エージェント型AI時代のセキュリティ：期待先行から重大な局面へ

James WhiteAIセキュリティ担当CTO | F5

エージェント型AIへの期待が現実のものとなる中、世界中の組織が社内でAIエージェントを活用するユースケースの構築を進めています。基盤モデルをツールやデータソースに接続し、タスクを自律的に実行させることで、企業はコスト削減と業務効率の向上を目指しています。

まずCISOは、比較的リスクが低く、明確なメリットをもたらすロボット芝刈り機や床掃除ロボットに相当するAIエージェントの活用方法を見極めようとしています。カスタマーサービスは初期のユースケースとして有力であり、Intercom、Zendesk、ServiceNowなどの企業が提供するAI駆動型ソリューションや社内システムのテスト環境として活用されています。

Gartnerの予測によると、2029年までに、エージェント型AIが一般的なカスタマーサービスの問題の80%を人の介入なしに自律的に解決し、運用コストを30%削減する見込みです。このような数字を踏まえると、エージェントが他の業務も大規模に担い、最終的に製品の中核機能に組み込まれるようになるのは時間の問題です。 

一方、改訂された2つの米国連邦政府機関におけるAI利用方針は、AIの未来を見通すうえで有用な示唆を与えています。2025年4月7日に公表された、ホワイトハウス行政管理予算局（OMB）の覚書M-25-21には、次のように記されています。「各政府機関は、責任あるAIイノベーションを推進し、AIおよびAI活用を支える人材を強化するとともに、AIを開発・調達する能力を向上させるため、既存の能力を基盤としてAIの活用による任務遂行の有効性向上に注力すべきである」。企業においても、目指すところは間違いなく同じです。 

この覚書は、すべての連邦政府機関に対し、60日以内に「AIに関する高度な専門知識」を有する最高AI責任者を留任または任命し、180日以内にAI推進戦略を公表することを義務付けています。また、意思決定や措置の主な根拠としてAIを使用することが「影響度が高い」と見なされる分野の一覧も記載されています。例として、次の分野が挙げられます。

• 緊急サービス、食品安全、交通管制システムなど、インフラまたは政府施設における安全上重要な機能
• 医療分野における、医療機器の医学的に重要な機能、患者の診断または治療、医療保険費用の管理および引受査定。
• 政府施設へのアクセス管理または政府施設のセキュリティ確保。
• 法執行における、個人に関するリスク評価の作成、容疑者の特定、犯罪の予測、人や車両の追跡、生体認証の適用、ソーシャルメディアの監視、武器または暴力行為の検知、拘禁、量刑、仮釈放または保釈に関する判断
• 融資や公営住宅への入居を含む、連邦政府の重要なサービス、手続き、給付に関する申請の可否または申請の審査；
• 給与や昇進、業績管理、採用や解雇、懲戒処分など、連邦政府職員の雇用条件を決定すること。

注意：エージェントが稼働中

この例示的なリストから、ホワイトハウスは、これらをはじめとする重大な影響を伴う活動を、AIの現実的なユースケースと見なしていることがうかがえます。このメモではAIエージェントに明確に言及していませんが、住宅、融資、給付を受ける権利に関する判断など、ユースケースの大半では、機密情報や個人を特定できる情報が含まれている可能性の高い他のツールやデータベースに、モデルを接続することになるのは明らかです。

これは問題です。AIエージェントの「頭脳」として機能する主要なAIモデルには、いずれも脆弱性があることが実証されているためです。企業が事業活動にAIを活用する際には、この点を真剣に考慮する必要があります。たとえば、OWASPによる最新の「GenAIセキュリティインシデント＆エクスプロイト総まとめ」では、悪意ある攻撃者がモデルの制限を回避する「ジェイルブレイク」を行い、AIをフィッシングや音声クローン詐欺に利用している事例が取り上げられています。さらに、相互接続性と相互運用性が加わることで新たな攻撃経路が生まれ、セキュリティリスクは大幅に高まります。

