エージェント型AIのセキュリティ確保：F5によるOWASP Agentic Top 10への対応

Louise Scullyシニアマネージャー（プロダクトマーケティング、AIセキュリティおよび脅威インテリジェンス担当） | F5

現在のエージェント型AIは、おおむね1年前の生成AIと同じ段階にあります。エージェント型AIのプロジェクトに取り組む組織の多くは、まだパイロット段階にありますが、一部の先行ワークロードはすでに本番システムとの連携を始めています。各チームは単純なモデルへのクエリから一歩進み、オーケストレーションエージェント、特定のタスクに特化したワーカーエージェント、アプリケーションやサービスをまたいでアクションを調整できるツール活用型ワークフローを試しています。

こうしたエージェント型システムの進化に伴い、リスクも変化します。従来のLLMとのやり取りでは、多くの場合、障害はモデルと人間の間で行われる1回のプロンプトと応答のやり取りの中で発生し、その中で収束します。一方、エージェント型システムでは、障害が複数ステップの計画、ツールの使用、コンテキストの管理と再利用、さらにエージェントと既存アプリケーション間のやり取りへと波及します。

新しい「OWASP Top 10 for Agentic Applications」は、こうしたリスクがどこで生じるかを体系的に示しています。モデルやエージェントに目標、ツール、コンテキスト、システムを横断して動作する能力が与えられた場合に発生する障害を、10のカテゴリーに分類しています。このリストは、以前発表された「OWASP Top 10 for Large Language Model Applications」を基盤として、自律性、ツールの使用、コンテキスト管理、サプライチェーン、マルチエージェント間のやり取りに関連するエージェント型AIの脅威に対応するものです。

この新しいOWASP Top 10により、セキュリティ責任者とコンプライアンスチームは、エージェント型AIのリスクについて議論し、セキュリティ対策の足並みをそろえ、優先的に取り組む領域を判断するための共通言語を得られます。

CISOにとって重要な理由

OWASP Agentic Top 10は、安全なAI導入を左右する障害モードを明らかにしています。CISOには今、本番環境への移行がすでに進んでいるシステムに、このガイダンスを適用することが求められています。

F5は、以下を通じてこれを支援します。

• F5 AI Guardrails。エージェント型システムの本番環境への移行に伴い、実行時にセキュリティポリシーを適用してAIの動作を制御します。
• F5 AI Red Team。GenAIシステムを評価し、モデルの動作、アプリケーション、エージェント型の実行パス全体にわたる実環境でのレジリエンスを検証します。
• 包括的AIセキュリティ指標（CASI）およびエージェント型AI耐性スコアリング（ARS）は、F5 Labsを通じて提供され、モデルおよびシステムレベルのレジリエンスを測定するための標準化されたベンチマークにより、十分な情報に基づくセキュリティ上の意思決定を支援します。

エージェント型AIの進化が加速する中、最大のメリットを得られるのは、当初からレジリエンスを組み込み、セキュリティをシステムの設計と運用の基盤として位置付ける組織です。

OWASP Agentic Top 10 — これらのリスクはどのように顕在化するか

ASI01 – エージェント目標のハイジャック

プロンプトインジェクション、汚染されたコンテキスト、または計画からの逸脱によって、エージェントの目的が改変される場合。

• F5 AI Red Teamは、攻撃ライブラリに基づく間接プロンプトインジェクションのシナリオをテストします。これらのシナリオでは、文書、Webページ、メール、ツールの出力など、攻撃者が制御する、または信頼できないコンテンツソースを利用して悪意のある指示を混入させ、エージェントの目的がどの程度容易に変更されるかを評価します。
• F5 AI Guardrailsは入力検証を適用し、推論時に安全でない、またはコンプライアンスに準拠しない推論経路を制限することで、意図しない後続動作のリスクを軽減します。
• ARSは、エージェント主導で継続的に実行される多段階の攻撃シーケンスに対するレジリエンスを測定します。

ASI02 – ツールの不正使用と悪用

エージェントがツールを不正使用する場合、または攻撃者がツールインターフェースを足掛かりとして悪用する場合。

• F5 AI Guardrailsは、実行時にツール関連のリクエストを検証し、安全でないツール操作につながる可能性のある推論パターンを制限します。
• CASIとARSは、代表的な実行パターンにおける悪用のされやすさを示します。

ASI03 – IDおよび権限の悪用

エージェントが認証情報、トークン、昇格されたアクセス権を継承または悪用する場合。

• F5 AI Guardrailsは、推論コンテキスト内のシークレット、認証情報、トークンを検出し、暗黙的または明示的なアクセス権を使用してツールが呼び出される前に、それらをブロックまたはログに記録できます。

ASI04 – エージェント型AIのサプライチェーン脆弱性

エージェントのワークフローを支えるMCPサーバー、レジストリ、リモートプロンプトパック、サードパーティ製ツールに起因するリスク。

• F5 AI Guardrailsは、信頼できるソースや承認済みのソースからのデータを含め、エージェントが使用するデータに埋め込まれた隠し命令やインジェクションされたプロンプトを、エージェントワークフローの実行時に検出してブロックします。
• CASIとARSは、各コンポーネントを個別に扱うのではなく、モデルや実行パターンをまたいで脆弱性がどのように波及するかを捉え、システムレベルでリスクを測定します。

