境界でフロンティアAIを阻止：インライン制御がMythosクラスのモデルに対する中核的な優位性となる理由

Abbas KudratiAPCJ担当フィールドCISO | F5

AnthropicのClaude Mythosは、高度なサイバーセキュリティ機能を備えているため、現在Project Glasswingの下で少数の信頼できる組織にのみ提供されています。これは、従来世代のAIとは根本的に異なるものです。

フロンティアAIのリスクは、悪意とはほとんど関係ありません。モデルがリアルタイムで推論、計画、適応、最適化できる能力に起因します。自律的に動作する場合でも、侵害された統合機能を介して動作する場合でも、Mythosクラスのモデルは、極めて説得力の高いソーシャルエンジニアリングキャンペーンを生成し、マシン速度でAPIを探索し、セキュリティ制御を継続的にテストして、抵抗に遭遇すると即座に戦術を変更できます。

これにより、サイバー防御の経済性が変わります。

多くの企業向けセキュリティアーキテクチャは、認識可能なパターンに従う攻撃者を阻止するよう設計されてきました。シグネチャベースの検知、事前定義されたポリシー、人による調査が組織に有効だったのは、人間の攻撃者の場合、偵察、脆弱性の悪用、適応の各段階の間に必ず時間が生じるためです。

推論モデルは、その時間的な猶予をなくします。AIエージェントが数秒のうちに観察し、学習し、行動を変えられる状況では、セキュリティチームは検知後に対応している余裕がありません。今や、攻撃を検知できるかどうかよりも、どの段階で阻止するかが重要です。

その答えは、トラフィック経路にあります。すべてのプロンプト、API呼び出し、Model Context Protocol（MCP）リクエスト、ツール呼び出しは、価値あるリソースに到達する前に、必ずアプリケーションデリバリーレイヤーを通過します。AIモデルがどれほど高度になっても、ネットワークを迂回することはできません。ここが、攻撃者には回避できない唯一の制御ポイントです。

大きく異なる3つの制御モデルを理解する

現在のAIセキュリティ市場で大きな混乱を招いている要因の1つが、リアルタイム、ランタイム、インラインといった用語が同じ意味で使われていることです。これらは同じものではなく、その違いは重要です。では、具体的に何が違うのでしょうか？

リアルタイム制御（可視化と事後アラート）：リアルタイム制御は、不審なアクティビティを発生時に検知し、数秒から数分以内にアラートを生成します。可視性は確保できますが、通常、対応には別のシステムまたは人間のアナリストが必要です。

午前2時47分に、AIエージェントが顧客データベースAPIに対して大量のクエリを実行している状況を想像してください。SIEMは異常な動作を正しく特定し、直ちにインシデントを作成します。

アラートは正確で、タイミングも申し分ありません。しかし残念ながら、アナリストがチケットを確認する頃には、AIはすでに偵察を終え、次の行動に移っています。強制措置を伴わない検知では、攻撃を阻止するのではなく、記録するだけです。

ランタイム制御（実行レベルのガードレール）：ランタイム制御は、アプリケーション、エンドポイント、またはエージェントの実行中にポリシーを能動的に適用します。

アクションが自動的に実行されるため、検知だけの場合と比べて大幅な改善となります。ただし、ランタイム保護には、事前定義されたポリシーと、その特定のランタイム環境で監視できる範囲による制約があります。

エンドポイントエージェントが、ローカルAIアシスタントによる不審なシステムコールをブロックしたとします。モデルはその失敗を分析し、ポリシーで想定されていなかった別の実行パスを特定して、異なる手法で同じ目的を達成します。

ランタイム保護は、想定された動作に対して非常に高い効果を発揮します。一方、推論モデルは、想定外の動作を生み出すように設計されています。

インラインのネットワークおよびアプリケーション制御（トラフィック経路でのインターセプト）：インライン制御は、まったく異なるレイヤーで機能します。アプリケーションやエンドポイントによる判断を待つのではなく、インライン適用機能をトラフィック経路上に直接配置し、推論エンジン、API、アプリケーション、またはダウンストリームサービスに到達する前に、すべてのリクエストを検査します。

Mythosクラスのモデルが、間接的な推論を通じてトレーニングデータを抽出するよう設計された、高度な多段階プロンプトインジェクションを試みるケースを考えてみましょう。

既知のシグネチャも、過去の事例も、照合可能な過去のIOCも存在しない場合があります。それでも、リクエストがモデルに到達する前、または安全でない出力がユーザーに届く前に、リクエストを検査・評価し、ブロックできます。

