初めて記録されたAIによるサイバー攻撃は2025年9月に発生した。中国政府が支援するグループがClaude Codeを操作し、金融機関、政府機関、化学メーカーなど世界約30の標的へ侵入した。これは理論上の演習ではない。Anthropicの開示資料によれば、攻撃者は自律型AIエージェントが人的介入をほとんど必要とせず大規模に兵器化可能であることを実証した。これはセキュリティチームが防御準備を整えるべき新たなカテゴリーの高度な持続的脅威（APT）である。セキュリティチームにとってメッセージは明確だ：エージェント型AIセキュリティは新たな懸念事項から運用上の必須要件へと移行した。
その影響は甚大だ。ガートナーは、2025年に5%未満だった企業アプリケーションの40%が、2026年末までにタスク特化型AIエージェントを統合すると予測している。しかしIT専門家の80%は、既にAIエージェントが許可されていない、あるいは予期せぬ行動を実行するのを目撃している。導入速度とセキュリティ成熟度の間のギャップは、攻撃対象領域を生み出し、敵対者が積極的に悪用している。
本ガイドは、セキュリティ専門家に対し、自律型AIの脅威に関する包括的な理解、評価のためのフレームワーク、および自律システムを保護するための実践的な実装ガイダンスを提供します。
エージェント型AIセキュリティとは、自律的なAIエージェントをサイバー脅威から保護すると同時に、定義されたセキュリティ境界内で安全に動作するよう確保するプロセスです。人間の確認のために出力を生成する従来のAIアプリケーションとは異なり、エージェント型AIシステムは、企業リソースに自律的にアクセスし、外部ツールを使用し、ワークフローを実行し、現実のビジネスに影響を与える意思決定を行うことができます。これらのシステムのセキュリティを確保するには、ID、メモリ、ツール、API、実行時の挙動など、エージェントのエコシステム全体を保護する必要があります。
中核的なセキュリティ課題は、自律性と制御のバランスを取りつつ信頼境界を維持することにある。AIエージェントがデータベースへのアクセス、文書の作成、外部関係者へのメール送信を自律的に決定できる場合、従来の入力出力検証では不十分となる。セキュリティチームはツール、メモリ、オーケストレーションロジック、ID権限を含むエージェントのエコシステム全体を考慮しなければならない。
なぜ今これが重要なのか？急速な普及の勢いにより、ほとんどの企業は18か月以内に複数のAIエージェントを運用することになる。今、セキュリティ基盤を確立できない組織は、エージェントの導入が業務機能全体に拡大するにつれて、複合的なリスクに直面することになる。
従来型AIシステムとエージェント型AIシステムのセキュリティ確保における根本的な差異は、アーキテクチャと能力に起因する。
従来のAIセキュリティは、モデルの完全性、トレーニングデータの保護、推論時の攻撃に焦点を当てています。攻撃対象領域は比較的限定されています。入力が投入され、出力が生成されます。セキュリティ対策は、敵対的入力によるモデル予測の操作を防止し、トレーニングパイプラインが侵害されないことを保証することに重点を置いています。
エージェント型AIは攻撃対象領域を劇的に拡大する。これらのシステムは動的な道具使用、多段階推論連鎖、外部通信、セッションを跨いだ永続的記憶を備え、サイバーキルチェーンと同様のパターンを示す。攻撃者は基盤モデルを侵害する必要はない。エージェント生態系の任意の構成要素を操作することで、行動を悪意ある結果へと誘導できる。
表1：従来型AIとエージェント型AIのセキュリティ考慮事項の比較
セキュリティ上の影響は甚大である。従来のAIセキュリティ対策はモデル層に焦点を当てていたが、エージェント型システムにおいては必要ではあるものの不十分である。セキュリティチームは可視性と制御をエージェントアーキテクチャ全体に拡大しなければならない。
自律型AIセキュリティが優先課題となっているのは、自律型AIエージェントが企業のシステム、ID、API、クラウドサービス、および機密データと直接やり取りを行うためである。人間の確認のために出力を生成する従来のAIアプリケーションとは異なり、自律型システムは独自にアクションを実行できるため、攻撃者がワークフローを操作したり、権限を悪用したり、企業環境内で横方向に移動したりする機会を生み出してしまう。
