F5 LabsによるAIモデルセキュリティの知見：導入前後にCISOが測定すべき項目

Malcolm Heath主席サイバーセキュリティ脅威研究者 | F5

Louise Scullyシニアマネージャー（プロダクトマーケティング、AIセキュリティおよび脅威インテリジェンス担当） | F5

エンタープライズAIは新たな段階へ移行しつつあります。主要モデル間の性能差は縮小していますが、セキュリティ面の差は縮まっていません。最新の「F5 Labs Comprehensive AI Security Index (CASI)」のデータは、能力と敵対的攻撃に対するレジリエンスの乖離が拡大していることを示しています。一方、F5 Agentic Resistance Score (ARS)の結果からは、複数ステップのエージェント型シナリオでモデルを継続的にテストすると、レジリエンスが再び変化し得ることがわかります。

CISOにとって、これはモデル選定のあり方を変えるものです。問われるのは、単にどのモデルが最も高い性能を発揮するかではありません。そのモデルが担う役割、付与される権限、そして攻撃者による操作が成功した場合の影響を踏まえ、セキュリティ特性が適切かどうかが重要です。

特定の導入環境にモデルが適しているかどうかを、単一のセキュリティベンチマークだけで判断することはできません。9月のF5 CASIとF5 ARSの結果は、そのことを明確に示しています。両方のリーダーボードでトップ10に入ったモデルは、わずか3つでした。CISOにとって重要なのは、モデルの承認に用いるセキュリティ上の根拠に、そのモデルの実際の運用方法を反映させることです。これには、自律性のレベル、データやツールへのアクセス権限、侵害された場合に想定されるビジネスへの影響が含まれます。

これは、F5が年間を通じて追跡してきた一連の調査結果を踏まえたものです。以前の「F5ブログ記事」では、モデルを承認する前に、測定可能なセキュリティの根拠をモデルの選定と調達に取り入れる必要がある理由について説明しました。また、「別のブログ記事」では、モデル障害の影響が、そのモデルに対して周辺システムが許可するアクセス先や操作内容に大きく左右されることを示すF5 Labsの調査を取り上げました。

8月と9月に発表した最新の脅威調査とリーダーボードは、これらの考え方を結び付けるものです。CISOには、モデル自体に関するエビデンスだけでなく、そのモデルが稼働する環境に関するエビデンスも必要です。

9月のデータに見られる傾向の1つは、特に示唆に富んでいます。F5 CASIの上位5位をAnthropicが独占する一方、F5 ARSの上位10位にはOpenAIのモデルが5つ、Anthropicのモデルが4つ、MiniMaxのモデルが1つランクインしています。これらのランキングを総合すると、プロバイダーの評判、モデルファミリー、パフォーマンスは、導入環境で求められる特定のレジリエンスを判断する指標として信頼できないことがわかります。そのためCISOは、導入を決定する当初の段階から、モデルレベルのセキュリティに関するエビデンスを判断材料とする必要があります。

パフォーマンスはセキュリティの尺度ではない

F5 Labsの最新の結果から、モデルの能力と攻撃に対する堅牢性の間には、依然として隔たりがあることがわかります。8月には、GLM-5.2は31モデル中、能力では4位でしたが、F5 CASIでは24位でした。DeepSeek V4 Flashは能力では6位、F5 CASIでは28位でした。クローズドモデルのGrok 4.5でも、同様の乖離が見られました。この傾向は、プロバイダーやライセンスではなく、個々のモデルに依存していました。

セキュリティ評価の結果にも、同様に大きな差が生じることがあります。3つのQwen3.5モデルのF5 ARSスコアはそれぞれ91.04、89.81、88.23でしたが、対応するF5 CASIスコアは58、31、53でした（いずれのリーダーボードも満点は100）。ここで重要なのは、一方の指標が他方よりも信頼できるということではありません。それぞれ異なる攻撃形態に対する異なる弱点を明らかにしています。

これにより、承認プロセスにおけるモデルベンチマークの活用方法も変わります。性能は候補の絞り込みには役立ちますが、導入のセキュリティ上の妥当性を立証することはできません。単一のセキュリティ指標で高い結果が得られた場合も、状況を踏まえて解釈する必要があります。判断材料には、モデルが担う役割、付与される自律性、アクセス可能なシステムを反映させる必要があります。

