少し前まで、企業におけるAIの主な役割は、業務のスピード向上を支援することでした。従業員はコパイロットを使って、コードの作成、情報の要約、コンテンツの生成、質問への回答を行っていました。その後、AIは企業内での活用範囲を広げ、社内アシスタントや顧客向けアプリケーションを支えるようになりました。
今、私たちは根本的に異なる段階に入りつつあります。エージェント型AIシステムは、単に質問に答えるだけではありません。ブラウジング、データの取得、APIの呼び出し、ツールの起動、ワークフローの実行、さらにはアクションの実行も可能で、人の関与がほとんど、あるいはまったくない場合もあります。
これは機能面での飛躍的な進歩です。同時に、攻撃対象領域も大幅に拡大します。このテーマについては、F5 Post-Mythos Security Summitでの私の講演「本番環境のAIを保護する」で取り上げています。F5は、このイベントを10 月 31 日までオンデマンドで配信しています。
“AIは能力を高め、接続を広げ、自律性を増しています。問われるのは、それによって攻撃対象領域が拡大するかどうかではありません。その拡大に合わせて、セキュリティ戦略も対応範囲を広げられるかどうかです。”
AIが行動できるようになると、その振る舞いが攻撃対象領域になる
従来のアプリケーションの動作は、比較的予測しやすいものです。同じ条件で同じ入力を与えれば、通常は同じ出力が期待できます。セキュリティチームは数十年にわたり、こうしたやり取りに関わるインフラストラクチャ、アプリケーション、API、アイデンティティ、データを保護する手法を開発してきました。
AIの動作は非決定的になり得るため、従来の前提が変わります。AIアプリケーションでは、動作そのものが攻撃対象領域の一部となります。
現代のAIとのやり取りに関わるすべての要素を考えてみてください。プロンプト、モデル、企業データ、API、検索拡張生成（RAG）システム、ツール、エージェント、そしてエージェントが実行するアクションです。接続が増えるたびに、問題が生じたり、攻撃者がシステムの不正操作を試みたりする可能性のある箇所も増えます。
リスクは多岐にわたります。プロンプトインジェクションはAIシステムの動作に影響を及ぼす可能性があり、過剰な自律性はエージェントに意図した範囲を超える行動を許すおそれがあります。また、セキュリティが不十分なModel Context Protocol（MCP）サーバーや許可されていないツールの使用は、機密性の高いシステムやデータへの新たなアクセス経路を生む可能性があります。さらに、RAGワークフローは不正に操作される可能性があり、AIアプリケーションは機密情報を漏えいしたり、有害または不適切な出力を生成したりするおそれがあります。
これらのリスクはすべて、組織がすでに直面しているセキュリティ上の課題に加わります。AIがコパイロットから顧客向けアプリケーション、さらに自律型エージェントへと進化するにつれ、組織は既存のリスクを引き継ぎながら、新たなリスクも抱えることになります。
1つの技術転換で拡大する2つの攻撃対象領域
この問題がこれほど難しくなっている理由は、ほかにもあります。組織が対処しなければならないAIの攻撃対象領域は、1つではないのです。
1つ目は、人々がすでに利用しており、エージェントによる利用も増えているAIです。サードパーティーのAIサービスにより、企業全体で高性能なモデルやツールを容易に利用できるようになりました。従業員は、AIを活用して業務のスピードと効率を高めるよう求められていますが、多くの場合、どのような情報を外部にさらす可能性があるのか、また、利用するAIサービスがどのようなリスクをもたらすのかを理解していません。
単にAIをブロックするだけでは、現実的な解決策にはなりません。利用者は回避策を見つけるため、組織はAIの利用をセキュリティチームやITチームが把握できない領域へとさらに追いやるリスクがあります。
2つ目の攻撃対象領域は、組織自らが構築・展開するAIです。ここでは、攻撃にさらされる可能性がある範囲は、アプリケーション、モデル、プロンプト、エージェント、API、ツール、企業データ、そしてそれらの間の相互作用にまで及びます。