さらに問題を深刻化させるのは、脅威レベルがエージェントに連携されているツールの数に直接比例することです。エージェントがデータベースへのアクセス権を持つ場合、組織内のすべてのデータベースが潜在的に脆弱になります。また、メールとブラウザへのアクセス権を持つ場合、メールシステムが悪意のあるエージェントに接続され、フィッシングによって組織への侵入を執拗に試みられる可能性があります。（人間の攻撃者とは異なり、エージェントは疲れることなくリアルタイムで応答できるため、攻撃の信憑性がさらに高まります。）

次に、複数のアクセス権を組み合わせた場合を考えてみましょう。データベースとメールの両方にアクセスできるエージェントは、悪意のある攻撃者によって武器化され、データの流出や、システムに新たなデータを注入する侵入攻撃に悪用される可能性があります。さらに、組織内部の関係者が誤って、または悪意を持ってエージェントを不正利用するリスクもあります。こうした関係者はすでに組織の防御の内側にいるため、被害がさらに拡大するおそれがあります。

モデルのコモディティ化が進む中、職場で利用するAIシステムやエージェントを評価する際、重要な差別化要因となるのはパフォーマンスではなくセキュリティであることは明らかです。いかに高性能でも、攻撃を受けたり悪用されたりする脆弱性があるシステムは、企業や連邦政府機関の環境には適しません。

一方、この覚書は連邦政府機関に対し、「信頼できるAI」を導入し、影響度の高いAIについて最低限のリスク管理策を実施するよう指示しています。影響度の高いAIが適切な水準で機能していない場合、政府機関は、要件への適合に必要な措置が講じられるまで、その利用を中止する計画を策定しておく必要があります。AIエージェントの利用を検討している企業も、同様の計画を策定しておくべきです。

新たなセキュリティ対応

しかし、効果的なリスク管理は、事後対応に重点を置くのではなく、事象が発生する前から始める必要があります。エージェントがもたらす脅威を理解することが、その対処に向けた第一歩です。個々のエージェントの脅威レベルを適切に測定することは、まず対応が必要かどうかを判断し、次に適切な対応について十分な情報に基づいて意思決定するうえで不可欠です。

セキュリティ対策が過剰であればイノベーションを阻害しかねず、不十分であれば脅威を効果的に低減できません。しかし、AIには学習して適応する能力があるため、手動のレッドチーミングなどの従来型ツールや、すべての攻撃を同等に扱う攻撃成功率（Attack Success Rate）のような大まかな指標では、AIがもたらす脅威に十分に対処できません。

複雑化する新たな脅威ベクトルには、新しいセキュリティ対応が必要です。このような状況で組織がセキュリティを効果的に強化するには、攻撃の種類と複雑さを正しく把握し、適切な対策を講じることが最善です。

これを実現する最善の方法は、インテリジェントでカスタマイズ可能なAIエージェントを活用して、敵対的なやり取りをシミュレーションし、リリース前のAIシステムに対するレッドチーミングを自動化することです。いわば、火には火をもって対抗します。F5 AI Red Teamは、企業にテストエージェントのチームを提供します。これにより、セキュリティ責任者はAIによる脅威レベルを定量化し、それに応じた修復を行えます。

自動レッドチーミングは、実環境での活動に最も近い状況を再現するだけでなく、従来は攻撃者に有利だった時間的猶予をなくし、企業が最短時間で最も効果的なセキュリティ対策を講じられるようにします。F5は、AIモデルのセキュリティを評価し、それぞれのComprehensive AI Security Index（CASI）とAgentic Resistance Score（ARS）という独自のセキュリティスコアリング指標を開発しました。これらの指標は、各リーダーボードのランキングに反映されます。

もちろん、セキュリティは一度対策すれば終わりというものではなく、エージェントも例外ではありません。脅威への露出を低減した状態に保ち、適切なセキュリティ態勢を維持するには、継続的な監視が不可欠です。エージェント型AIの普及が進む中、プロアクティブなセキュリティアプローチを採用することで、エージェントを安全に活用し、本来の目的に向けたAIの導入を加速できる可能性が最も高まります。

著者について

James WhiteAIセキュリティ担当CTO | F5

James Whiteは、エンタープライズソフトウェア業界で約20年の経験を持つ、優れたエンジニアでありビジネスリーダーです。

James Whiteのその他のブログ記事