エージェント型AIへの抵抗：AIを本来の目的に向けて加速する

『ジュラシック・パーク』には、監視員のマルドゥーンが、ラプトルたちは高圧電流フェンスの弱点を組織的に探っており、同じ場所を二度と調べないと説明する有名なシーンがあります。その事実に気づいたマルドゥーンは、「やつらは覚えている」と言います。

これは、企業がAIの導入を急ぐなかで、私たちが置かれている状況をよく表すたとえです。脅威アクターは、何が有効だったかを記憶できるAI搭載ツールを駆使し、これらの新しいシステムの弱点を探ろうと待ち構えています。現時点では、防御策がその役割を十分に果たせていません。

AIの高度化が加速しているため、これは懸念すべき状況です。Gartnerの予測によると、2028年までに 企業向けソフトウェアアプリケーションの33%にエージェント型AIが組み込まれる見込みで、2024年の1%未満から増加します。またGartnerは、2029年までにエージェント型 AIが一般的なカスタマーサービスの問題の80%を自律的に解決するようになり、人間の介入が不要になると予測しています。 

これらの自律型デジタルエージェントは、実質的に3つのレイヤーで構成されています。

• 目的：エージェントに割り当てられた具体的なタスク

• 頭脳：基盤となるAIモデル。多くの場合、最先端のAI企業のいずれかが提供

• ツール：エージェントが目的を達成するために必要なツールへのアクセス。社内ソフトウェアシステムからブラウザやメールまでが含まれます

エージェントは、その性質上、一つひとつ異なります。1つのシステム内に複数のエージェントが存在することもあり、将来的には数十億ものエージェントが世界中の組織内でタスクを実行する可能性があります。その範囲は、ごく日常的な管理業務から、機密性が高くビジネスに不可欠なタスクにまで及びます。

会議予約エージェントは、APIを介して社内カレンダーや休暇予約システムにアクセスし、会議室を予約する権限を付与される場合があります。頭脳とツールが迅速かつ自律的に連携することで、エージェントは必要な情報を見つけ、会議を予約します。

エンドユーザーがAIシステム内部のあらゆる相互作用を理解する必要はありません。ただし、ソリューションを提供するベンダーには、システムの誤動作につながり得る状況、つまりコーナーケースを想定し、それらに対する保護策を講じることが期待されます。

順列の問題

組織にとって、重要な問いがあります。AIシステムがセキュアであることを、どのように証明しますか？境界をテストするために、どのような対策を講じていますか？その答えは、エージェントとモデルやツールが相互に連携する各レイヤーで、監視と保護を確保することにあります。

テストや保護対策を講じなければ、エージェント型AIは障害や外部からの攻撃に対して脆弱です。その影響は、会議の予定が台無しになるといった望ましくない事態から、金融取引を実行したり顧客情報を第三者にメールで送信したりする権限を持つエージェントによる深刻な事態まで、多岐にわたります。

こうしたコーナーケースが現実に発生するのを防ぐには、事前に発見できなければなりません。しかし、エージェント型システムに新しいツールや更新されたモデルなどの要素を追加するたびに、複雑さが何倍にも増すため、発見は容易ではありません。エージェントがタスクを実行する方法の組み合わせは爆発的に増加し、それに伴って悪意のある攻撃者が狙える攻撃対象領域も拡大します。

それとは対照的に、AIモデルのセキュリティテストは、依然として人間に大きく依存しています。最大規模のAI組織でさえ、モデルのテストに手作業によるレッドチーミングを用いています。人間がエージェント型システムのあらゆる組み合わせを見つけ出そうとする作業は、想像を絶するほど困難で時間がかかります。

それだけではありません。組み合わせの問題に加え、AIエージェントの構成も絶えず変化しています。エージェントを支えるモデルを新しいバージョンに入れ替えた場合、セキュリティテストを最初からやり直す必要があります。ツールに接続するAPIが更新された場合も、同様にやり直さなければなりません。

さらに、コーディング能力を持つエージェントが、いずれモデルやツール、またはその両方を自ら更新できるようになる可能性もあります。既存のソフトウェアツールを利用できる高度なスキルを持つ専門家でさえ、到底追いつくことはできません。

Agentic Resistanceのご紹介

新しいテクノロジーのテストという課題には、それを上回る新たなテクノロジーソリューションが必要です。高度な能力を備えたAIエージェントを活用し、AIシステムの弱点や欠陥を検証するレッドチーミングを自動化します。F5はこれを「Agentic Resistance」と呼んでおり、AIセキュリティの新たなフロンティアを切り拓くものです。

Agentic Resistanceは、エージェントの特性を活用することで、極めて困難な組み合わせ問題に正面から取り組みます。

• 目的レイヤーでは、新しい説明を記述するだけで、エージェントの目的を随時変更したり、エージェントを追加したりできます。

• ブレインレイヤーでは、最近登場した推論モデルなど、最新のAIモデルの利点を取り入れるため、常にアップデートを行っています。

• ツール層では、エージェントが一連のオープンソースのペネトレーションテストツールにアクセスできるようにするインターフェースを構築できます。

現在構築されているのは、AIシステムの欠陥やコーナーケースの発見に特化した、強力なエージェント型システムです。このシステムは、目的を達成するために、実行すべきタスクとその順序、使用するツールを自ら判断します。メモリが組み込まれているため、エージェントは各ステップで学習します。

Agentic Resistanceは、インテリジェンス層を組み込んだ総当たり式の順列攻撃機能を適用することで、これまで解決が困難だったエージェント型AIのセキュリティ確保という課題に対処できます。これにより、エージェント型AIと手動のレッドチーミングの間に現在存在する不整合が解消されます。

この新しいアプローチは、AIセキュリティがボトルネックになるという誤解も覆します。リリース前だけでなく運用中もAIシステムの欠陥を迅速に発見できるため、システム自体の安全性が高まり、イテレーションも加速します。

Agentic Resistanceが実現するのは、まさにこれです。実用的かつ迅速な脅威検知により、AIを本来の目的に向けて加速できる可能性を最大限に高めます。

ネタバレ注意：『ジュラシック・パーク』では、停電でフェンスが機能しなくなると、ラプトルたちはすぐに脱走できる態勢を整えていました。企業がここから学ぶべきことは、ラプトルのように考え、最新テクノロジーを活用して境界を体系的にテストし、容易に侵入されないことを確認することです。

The「F5 Comprehensive AI Security Index」は、実環境を想定したセキュリティテストに基づいて主要なAIモデルをランク付けし、性能ベンチマークでは見落とされる重大なリスクを明らかにします。F5 AI Red Teamを活用した、導入前に最も安全なモデルを見つけるのに役立つ唯一のツールです。