセキュリティにおいて複数の役割を担うと認識しています。AIを活用した脅威に対応できるスピードをもたらし、人間だけで対処する場合よりもはるかに迅速な攻撃の検知と対応を可能にします。また、チームのタスク効率化を支援するツールとして、管理の複雑さを大幅に軽減します。さらに、AIエージェント自体も攻撃の標的になりやすいため、当然ながらAIエージェントを活用して防御する必要があります。

F5は、外部の脅威インテリジェンスと内部ログを、F5 Application Delivery and Security Platform（ADSP）によってリアルタイムで優先順位付けされたインサイトに変換できます。チームには、区別なく並んだアラートキューではなく、重要度順に整理された問題が表示されます。

同時に、F5 AI Security Platformは、サイバーセキュリティを強化し、その他の機能を支援するAIエージェントのセキュリティ確保に役立ちます。このプラットフォームにより、セキュリティ責任者は、AIアプリケーション、モデル、エージェント、API全体にわたる継続的な可視性、ガバナンス、保護を確保できます。F5 Workforce AI Security、F5 AI Red Team、F5 AI Guardrails、F5 AI Gatewayなどのツールを使用することで、チームは脅威の進化に応じて、AI環境の検出、ガバナンス、テスト、保護、継続的な監視を行えます。

AIによって高度化する脅威とAIを活用したソリューションの詳細については、F5 Labsの脅威リサーチとF5 AI security solutionsをご覧ください。

よくあるご質問

サイバーセキュリティにおいてAIエージェントはどのように機能しますか？

セキュリティチームがエージェントに目標を与えると、エージェントはその達成に向けて複数のステップからなるプロセスを実行します。このループには通常、脅威の認識、計画の作成と実行、結果の観察、得られた知見の記録、結果に基づく各ステップの調整、特定のステップでの人間への確認などが含まれます。

従来のSOAR自動化とエージェント型AIの違いは何ですか？

SOAR（セキュリティのオーケストレーション、自動化、対応）ソリューションは、固定されたif/thenスクリプトに従います。AIエージェントは、与えられた目標に基づいてタスクの順序を自ら決定し、新たな証拠が得られるたびにその順序を見直します。新しい情報に適応できるため、未知の脅威への対応に優れています。ただし、より多くのガードレールが必要です。

エージェント型AIエージェントを脅威から保護するには？

いくつかのベストプラクティスを実践することで、増え続けるさまざまな脅威からAIエージェントを保護できます。たとえば、人間の関与なしにエージェントが実行できる操作を制限する、ワークフローを個別のタスクに分割する、厳格に制限されたコンテナ内でタスクを実行する、実行時にガードレールを適用するといった対策は、AIエージェントのセキュリティ向上に役立ちます。

詳しく見る：F5 AIセキュリティソリューション.

著者について

Louise Scullyシニアマネージャー（プロダクトマーケティング、AIセキュリティおよび脅威インテリジェンス担当） | F5

Louise Scullyは、F5でAIセキュリティおよび脅威インテリジェンスのプロダクトマーケティング担当シニアマネージャーを務めています。AIセキュリティとエンタープライズテクノロジーの分野で、プロダクトマーケティング、プロダクト管理、市場投入戦略、コミュニケーション、ソートリーダーシップ、カテゴリー開発に携わってきました。F5入社以前は、CalypsoAIとArtomatixでマーケティングを統括し、AI技術と研究成果の市場展開に貢献しました。

Louise Scullyのその他のブログ記事