ASI05 – 予期しないコード実行

エージェントが安全でない方法でコード、シェル、または構成を生成、実行、変更する場合。

• F5 AI Guardrailsは、コード関連の出力にきめ細かなポリシーを適用し、許可リストを適用するとともに、リスクの高いパターンをブロックします。
• CASIとARSは、代表的な実行パス全体でこれらの動作を捉えます。

ASI06 – コンテキスト管理と検索操作

永続化されたコンテキストまたは取得されたコンテキストが汚染、操作、あるいはドリフトしている場合。

• F5 AI Red Teamは、通常のランタイム入力を通じて提供される信頼できない、または誤解を招くコンテキストをエージェントが取り込み、再利用するシナリオを評価し、コンテキストの劣化が後続の推論やアクションに及ぼす影響を検証します。
• F5 AI Guardrailsは、取得したコンテキストにポリシー違反がないかを検査し、モデルの動作に影響を及ぼす前にプロンプトインジェクションのペイロードを検出します。
• CASIとARSは、ランタイムコンテキストのポイズニングおよびインジェクションに基づく伝播に対するレジリエンスを測定します。

ASI07 – 安全でないエージェント間通信

エージェント間で、通信チャネルの保護、認証、または完全性チェックを行わずにメッセージを交換する場合。

• F5 AI Guardrailsは、エージェントまたはエージェントマネージャーがタスクの実行にどのエージェントを呼び出すべきかを評価する場合を含め、実行時にエージェントの委任意図を検出してフラグを付けることができます。また、ポリシー制御を適用して、リスクの高い委任判断を制限できます。
• CASIとARSにより、複数ステップ、複数エージェントによる実行パターンが時間の経過とともにシステム全体のリスクをどのように増大させるかを可視化できます。

ASI08 – 連鎖障害

複数のリスクが、複数のステップ、エージェント、またはシステムにまたがって重なり合う場合。

• F5 AI Guardrailsは、クォータ、ポリシー制御、ランタイムでの適用により、影響範囲を限定します。
• CASIは多様な攻撃ベクトルに対するレジリエンスを測定し、ARSは持続的かつ複数ステップにわたるエージェント型の実行において、障害がどこまで波及し得るかを評価します。

ASI09 – 人間とエージェント間の信頼関係の悪用

エージェントが、説得力のある指示や誤解を招く指示を通じて、人間の信頼を悪用する場合。

• F5 AI Guardrailsは、安全でないコンテンツにタグを付けてブロックし、監査用に判定を記録します。
• F5 AI Red Teamは、ソーシャルエンジニアリングのパターンをシミュレーションし、ワークフロー設計の強化とオペレーターの意識向上を支援します。

ASI10 – 不正エージェント

侵害されたエージェントや、意図した動作から逸脱したエージェントが、複雑なシステム内で検知されないまま存続する場合。

• F5 AI Guardrailsは、エージェントの動作が変化しても一貫してポリシーを適用し、安全でない実行パターンやデータ流出の試みをブロックします。
• CASIとARSは、リスクシグナルの測定可能な経時変化を追跡することで、動作のドリフトを検出します。

F5がエージェント型ワークフローにAIセキュリティを提供する仕組み

AIセキュリティは、F5 Application Delivery and Security Platform (ADSP）の中核を成す要素です。エージェント型ワークフローでは、アプリケーション層とAPI層におけるプロンプト、ツール、コンテキスト、エージェント間のやり取りに新たなリスクが生じます。しかし、こうしたやり取りも、組織が現在すでに保護しているものと同じWeb、API、データプレーン、コントロールプレーンの経路を通過します。

推論時の動作にまでセキュリティ制御と可視性を拡張することで、F5は、組織が既存の信頼できるアプリケーションセキュリティ基盤を活用しながら、エージェント型AIのリスクに対処できるよう支援します。

F5は、セキュアなAIの実践強化に向けた幅広いコミュニティの取り組みを引き続き支援しています。これには、OWASP GenAI Security Projectの活動も含まれます。

詳しくは、F5 AI Red TeamおよびF5 AI Guardrailsをご覧ください。

著者について

Louise Scullyシニアマネージャー（プロダクトマーケティング、AIセキュリティおよび脅威インテリジェンス担当） | F5

Louise Scullyは、F5でAIセキュリティおよび脅威インテリジェンスのプロダクトマーケティング担当シニアマネージャーを務めています。AIセキュリティとエンタープライズテクノロジーの分野で、プロダクトマーケティング、プロダクト管理、市場投入戦略、コミュニケーション、ソートリーダーシップ、カテゴリー開発に携わってきました。F5入社以前は、CalypsoAIとArtomatixでマーケティングを統括し、AI技術と研究成果の市場展開に貢献しました。

Louise Scullyのその他のブログ記事