モデルがツール、認証情報、コード、本番システムにアクセスできるようになるにつれ、AIの攻撃対象領域は拡大しています。2026年4月から7月に公開されたF5 Labsの調査から得られた最も明確な知見は、企業におけるAIリスクは、モデルが操作され得るかどうかだけでなく、操作やエラーが発生した際に、周辺システムがモデルに何へのアクセスとどのような操作を許可しているかによっても決まるということです。
F5の調査から、同程度の能力を持つモデルでもセキュリティ特性が大きく異なる場合があること、その特性は導入後に変化し得ること、有用な機能が新たな攻撃経路を生み出す可能性があること、さらに過剰な権限によってモデルレベルの弱点がビジネス上のインシデントに発展し得ることが明らかになっています。このリスクは、もはや理論上のものではありません。F5 Labsが調査したインシデントでは、攻撃者がAIを活用したアカウント復旧プロセスを操作してアクセス情報を変更したほか、コーディングエージェントが本番データベースとそのバックアップを削除しました。
CISOにとって、この調査の価値はリーダーボードの結果を振り返ることではなく、モデルの選定、調達、継続的な保証、そしてAIシステムに許可するアクセス先と操作の制御に役立つ実践的な知見にあります。
F5 Labsでは、これらのリスクを評価するために、相互補完的な2つの指標を使用しています。F5 Comprehensive AI Security Index（F5 CASI）はプロンプトインジェクション攻撃とジェイルブレイク攻撃への耐性を評価し、F5 Agentic Resistance Score（F5 ARS）はエージェント型シナリオにおける継続的な多段階攻撃への耐性を評価します。どちらも0～100のスコアで示され、スコアが高いほど耐性が強いことを意味します。
“F5の調査により、同等の能力を持つモデルでもセキュリティ特性が大きく異なる場合があること、導入後にその特性が変化し得ること、有用な機能が新たな攻撃経路を生み出す可能性があること、さらに過剰な権限によってモデルレベルの弱点がビジネス上のインシデントに発展し得ることが明らかになっています。”
権限がモデルリスクをビジネスへの影響に変える
モデルレベルの弱点は、周辺システムが重大な結果を伴うアクションを許可している場合、ビジネス上のインシデントにつながります。安全でない応答を生成するモデルはリスクを生みます。コード、認証情報、アカウント復旧ワークフロー、または本番データに接続されたモデルは、インシデントを引き起こす可能性があります。
F5 Labsが調査したある事例では、コーディングエージェントが本番データベースとそのバックアップを削除しました。別の事例では、攻撃者がAIを活用したアカウント復旧プロセスを操作し、著名なソーシャルメディアアカウントのアクセス情報を変更しました。重大な問題は、AIが誤った結論に達したことだけではありません。周辺システムが、その結論を影響の大きいアクションの実行につなげることを許していた点にあります。
攻撃者の視点からも、JadePufferランサムウェア攻撃によってこの点が裏付けられました。人間が標的を選定し、認証情報を提供してインフラストラクチャを構築する一方で、エージェントは偵察、エクスプロイト、ラテラルムーブメント、暗号化の主要な部分を自動化しました。完全な自律性は必要なく、部分的な自動化だけでも、必要な時間、スキル、労力はすでに削減されていました。
CISOにとって、差し迫ったリスクは自律性だけでなく、権限にもあります。AIエージェントは特権IDとして管理し、認証情報の適用範囲を厳密に限定するとともに、ツールへのアクセス制限、継続的な監視、影響の大きいアクションに対する独立した承認を設ける必要があります。次に問うべきは、そもそもこれらのシステムを有用にしている動作を、攻撃者がどのように悪用するかです。
有用な機能が攻撃経路を生み出す
F5 Labsの調査により、攻撃者は、企業がAIシステムに積極的に求める動作を繰り返し悪用していたことが判明しました。Developer Role Attackは、モデルが特権命令を解釈する仕組みを標的としました。BiasJailbreakは、人口統計学的な枠組みを用いて拒否動作の不整合を明らかにしました。一方、Topic Bridgeは、会話の連続性を利用し、正当な話題から有害な要求へとモデルを徐々に誘導しました。