組織がAIエージェントをさらに導入するにつれ、そのID、動作、および相互作用を保護することは、ユーザー、エンドポイント、クラウドワークロードを保護することと同様に重要になってきています。
エージェント型AIシステムのアーキテクチャを理解することで、セキュリティ制御を適用すべき箇所が明らかになる。現代のAIエージェントは、運用上の攻撃対象領域を形成する4つの主要コンポーネントを統合している。
エージェントアーキテクチャコンポーネント：
各層は固有の脆弱性を有する。攻撃者は自らの目的達成に最も抵抗の少ない経路を提供するコンポーネントを標的とする。
セキュリティ研究者のサイモン・ウィリソンは、組み合わさると深刻なリスクを生み出す 3 つの要素を特定しました。マーティン・ファウラーは、このフレームワークについて技術的な分析で詳しく説明しています。このフレームワークを理解することで、セキュリティチームは、どのエージェントの展開に最も厳格な制御が必要かを特定しやすくなります。
致死的な三連打は次の3つで構成される：
3つの条件が同時に存在する場合、リスクは劇的に増大する。認証情報にアクセス可能なエージェントが、信頼できない電子メール添付ファイルを処理し、外部通信を送信できる場合、データ漏洩、認証情報の窃取、サプライチェーン侵害への経路が形成される。
すべてのエージェント展開がこれら3つの特性をすべて示すわけではありません。セキュリティチームは、各展開をこれらの基準に対して評価し、リスクプロファイルに見合った制御を実施すべきです。
攻撃者は、目的やエージェントの設定に応じて異なるレイヤーを悪用する。
モデル層攻撃：
ツールレイヤー攻撃：
メモリ層攻撃：
オーケストレーション層への攻撃：
AWSエージェント型AIセキュリティスコープマトリクスは、接続性（低または高）と自律性（低または高）という2つの次元に基づいてエージェント展開を分類するフレームワークを提供します。これにより4つのスコープが生成され、それぞれ異なるセキュリティ制御強度が必要となります。
AWS スコープマトリックス概要:
組織はスコープ1または2から展開を開始し、セキュリティ成熟度を実証した後にのみ上位のスコープへ移行すべきである。このスコープマトリクスは、OWASP、CoSAI、および複数の業界標準化団体によって基礎的な枠組みとして参照されている。
Anthropicが導入した新たなモデルコンテキストプロトコル（MCP）は、エージェントとツール間の通信のための標準化されたインターフェースを提供する。MCPは相互運用性を向上させる一方で、新たな攻撃ベクトルも生み出す。セキュリティチームはMCPサーバーの完全性を検証し、エージェントと接続ツール間の横方向移動を監視しなければならない。
エージェント型AIのセキュリティ確保は、単発の活動ではなく、自律型AIエージェントの計画、導入、運用、および廃止にわたる継続的なライフサイクルです。各段階には固有のセキュリティ上の考慮事項があり、継続的なガバナンス、監視、および検証が必要となります。
典型的なエージェント型AIのセキュリティライフサイクルには、以下の6つのステップが含まれます：
設計とリスク評価– 展開に先立ち、エージェントの目的、信頼境界、自律レベル、およびアクセス要件を定義する。
IDおよびアクセスプロビジョニング– エージェントに、最小権限の権限、認証制御、および承認ポリシーを備えた、人間以外の専用IDを割り当てます。
導入と統合– 構成およびサプライチェーンの完全性を検証しつつ、モデル、ツール、API、メモリストア、およびエンタープライズアプリケーションとの安全な統合を実現します。
実行時の監視と行動検知– エージェントの動作、ツールの使用状況、ID関連の活動、および通信を継続的に監視し、prompt injection、目標の乗っ取り、権限の悪用、メモリポイズニング、その他の異常な動作を特定します。
インシデント対応と復旧– 不審なエージェントの活動を調査し、侵害されたIDやツールへのアクセス権を無効化し、信頼できる設定を復元し、悪意のある動作が封じ込められたことを確認します。
