AIアプリケーションは、単純なチャットインターフェースから、エージェント主導のシステムへと急速に進化しています。こうした最新の「エージェンティック」アプリケーションは、単にAPIを呼び出すだけではありません。機能を検出し、ワークフローをオーケストレーションし、多数のツールやサービスを横断して、多くの場合は実行時に動的にアクションを実行します。
しかし、セキュリティモデルの多くは依然として、トラフィックパターンを予測できる静的なアプリケーションを前提に構築されており、この急速な進化に一刻も早く追いつこうと懸命に取り組んでいます。
しかし、この進化により、APIの検出、脅威の検知と保護、Webアプリケーションファイアウォール（WAF）といった従来からのセキュリティ制御の役割は根本的に変わります。エージェント型AIの世界では、これらの制御はもはや単なる「境界防御」ではありません。エージェントが次の行動を自ら決定できる状況で必要となる可視性、ポリシー適用、ランタイム制約を提供し、AIアプリケーションセキュリティのコントロールプレーンとしての役割を担うようになっています。
“エージェント型AIアーキテクチャにおいて、WAFはもはやWebベースのアプリケーションを防御するだけのものではありません。現在では、大量のマシン間トラフィックに対するポリシー適用ポイントとしての役割も担っています。”
AIアプリケーションは設計上API中心
技術的には、ほぼすべてのAIアプリケーションがAPIを組み合わせて機能するエンジンです。
一般的なAPIのカテゴリーには、次のものがあります。
- モデルAPI：LLM推論エンドポイント
- 検索API：検索拡張生成向け（ベクトルデータベース、検索サービス、ドキュメントストア）
- ツール／アクションAPI：チケット管理、メール、コード実行、CRM、決済など
- ストリーミングAPI: secure socket engine（SSE）、WebSockets、gRPCストリーミング
- オーケストレーションおよびポリシーAPI：エージェントルーター、ワークフローエンジン、ガードレールサービス
エージェントが成熟するにつれて、静的な統合から、実行時に利用可能でその時点の状況に適したツールを選択する機能検出へと移行します。Model Context Protocol（MCP）はその一例であり、一貫したAPIサーフェスを通じてAIシステムがツールを検出し、呼び出す方法を標準化します。
このAPI中心のアーキテクチャでは、APIの可視化と制御が不可欠です。アプリケーションが機能を動的に拡張できる場合、セキュリティチームはその拡張をほぼリアルタイムで把握し、管理できなければなりません。
AIアプリケーションにおけるAPIディスカバリの役割
よく知られた経験則として、組織は可視化できないものを保護できません。これは、エージェントがAPIを動的に探索して活用できる場合に、特に当てはまります。そのため、今日ではAPIの検出と分類が不可欠です。
APIの検出と分類により、新たに導入されたエンドポイントを含め、どのAPIエンドポイントが存在するかを継続的に可視化できます。また、使用されているHTTPリクエストメソッド（GET、POST、PUTなど）を把握できます。さらに、使用中のスキーマやペイロードの構造に加え、どのクライアント、エージェント、サービスがどのAPIを呼び出しているかを特定するのに役立ちます。これにより、API環境、ひいては脅威対象領域が時間の経過とともにどのように変化するかを明確にできます。
MCPサーバーやその他のAI制御API（アプリケーションとAIモデル間のやり取りを管理、保護、統制するソフトウェアインターフェース）において、APIディスカバリはセキュリティ上の重要な価値をもたらします。APIディスカバリは、存在すべきでない、または公開すべきでない機能やデータを含む、予期しないルートやツール記述子を検出できます。また、エージェントや開発者が意図せず使用する可能性のあるシャドーAPIや文書化されていないAPIの特定に役立ちます。さらに、一般的な使用状況、頻度、処理順序など、通常のエージェントの動作についてベースラインを確立します。