攻撃者が一切関与していなくても、安全性に問題のある出力、機密情報の意図しない開示、エージェントによる呼び出すべきでないツールの呼び出しなどの問題が発生する可能性があります。一方、モデルの操作、知識ソースの汚染、情報の抽出、エージェントに意図しない動作をさせることを目的とした意図的な攻撃もあります。
お客さま、規制当局、セキュリティチームの視点では、その結果は驚くほど似て見えることがあります。
AIイノベーションのためにAIセキュリティを犠牲にしてはならない
こうした状況は、セキュリティ責任者に難しい課題を突きつけています。組織はAIの活用を迅速に進めたいと考えており、その必要性も高まっています。しかし、新たなAIアプリケーション、エージェント、モデル、ツール、接続の一つひとつが、従来のセキュリティアプローチでは対処を想定していなかったリスクをもたらす可能性があります。
これらの課題に対処するには、組織はビジネスの歩みを止めることなく、拡大するAIの攻撃対象領域全体の可視性と制御を強化する必要があります。AIとのやり取りがどこで行われてもそれを保護し、偶発的な動作と攻撃を意図した動作の両方に対処するとともに、AI導入の新たな障壁を生むことなく、適切な制御を適用する必要があります。
F5は、それを実現する方法があると考えています。組織が構築するアプリケーション内のAIから従業員が利用するAIまで、AIの検出、テスト、ガバナンス、保護を支援するためのアプローチを開発しました。このアプローチでは、AIとのやり取りが実際に発生するポイントで制御を提供します。
F5のオンラインイベントPost-Mythos Security Summitで、私のセッション「AIは今や攻撃対象領域に」でこのアプローチを詳しく解説します。AIを取り巻く脅威がどのように変化しているのか、AIのエージェント化が進む中で組織は何を保護する必要があるのか、そして導入を妨げることなくAIアプリ、モデル、エージェント、ツール、API、データのセキュリティを確保するためにF5がどのように支援できるのかを見ていきます。
AIは能力を高め、つながりを広げ、自律性を増しています。それによって攻撃対象領域が拡大するかどうかは、もはや論点ではありません。問われるのは、セキュリティ戦略の対象範囲も、それに合わせて拡大できるかどうかです。
ぜひF5 Post-Mythos Security Summitにご参加いただき、新たなAIの攻撃対象領域を適切に管理する方法をご確認ください。
関連するブログ記事
経営幹部が抱くAIに関する4つの誤解
AIに関する誤解は数多くあります。ここでは、組織が自社環境にAIを導入する際に見直す必要があるかもしれない4つの誤解を紹介します。
IT/OTコンバージェンスの現状と、セキュリティを最優先すべき理由
ITシステムとOTシステムの融合が進むにつれ、攻撃対象領域は拡大します。組織が安全に統合する方法と、F5 ADSPが大規模な運用の保護にどのように役立つかをご紹介します。
AIのレイテンシ：セキュリティを犠牲にできない理由
AIのレイテンシは、単なる速度の問題ではありません。パフォーマンス、セキュリティ、信頼性のバランスを考慮したシステム設計が重要です。
AIアプリケーションを大規模に提供する：ADCの役割
AIアプリケーションを確実に提供するには、高速なモデルや柔軟に拡張できるインフラストラクチャだけでは不十分です。AIアプリケーションの利用方法を管理するための制御レイヤーが必要です。
MCP：AI対応のアプリケーションデリバリを実現する鍵
Model Context Protocol（MCP）は、最新のアプリケーションにおける安全で低遅延なAI統合を可能にします。将来を見据えたアプリケーションデリバリ戦略にMCPが不可欠な理由をご覧ください。
AIガードレールとは？基盤モデルプロバイダーの枠を超えて進化する安全対策
急速に変化する組織の脅威領域におけるリスクをより包括的に捉えるために、AIガードレールの進化が必要な理由をご覧ください。