継続的な改善– エージェントの進化や新たな脅威の出現に伴い、ガードレールの見直し、ポリシーの更新、検知モデルの再学習、権限の見直しを行い、得られた教訓を反映させる。
2025年12月に発表された「エージェント型アプリケーション向けOWASPトップ10 2026」は、エージェント型AIシステム向けの業界標準脅威分類体系を確立する。100名以上のセキュリティ研究者の意見を取り入れ、Microsoft、NVIDIA、AWS、GoDaddyが参照するこのフレームワークは、エージェント型AIのセキュリティリスクに対する権威ある分類を提供する。
OWASP Top 10 for Agentic Applications の完全版では、以下のリスクカテゴリを特定しています：
表2: 2026年エージェント型アプリケーション向けOWASPトップ10
エージェント型AIシステムを運用するすべてのセキュリティチームは、これらのリスクカテゴリーに基づいて展開状況をマッピングし、適切な制御を実施すべきである。
Prompt injection 、エージェントが改ざんされた指示に基づいて行動してしまう可能性があるため、エージェントが関与する状況において特に危険な脅威Prompt injection 。
ダイレクトprompt injection、ユーザー入力に悪意のある命令を直接挿入する攻撃手法です。攻撃者は、エージェントの本来の命令を上書きし、新たな目的を強制するような入力を仕組む可能性があります。
間接的なprompt injection、より悪質です。攻撃者は、エージェントが取得するコンテンツに隠された命令を埋め込みます。ドキュメント、電子メール、Webページ、データベースのレコードなど、あらゆるものにペイロードが仕込まれており、エージェントがそれらを処理した際に発動します。
二次プロンプトはマルチエージェントアーキテクチャを悪用する。ServiceNow Now Assistに対する既知の攻撃では、攻撃者は初期処理エージェントには無害に見えるデータフィールドに悪意のある指示を埋め込み、より高い特権を持つエージェントに処理が渡された際に作動させた。
OpenAIは2025年12月、prompt injection アーキテクチャレベルでは完全には解決できないprompt injection 述べた。AI開発の第一人者によるこの認識は、単一の対策に依存するのではなく、多層的な防御体制が必要であることを改めて浮き彫りにしている。
78件の研究を対象としたメタ分析によると、prompt injection 成功率は85%を超えていることが判明した。安全対策を強化して設計されたClaude Opus 4.5でさえ、Anthropicによるテストでは、標的型攻撃に対して30%以上の成功率を示した。
実務上の教訓：組織はモデルレベルの防御策だけに頼ることはできない。実行時のガードレール、出力の検証、および振る舞い 、不可欠な補完手段である。間接的なprompt injection フィッシング 攻撃を大規模に可能にし、一見正当なエージェントとのやり取りを通じて、認証情報や機密データを抽出してしまう。
メモリポイズニングは、セッションをまたいで状態を維持するエージェント型システムに特有の新興脅威である。
攻撃メカニズムは、エージェントの永続メモリを虚偽または悪意のある情報で汚染することを含む。エージェントは保存されたコンテキストを権威あるものと扱うため、汚染されたメモリは繰り返し悪用を必要とせずに将来の決定に影響を与える。
ガリレオAIが2025年12月に発表した研究によると、初期のメモリ汚染から4時間以内に下流の意思決定の87%が損なわれることが実証された。この連鎖効果により、単一の汚染成功事例が数百に及ぶ後続のエージェント相互作用に影響を及ぼし得る。
2024年8月に発生したSlack AIのデータ流出インシデントは、メモリポイズニングが実際に機能することを実証しました。研究者らは、非公開のSlackチャンネルに間接的なprompt injection 埋め込みました。Slack AIアシスタントがこれらのチャンネルを処理すると、会話の要約が攻撃者が制御する宛先へと流出され始めました。これは、AIによって可能となったインサイダー脅威の一形態であり、エージェントが知らず知らずのうちにデータ窃盗の共犯者となってしまうケースです。