この違いは極めて重要です。インラインセキュリティは、侵害が発生してから対応するのではなく、リクエストが完了する前に阻止します。

フロンティアAIが従来のセキュリティ前提を覆す理由

これまで、防御側には「時間」という重要な優位性がありました。高度なスキルを持つ攻撃者であっても、偵察、脆弱性の悪用、権限昇格を進めるには数時間から数日を要していました。そのためセキュリティチームは、重大な被害が発生する前に不審なアクティビティを検知して調査し、シグネチャを更新して、制御を強化できました。

フロンティアAIは、その時間軸を劇的に短縮します。敵対的なAIエージェントは、1回のセッション内で次のことが可能です。

• 公開状態にあるAPI、シャドーAPI、管理されていないAPIを検出する。
• 数千ものプロンプトのバリエーションを生成し、脆弱なガードレールを特定します。
• どの応答が単純なフィルタリングではなく、実際に制御が適用されていることを示すかを判断します。
• 手法、エンコーディング、ペイロード構造を即座に変更する。
• 一見正規に見える出力チャネルを通じて機密情報を外部に流出させる。

これまで経験豊富なレッドチームでも数日を要していたことが、今では数分で実行可能です。そのため、人の介入に依存するアーキテクチャは、ますます有効性を失っています。保護の仕組みが、アナリストによるアラートの確認、シグネチャの更新、ポリシーの手動変更に依存している場合、最初の対応を開始する前に、攻撃者はすでに複数回の反復を完了しています。

推論AIに対抗するには、ワイヤースピードで制御を適用する必要があります。

これに必要なアーキテクチャ

ネットワーク上で推論AIに対応するには、一般的なセキュリティスタックの設計前提とは異なる設計基準が必要です。

制御は、個別のポイント製品に分散させるのではなく、アプリケーションデリバリーパス全体を単一のサーフェスとしてカバーする必要があります。検査は推論レイヤー自体で行い、プロンプトとレスポンスが人またはモデルに到達する前にリアルタイムで分析しなければなりません。また、自律型エージェントが最初に探す未管理APIやシャドーAPIは、管理対象のインベントリではほとんど把握できないため、APIディスカバリを継続的に実行する必要があります。

攻撃者の手法に対するテストは定期的ではなく継続的に実施し、その結果を適用制御に直接反映する必要があります。そうしなければ、攻撃者が数分単位で手法を変化させる一方で、保護の更新は数週間単位のポリシーサイクルにとどまります。また、AIエージェントを人間のユーザーや従来型のボットとは異なる独立したアイデンティティのカテゴリーとして認識し、MCP通信を含むエージェントとツール間のトラフィックに、ユーザー認証と同等のガバナンスを適用する必要があります。

これらは、互いに分断されたツールの集合では機能しません。ハイブリッド環境とマルチクラウド環境に共通するポリシーフレームワークの下で、API、推論トラフィック、エージェントID、アプリケーションセキュリティを網羅する単一の適用アーキテクチャとして運用する必要があります。

AIが進化し続ける中で、これが重要な理由

現在の議論では、プロンプトインジェクションが注目されることが少なくありません。今後は、自律システムが人間の介入をほとんど受けずに、数千件ものAPI呼び出しを統合的に制御し、ツールを呼び出し、他のエージェントと連携することが課題となり、それに伴って組織ではマシン生成トラフィックが急増するでしょう。

こうしたやり取りの一つひとつで、新たなポリシー適用の判断が必要になります。プロンプトフィルター、APIゲートウェイ、ボット検出機能など、個々のレイヤーを別々に保護すると、アーキテクチャ上の継ぎ目が生じます。そして、推論能力を持つAIが最初に狙うのは、まさにその継ぎ目です。攻撃者の能力が高まるほど、アーキテクチャの一貫性が重要になります。

CISOにとっての戦略的な必須課題

フロンティアAIは、サイバー防御のあり方を変えつつあります。自律型モデルが企業のアプリケーション、API、ビジネスワークフローに深く統合されるにつれ、トラフィックパスは、管理下にある最も重要な制御ポイントとなります。あらゆるプロンプト、API呼び出し、MCP通信、自律型ツールの呼び出しが、ここを通過するためです。

リアルタイム制御では、すでに発生した事象を把握できます。ランタイム制御は、ポリシーで想定された事象を阻止します。インライン制御は、リクエストが宛先に到達する前に、今まさに発生している事象を阻止します。

CISOにとって、それこそが最も重要なアーキテクチャ上の問いです。

セキュリティリーダーが果たすべき戦略的責務は明確です。攻撃者が回避できない唯一の構造的レイヤーを中核に、企業防御を構築することです。

詳しくは、F5の「F5 Application Delivery and Security Platform」Webページをご覧ください。

著者について

Abbas KudratiAPCJ担当フィールドCISO | F5

Abbas Kudratiのその他のブログ記事