エージェント型AIアプリケーションのOWASP Top 10

OWASP Agentic AI Top 10は、ツール、API、データソースを横断して動作する自律型AIシステムによって生じる、特に重要なセキュリティリスクを組織が理解するのに役立ちます。エージェント型ワークフローは実行時の攻撃対象領域を拡大するため、このフレームワークは、リスクを評価し、制御を強化して、リスクへの露出を低減するための実践的な手段となります。

このページでは、これらのリスクと、F5の機能が実際の対策にどのように役立つかを対応付けて説明します。

OWASP Agentic AI Top 10とは

このフレームワークは、OWASP GenAI Security Projectが公開したもので、AIシステムに目標、メモリ、ツール、および複数のシステムにまたがってアクションを実行する能力が与えられた場合に生じるリスクに焦点を当てています。従来のチャットボットに関するリスクとは異なり、エージェント型AIの脅威は、複数ステップのワークフロー、接続されたアプリケーション、自律的な意思決定にまで広がる可能性があります。一般的な例として、エージェントの目標の乗っ取り、ツールの不正使用、不正なエージェント、エージェント間の安全でない通信、連鎖的な障害などが挙げられます。

OWASP Agentic AI Top 10が重要な理由

多くの組織では、エージェント型AIはまだ試験導入の段階にありますが、初期のワークロードはすでに本番システムに接続されています。そのため、障害が実際のデータ、API、ワークフロー、ユーザーに影響を及ぼす可能性があります。このフレームワークにより、CISO、アーキテクト、セキュリティチームは、リスクが最も高い領域を特定し、管理策を整合させ、当初からより安全なAIシステムを構築するための実践的な方法を得られます。

OWASP Agentic AI Top 10の仕組み

このフレームワークでは、エージェント型AIのリスクを10のカテゴリーに分類しています。

ASI01 エージェント目標のハイジャック – 攻撃者がエージェントの目標、指示、意思決定経路を操作し、意図しない結果を追求させます。

ASI02 ツールの誤用と悪用 – エージェントが接続されたツールを安全でない方法で使用したり、攻撃者がツールのインターフェースを悪用してアクセス権を取得したり、損害を与えたりします。

ASI03 IDおよび権限の悪用 – エージェントが認証情報、トークン、または継承された権限を悪用し、意図された範囲を超えてシステムやデータにアクセスします。

ASI04 エージェント型サプライチェーンの脆弱性 – エージェントのワークフローで使用されるサードパーティ製ツール、プラグイン、レジストリ、MCPサーバー、外部コンポーネントを通じて生じるリスク。

ASI05 予期しないコード実行 – エージェントが、セキュリティ上または運用上のリスクを生じさせる方法で、コードやコマンドを生成、変更、実行します。

ASI06 コンテキスト管理および検索操作 – 検索または保存されたコンテキストが汚染されている、誤解を招く、古くなっている、または改ざんされているため、エージェントのその後の動作に影響を及ぼします。

ASI07 エージェント間通信のセキュリティ不備 – エージェントが十分な認証、完全性保護、ポリシー制御を行わずにメッセージを交換するため、悪用される可能性が生じます。

ASI08 カスケード障害 – 1つのエラー、侵害、または誤った判断が、接続されたエージェント、ツール、ワークフロー全体に波及します。

ASI09 人間とエージェント間の信頼の悪用 – エージェントが説得的または誤解を招く出力を用いてユーザーに影響を与え、安全でない操作や承認を行わせます。

ASI10 不正エージェント – 侵害されたエージェント、目的との整合性を失ったエージェント、または徐々に挙動が変化したエージェントが、複雑なシステム内で意図しない動作を続けます。

F5はOWASP Agentic AI Top 10にどのように対応していますか？

OWASP Agentic AI Top 10は、自律型および半自律型AIシステムに関連する、特に重大なセキュリティリスクを明らかにしています。こうしたリスクの多くは、モデル内だけに存在するものではありません。API、データフロー、サードパーティ製ツール、アイデンティティ制御、ランタイムでのアクションなど、より広範なアプリケーションアーキテクチャ全体で生じます。これらに対処するには、AIアプリケーションのエコシステム全体にわたる制御が必要です。

F5は、最新のアプリケーションとAIワークロード向けに、アプリケーションデリバリ、API保護、トラフィック管理、ポリシー適用、セキュリティ機能を統合するF5 Application Delivery and Security Platform (ADSP)を通じて、組織によるこれらの課題への対応を支援します。エージェント型AIにおいては、AIシステムが稼働する環境を保護するための基盤を強化できます。

ADSPでは：

• F5 AI Guardrailsは、推論境界でプロンプト、出力、モデルの動作に関するポリシーを適用するのに役立ちます。
• F5 AI Red Teamは、敵対的テストを通じて、モデル、アプリケーション、エージェント型ワークフロー全体の弱点の特定を支援します。
• F5 WAAPは、エージェントがデータへのアクセスやアクションの実行に利用するWebアプリケーション、API、デジタルサービスの保護に役立ちます。
• F5 AI Remediateは、特定されたリスクを導入可能な保護策へと迅速に変換し、調査結果の運用への反映を支援します。
• F5 BIG-IPは、複雑なハイブリッド環境やマルチクラウド環境全体で、AIアプリケーションのデリバリー、セキュリティ確保、スケーリングを支援します。

これらの機能を単一のプラットフォームに統合することで、F5は、組織がOWASPのガイダンスに準拠し、運用リスクを軽減し、より確信を持ってエージェント型AIを導入できるよう支援します。