メモリ汚染を軽減するには、信頼ドメイン間のメモリ分離、保存されたコンテキストの整合性検証、およびメモリ侵害を示唆する異常な決定パターンを検知するための動作監視が必要です。
企業セキュリティにおいて最も急速に拡大している攻撃対象領域は、非人間的アイデンティティ（NHI）である。世界経済フォーラムの分析によれば、現代企業におけるNHIと人間のアイデンティティの比率は50:1に達し、2年以内に80:1に達すると予測されている。AIエージェントは新たなカテゴリーのNHIを構成し、専用のセキュリティガバナンスを必要とする。
業界データによると、AI関連のデータ侵害の97%は不十分なアクセス管理に起因している。2026年1月にCrowdStrikeがSGNLを7億4000万ドルで買収したことは、主要セキュリティベンダーがエージェント型AIを本質的にアイデンティティ問題と認識していることを示している。
従来の、呼び出し元ユーザーに基づいてエージェント権限を割り当てる手法は、過剰な特権の露出を引き起こす。研究タスクを実行するエージェントは、金融取引を処理するエージェントと同じアクセス権を必要としない。たとえ両方を同じユーザーが呼び出した場合でも同様である。
AIエージェントに対する効果的なNHIガバナンスには、それらを独立したライフサイクル管理を持つ第一級のアイデンティティとして扱うことが必要である。
アイデンティティのライフサイクル段階：
ガバナンス原則：
ゾンビエージェント問題は特に注意を要する。実験や概念実証のために起動されたエージェントは、プロジェクト終了後も稼働し続けることが多い。これらのエージェントはアクセス権を維持し、リソースを消費し、所有者や監視なしに攻撃対象領域を拡大する。正式な廃止手続きは、あらゆるエージェント展開ライフサイクルに組み込まれる必要がある。
エージェント型AIに対する脅威の状況は、理論的な段階から運用段階へと移行した。主要な企業向けプラットフォームにおいて、CVSSスコアが9.0を超える重大な脆弱性が発見され、そのうちのいくつかは実際に悪用されている。
表3：主体性を持つAIシステムにおける重大な脆弱性（2025-2026年）
ServiceNow ボディスナッチャー (CVE-2025-12420)
ServiceNowのAIプラットフォームで発見されたBodySnatcher脆弱性により、認証されていない攻撃者はメールアドレスのみを使用して管理者を含む任意のユーザーをなりすますことが可能でした。この攻撃手法はハードコードされた認証シークレットと緩いアカウント連携機能を利用し、MFA（多要素認証）とSSO（シングルサインオン）を迂回。攻撃者がAIワークフローを実行し、昇格された権限を持つバックドアアカウントを作成することを可能にしました。影響を受けるVirtual Agent APIバージョンを運用中の組織は、直ちにパッチ適用状況を確認すべきです。
Langflow脆弱性連鎖 (CVE-2025-34291)
人気のあるオープンソースAIエージェントフレームワーク「Langflow」には、完全なアカウント乗っ取りとリモートコード実行を可能にする重大な脆弱性連鎖が存在した。過度に寛容なCORS設定と、CSRF保護の欠如、安全でないコード検証エンドポイントが組み合わさり、攻撃経路を形成した。保存されたすべてのアクセストークンとAPIキーが漏洩し、統合された下流サービス全体にわたる連鎖的な侵害を可能にした。Flodricボットネットはこの脆弱性を積極的に悪用している。
Microsoft Copilot EchoLeak (CVE-2025-32711)
EchoLeak脆弱性は、AIエージェントに対する初の記録されたゼロクリック攻撃である。攻撃者はWord、PowerPoint、Outlook文書内の隠しテキスト、スピーカーノート、メタデータ、またはコメントに悪意のあるプロンプトを埋め込む。被害者がCopilotとやり取りする際、電子メール、OneDriveファイル、SharePointコンテンツ、Teamsメッセージを含む機密組織データが、ユーザーの認識や操作なしに画像URLパラメータ経由で流出する。
初のAIが指揮したサイバー攻撃