2026年7月のレポートで、Gartnerは、比較セキュリティが果たす役割の拡大について考察しました。最近のデータにより、その根拠はさらに明確になっています。モデルを選定する際は、モデルに何ができるかだけでなく、どのような状況でレジリエンスが損なわれ始めるかも考慮する必要があります。

モデルが信頼を許可されている対象を測定

8月の調査で得られた特に重要な知見の1つは、企業が積極的に求めている機能、すなわち、与えられたポリシーとルールに従って動作する能力に関するものです。

「モラリティ・ジレンマ」は、F5 Labsが検証した攻撃であり、その挙動を悪用します。攻撃者は悪意のある指示を偽装するのではなく、誤解を招くルールを提示し、それに基づいて推論するようモデルに求めます。平均攻撃成功率は、Llama 3.1 8Bに対する44.8%からGemini 2.5 Proに対する91.1%までの範囲でした。またF5 Labsは、プロンプトレベルのガードレールモデルがこの手法に対して十分に機能しなかったことも指摘しています。

セキュリティ上の問題は、モデルが、どの指示を権威あるものとして扱う権限があるかを区別しながら、指示に従えるかどうかです。取得したドキュメントは、情報源としては信頼できても、ポリシーとして信頼できるとは限りません。ツールからの応答はデータを提供することはあっても、エージェントがそのデータを使って実行できることを再定義する権限はありません。

導入前にモデルを評価するCISOにとって、チームが外部コンテキストの出所と、モデルの動作に影響を与えることが許可されている情報源を把握していることが重要です。

プロンプトはセキュリティ境界ではない

同じ調査では、モデルガバナンスの範囲を超え、セキュリティアーキテクチャが必要となる境界も明らかになりました。F5 Labsは、エージェントが想定された評価環境の外部に移動した3つの事例を調査しました。そのうち1件では、パッケージレジストリプロキシ以外からはインターネットにアクセスできないはずのエージェントが、そのプロキシのゼロデイ脆弱性を発見し、インターネットに接続されたノードに到達して、外部サンドボックス内でroot権限によるコマンド実行を可能にしました。ほかの事例では、インターネットにアクセスできない環境で動作しているとモデルに指示されていたにもかかわらず、実際の接続が引き続き利用可能だったケースや、ネットワークの設定ミスによってサンドボックスからの脱出が発生したケースがありました。

共通する問題は、単にエージェントが指示に従わなかったことではありません。境界そのものが、想定や記述にとどまっていたか、誤って実装されていました。実務上の意味は明確です。エージェントに許可する動作を定めても、環境側で同じ制限を適用しなければ意味がありません。

アイデンティティデータも、その点を裏付けています。GitGuardianは、公開されているGitHubコミットから4,576個の一意なn8n APIトークンを検出しました。アクセス可能な896のインスタンスのうち、321のインスタンスが少なくとも1つの漏えいしたトークンを受け入れました。ソフトウェアの脆弱性は必要ありませんでした。これらのワークフローは、ソース管理、クラウドサービス、データベース、SaaSアプリケーションに接続できるため、漏えいの影響はワークフロー自体をはるかに超えて広がる可能性があります。

したがって、問うべきなのは、エージェントが操作され得るかどうかだけではなく、操作された場合に何が可能になるかです。影響範囲は、ネットワークアクセス、ツール、認証情報、ダウンストリームシステムによって決まります。こうした制御は、モデルに許可または禁止されていると指示した内容とは独立して設ける必要があります。

オープンウェイトによって責任の所在が変わる

F5 Labsのレポート「中国のオープンウェイトAIモデル：サイバーセキュリティのリスクとメリット」では、モデル選定におけるもう1つの考慮事項として、「オープンウェイト」自体はセキュリティ評価ではないと指摘しています。

7月、F5 CASIでQwen3.5-397B-A17Bは81.13、Xiaomi MiMo-V2.5は73.80、GLM-5.2は46.58を記録しました。このスコアのばらつきは、このカテゴリーについて一般的な結論を導くよりも有用です。モデルファミリー、プロバイダー、ライセンスモデルだけでは、検討対象のモデルそのものをテストする代わりにはならないことが分かります。

オープンウェイトモデルの導入によって変わるのは、責任の所在です。データの保存場所、インフラストラクチャ、カスタマイズをより細かく制御できる一方で、来歴、パッチ適用、ログ記録、モデルアーティファクトの完全性に対する責任も大きくなります。F5 Labsは、モデルアーティファクトをソフトウェアサプライチェーンへの入力として扱い、来歴の検証、信頼できるバージョンの固定、導入前のアーティファクトのスキャンを行うことを推奨しています。