動的なAI環境において、APIディスカバリは単なるインベントリ作成ではありません。APIドリフト、不正使用、機密データの露出や侵害など、正常かつ意図された動作とAPIライフサイクルの不適切な管理を区別する、ランタイムセキュリティのシグナルとなっています。
AIアプリケーションにおけるWAFの役割
組織が、実際に何が存在し、それが何のためにどのように使用されているかを把握できれば、ポリシーを策定して適用できます。エージェント型AIアーキテクチャにおいて、WAFはもはやWebベースのアプリケーションを防御するだけのものではありません。大量のマシン間トラフィックに対するポリシー適用ポイントとしての役割も担います。
MCPエンドポイントとAIバックエンドに対して、WAFは厳格なAPI境界を適用し、既知のパス、メソッド、コンテンツタイプのみを許可できます。また、WAFはプロトコルの正当性を確保し、リクエストスマグリング、不正な形式のリクエスト、ヘッダーを悪用した手法、アップグレードおよびストリーミングの悪用をブロックします。
認証とセッションの適用もWAFで対応でき、特権ツールへのリクエストが開始される前にIDが検証されるようにします。WAFは、スキャン、プローブ、自動化されたエンドポイント検出、不審な探索パターンを検出し、不正利用や列挙攻撃への耐性を提供します。また、レートと接続を制御し、高コストなモデルやツールの呼び出しを悪用したリソース枯渇やDenial-of-Wallet攻撃の軽減に役立ちます。
WAFのもう1つの大きな利点は、トラフィックがAIランタイム、オーケストレーションレイヤー、またはダウンストリームツールに到達する前に制御が適用されることです。これらに到達した後では、ミスによる損失や危険が大きくなったり、取り返しがつかなくなったりする可能性があります。
エージェント型AIアプリケーションを迅速に保護
今日のエージェント型AIは、アプリケーションをAPIの動的なオーケストレーターへと変える可能性があるため、従来の静的な境界型セキュリティだけでは十分に対応できません。APIディスカバリにより、急速に変化するこの環境全体を継続的に可視化し、振る舞いのベースラインを確立できます。
この同じ環境において、WAFはマシン間のエージェントトラフィックに対する最前線のポリシー適用ポイントへと急速に進化しています。これにより、エージェントがアクセスできる対象と場所、通信内容、利用できる対象と量を制限できます。また、APIディスカバリとWAFは、実行時に変化するエージェント型AIシステムの機能や統合に迅速に対応し、実用的な制御を適用してシステムを保護できます。
詳細については、F5.com、およびF5 WAFソリューションとF5 API Security製品およびサービスの各ソリューションページをご覧ください。
著者について
関連するブログ記事
経営幹部が抱くAIに関する4つの誤解
AIに関する誤解は数多くあります。ここでは、組織が自社環境にAIを導入する際に見直す必要があるかもしれない4つの誤解を紹介します。
IT/OTコンバージェンスの現状と、セキュリティを最優先すべき理由
ITシステムとOTシステムの融合が進むにつれ、攻撃対象領域は拡大します。組織が安全に統合する方法と、F5 ADSPが大規模な運用の保護にどのように役立つかをご紹介します。
AIのレイテンシ：セキュリティを犠牲にできない理由
AIのレイテンシは、単なる速度の問題ではありません。パフォーマンス、セキュリティ、信頼性のバランスを考慮したシステム設計が重要です。
AIアプリケーションを大規模に提供する：ADCの役割
AIアプリケーションを確実に提供するには、高速なモデルや柔軟に拡張できるインフラストラクチャだけでは不十分です。AIアプリケーションの利用方法を管理するための制御レイヤーが必要です。
MCP：AI対応のアプリケーションデリバリを実現する鍵
Model Context Protocol（MCP）は、最新のアプリケーションにおける安全で低遅延なAI統合を可能にします。将来を見据えたアプリケーションデリバリ戦略にMCPが不可欠な理由をご覧ください。
AIガードレールとは？基盤モデルプロバイダーの枠を超えて進化する安全対策
急速に変化する組織の脅威領域におけるリスクをより包括的に捉えるために、AIガードレールの進化が必要な理由をご覧ください。