Adversarial Talesは、有害な手順を架空の物語に組み込み、明らかに悪意のある要求に応答するのではなく、その物語を分析するようモデルに求めることで、同じパターンをさらに発展させました。9社のプロバイダーが提供する26のフロンティアモデルを対象とした検証では、この手法の攻撃成功率は平均71.3%に達しました。
これらの攻撃は、正当なエンタープライズユースケースを支える機能である、指示への追従、文脈に基づく推論、役割の認識、コンテンツ分析を標的としていました。これは、有用な機能によってAIの攻撃対象領域が拡大し得ることを示しています。攻撃者が悪意を維持したまま、その提示方法を変えられる場合、静的フィルターや既知のジェイルブレイクライブラリでは対応が困難になります。
したがって、有用な動作が操作につながる経路を生み出す可能性がある一方で、潜在的なビジネスへの影響は権限とアクセスによって決まります。また、操作される可能性はモデル自体のレジリエンスにも左右され、能力はその指標として適切ではありません。
能力からレジリエンスは予測できない
F5 Labsのテストでは、同等の能力を持つモデルでもセキュリティ評価が両極端に分かれる場合があり、同じファミリー内のモデルでも動作が大きく異なる可能性があることが判明しました。
最も顕著な例はQwen3.5です。20億パラメータのモデルはF5 CASIで1.28だったのに対し、40億パラメータ版は80を記録しました。同じファミリー名を持つ2つのモデルの間に、約79ポイントもの差が生じています。
最新のテストでも、この傾向が裏付けられました。機能が比較的近いフラッグシップモデルでも、F5 CASIのスコアは93.08から16.25まで幅がありました。F5 ARSのデータからは、さらに別の側面が明らかになりました。Qwen3.5-4BのスコアはF5 ARSで91.04、F5 CASIで58、平均パフォーマンスは16%でした。この対比から、F5 CASI、F5 ARS、パフォーマンスは、それぞれ異なる相互補完的な指標として解釈すべきことが分かります。
CISOにとって、能力ベンチマークが示すのは、モデルがタスクを完了できるかどうかであり、それを安全に実行できるかどうかではありません。すべてのモデルとバージョンについて、調達時から導入・運用期間を通じて個別に評価する必要があります。ただし、モデルの選定は最初の判断にすぎません。セキュリティチームは、レジリエンスが時間の経過とともにどのように変化するかも考慮する必要があります。
AIのセキュリティ態勢は導入後に変化する可能性がある
モデルのレジリエンスは一定ではありません。F5 Labsの観測では、あるモデルは1か月でF5 CASIスコアが29ポイント超低下し、別のモデルは調査期間中に55ポイント超変動しました。他のリリースは比較的安定していたため、一貫性そのものもリスクを評価する要素となります。
プロバイダーは、顧客向けのモデル名を変更せずに、システムプロンプト、分類器、安全性制御を更新できます。そのため、モデルは一見変わっていなくても、セキュリティ態勢が大きく変化している可能性があります。
これは従来のパッチ適用の問題とは異なります。新しいモデル名や目に見えるデプロイイベントがなくてもモデルのセキュリティ態勢が変化し得るため、特定時点での承認だけでは不十分です。セキュリティチームは、プロバイダーによる更新、構成変更、アプリケーションへの重大な変更があった後にモデルを再評価し、周辺の制御が引き続き有効であることを継続的に検証する必要があります。
このような変動性があるため、継続的な保証が不可欠ですが、評価だけでは不十分です。CISOは、AIシステムに許可するアクセス先と操作も制御する必要があります。
CISOが今すべきこと
この調査から得られる最も明確な示唆は、権限が影響の大きさを左右するということです。CISOは、AIシステムに許可されているアクセス範囲と実行可能な操作に応じてガバナンスを行うとともに、AIシステムを取り巻くモデル、統制、システムを継続的に評価する必要があります。
- AIエージェントを特権IDとして扱う。認証情報、ツール、データ、本番システムへのアクセスを棚卸しして制限し、影響の大きいアクションには独立した承認を必須とするとともに、重大な結果を伴うすべてのステップをログに記録する。