したがって、判断の焦点は、オープンとクローズドのどちらが本質的に安全かではなく、組織がどのリスクを引き受ける体制を備えているかにあります。

導入前にCISOが評価すべき項目

最近の調査結果は、モデルセキュリティを単一の承認ゲートとして扱うべきではないことを示しています。導入前に有効なレビューを行うには、次のような複数の問いに答える必要があります。

• 能力と敵対的攻撃への耐性：モデルはそのタスクを実行できるか、また、そのタスクに関連する攻撃を受けた場合にどのように動作するか？
• プロンプトレベルおよびエージェントとしてのレジリエンス：特にツール、認証情報、自律的なアクションが関係する場合、そのエビデンスはモデルが実際に動作する方法を反映していますか？
• 命令の権限：コンテキストを提供できるのはどのシステムで、そのうちポリシーや動作に影響を与えることが許可されているのはどれですか？
• 強制される境界：プロンプトの指示内容にかかわらず、技術的にモデルがアクセスできない範囲は何ですか？
• アイデンティティと来歴：どの認証情報、モデルバージョン、アーティファクトが信頼され、それらはどのように管理されていますか？
• 再評価：モデルの更新、新しいツール、権限の変更、新たな攻撃手法など、当初の承認を無効にするのはどのような変更ですか？

これらの質問に答えることで、CISOは、複数の異なるリスク判断を、モデルが「セキュア」かどうかという1つの問いに集約してしまうことを避けられます。

F5 LabsによるAIレジリエンスの測定方法

F5 CASIとF5 ARSは、認証ではなく、評価の根拠として捉えるのが適切です。F5 CASIは一般的なプロンプトインジェクション攻撃やジェイルブレイク攻撃に対する脆弱性を測定し、F5 ARSは複数ステップおよび自律型エージェントのシナリオにおけるレジリエンスを検証します。2026年9月版のリーダーボードでは、両指標の最新の比較結果を確認できます。

スコアは、検討中のデプロイメントと関連付けて評価することで最も有用になります。ただし、エージェントに過剰な権限が付与されているか、サンドボックスが正しく構成されているか、モデルが信頼すべきでない指示を外部ソースから取り込む可能性があるかまでは判断できません。一方で、定義された敵対的条件下でそのモデルがどのように動作したかについて、セキュリティチームに具体的な情報を提供できます。

これが、本調査シリーズを貫くテーマです。F5の最新の調査結果からも、AIモデルを導入する前に、実際に測定されたセキュリティ特性と測定されていない特性を把握し、残存リスクに対して周辺の制御が十分かどうかを確認する必要があることが明らかになっています。

詳細はこちら：

• 最新の「F5 CASI and F5 ARS AI Security Leaderboards」で、モデルのレジリエンスを比較し、経時的な変化を追跡できます。
• エンタープライズAIのモデル、アプリケーション、エージェント全体のセキュリティを実現するF5 AI Security Platformをご覧ください。
  
  

著者について

Malcolm Heath主席サイバーセキュリティ脅威研究者 | F5

Malcolm Heathは、F5 Labsの主席脅威リサーチャーです。これまで、大企業から小規模企業までさまざまな企業で、インシデント対応、プログラム管理、ペネトレーションテスト、コード監査、脆弱性調査、エクスプロイト開発に携わってきました。F5 Labsに加わる前は、F5 SIRTのシニアセキュリティエンジニアを務めていました。

Malcolm Heathのその他のブログ記事

Louise Scullyシニアマネージャー（プロダクトマーケティング、AIセキュリティおよび脅威インテリジェンス担当） | F5

Louise Scullyは、F5でAIセキュリティおよび脅威インテリジェンスのプロダクトマーケティング担当シニアマネージャーを務めています。AIセキュリティとエンタープライズテクノロジーの分野で、プロダクトマーケティング、プロダクト管理、市場投入戦略、コミュニケーション、ソートリーダーシップ、カテゴリー開発に携わってきました。F5入社以前は、CalypsoAIとArtomatixでマーケティングを統括し、AI技術と研究成果の市場展開に貢献しました。

Louise Scullyのその他のブログ記事