- AIシステム全体を継続的に評価する。 調達時および導入期間全体を通じて、各モデルと各バージョンを個別に評価します。プロバイダーまたは構成の変更後には再評価し、モデルだけでなく、ゲートウェイ、パッケージ、プラグイン、ワークフロー、アイデンティティ、統合もテストします。
F5 LabsによるAIレジリエンスの測定方法
F5 CASIとF5 ARSは比較指標であり、永続的な安全性認証ではありません。結果は、正確なモデルバージョン、評価日、想定用途、周辺の管理策と併せて解釈する必要があります。
これらの調査結果を総合すると、相互につながる一連のリスクが明らかになります。能力からレジリエンスを予測することはできず、レジリエンスは導入後に変化する可能性があります。また、有用な機能がAIの攻撃対象領域を拡大し、過剰な権限によってモデルの弱点がビジネス上のインシデントにつながる可能性があります。
CISOが問うべきなのは、もはやAIモデルが操作され得るかどうかだけではありません。操作が成功した場合に、周辺システムがそのモデルに何を許可するかが重要です。
詳細はこちら
- 最新のF5 CASI and F5 ARS AI Security Leaderboardsを確認して、モデルのレジリエンスを比較し、AIセキュリティ態勢の経時的な変化を追跡できます。
- See how F5 AI Red Teamが、実際の攻撃を想定してモデル、アプリケーション、エージェントをテストする組織の取り組みをどのように支援するかをご覧ください。
- エンタープライズAIのアプリケーション、モデル、エージェント全体にわたる継続的な可視化、ガバナンス、保護を実現するために、F5 AI Security Platformをご覧ください。
著者について
Malcolm Heathは、F5 Labsの主席脅威リサーチャーです。これまで、大企業から小規模企業までさまざまな企業で、インシデント対応、プログラム管理、ペネトレーションテスト、コード監査、脆弱性調査、エクスプロイト開発に携わってきました。F5 Labsに加わる前は、F5 SIRTのシニアセキュリティエンジニアを務めていました。
Malcolm Heathのその他のブログ記事Louise Scullyは、F5でAIセキュリティおよび脅威インテリジェンスのプロダクトマーケティング担当シニアマネージャーを務めています。AIセキュリティとエンタープライズテクノロジーの分野で、プロダクトマーケティング、プロダクト管理、市場投入戦略、コミュニケーション、ソートリーダーシップ、カテゴリー開発に携わってきました。F5入社以前は、CalypsoAIとArtomatixでマーケティングを統括し、AI技術と研究成果の市場展開に貢献しました。
Louise Scullyのその他のブログ記事関連するブログ記事
経営幹部が抱くAIに関する4つの誤解
AIに関する誤解は数多くあります。ここでは、組織が自社環境にAIを導入する際に見直す必要があるかもしれない4つの誤解を紹介します。
IT/OTコンバージェンスの現状と、セキュリティを最優先すべき理由
ITシステムとOTシステムの融合が進むにつれ、攻撃対象領域は拡大します。組織が安全に統合する方法と、F5 ADSPが大規模な運用の保護にどのように役立つかをご紹介します。
AIのレイテンシ：セキュリティを犠牲にできない理由
AIのレイテンシは、単なる速度の問題ではありません。パフォーマンス、セキュリティ、信頼性のバランスを考慮したシステム設計が重要です。
AIアプリケーションを大規模に提供する：ADCの役割
AIアプリケーションを確実に提供するには、高速なモデルや柔軟に拡張できるインフラストラクチャだけでは不十分です。AIアプリケーションの利用方法を管理するための制御レイヤーが必要です。
MCP：AI対応のアプリケーションデリバリを実現する鍵
Model Context Protocol（MCP）は、最新のアプリケーションにおける安全で低遅延なAI統合を可能にします。将来を見据えたアプリケーションデリバリ戦略にMCPが不可欠な理由をご覧ください。
AIガードレールとは？基盤モデルプロバイダーの枠を超えて進化する安全対策
急速に変化する組織の脅威領域におけるリスクをより包括的に捉えるために、AIガードレールの進化が必要な理由をご覧ください。