2025年9月、Anthropicは、人間の介入をほとんど受けずに実行された初の記録された大規模サイバー攻撃をAIエージェントが引き起こしたことを公表した。中国政府が支援するグループがClaude Codeを操作し、金融サービス、政府、重要インフラ分野の約30の組織を対象に偵察活動、標的選定、侵入試行を行った。
ファントムレイヴン・サプライチェーン攻撃
Koi Securityは、新たな「リモート動的依存関係」技術を用いて126の悪意あるnpmパッケージを発見した。これらのパッケージはレジストリ上では空で無害に見えたが、インストール後に攻撃者サーバーから悪意あるペイロードを取得した。スロープスクワッティングと呼ばれる手法でAIが生成した架空の名前を使用し、検知されるまでに86,000回以上ダウンロードされ、npmトークン、クラウド認証情報、SSHキーを漏洩させた。
これらのインシデントには、AIエージェントの攻撃ベクトルを特に考慮した強固なインシデント対応能力が求められます。セキュリティチームは、エージェント固有の調査手順を含めるようプレイブックを更新すべきです。
MITスローン・スリー・エッセンシャルズ・フレームワークは、主体的なAIセキュリティに対する体系的なアプローチを提供する。組織は包括的な脅威モデリング、継続的なセキュリティテスト、および連携して機能する実行時保護を実装しなければならない。
セキュリティ責任者のわずか21％が、AIエージェントの運用状況を完全に把握していると報告している。定期的なAIセキュリティテストを実施しているのは40％未満である。この可視性のギャップはリスクであると同時に、脅威検知能力の向上を通じて組織を差別化するセキュリティチームにとっての機会でもある。
制御をアーキテクチャの複雑さに適合させることで、正当な運用を妨げることなく、比例した保護を確保する。
スコープ1（低接続性、低自律性）：
スコープ2（高接続性、低自律性）：
スコープ3（低接続性、高自律性）：
スコープ4（高接続性、高自律性）：
階層化されたランタイム保護は、エージェント動作の各段階で脅威に対処します。
入力層の保護:
アクションレイヤー保護:
出力層の保護:
ベンダーソリューションには、NVIDIA NeMo Guardrails、F5、Straikerなどによる商用実装が含まれます。組織はまた、特定の要件に適したオープンソースフレームワークを使用してカスタムガードレールを構築することも可能です。
プロンプトのフィルタリング、実行時のガードレール、承認ワークフローなどの予防的対策により、AIエージェントの悪用リスクは低減されますが、すべての攻撃を阻止できるわけではありません。Prompt injection、ツールの侵害、認証情報の盗難、メモリポイズニング、IDの悪用などにより、自律型エージェントはデプロイ後に予期せぬ動作や不正な動作を行う可能性があります。
行動検知は、AIエージェントがID、API、エンタープライズアプリケーション、クラウドサービス、および他のAIエージェントとどのようにやり取りしているかを継続的に監視することで、予防的な制御を補完します。行動分析では、プロンプトや出力を個別に評価するのではなく、エージェントの想定される活動のベースラインを確立し、目標の乗っ取り、不正なツールの使用、過度な権限の行使、データの持ち出し、またはラテラルムーブメントを示唆する可能性のある逸脱を特定します。
組織が自律型エージェントをますます多く導入するにつれ、継続的な行動監視はエージェント型AIセキュリティの基盤となる要素となっています。実行時のガードレール、IDガバナンス、最小権限アクセスと組み合わせることで、行動検知により、セキュリティチームは侵害されたエージェントを特定し、不審な活動を調査し、脅威が企業システムに影響を及ぼす前に封じ込めることが可能になります。
セキュリティチームは、エージェント型AIの導入を拡大する前に、これらの基盤となる制御を検証すべきである：
自律型AIエージェント、ID、ツール、および機密性の高い企業システムへのアクセスによって生じる新たなリスクに対し、セキュリティチームがどのように対処すべきかをご覧ください。
組織は、自律型AIのセキュリティ対策が規制要件や業界標準に準拠していることを確認しなければならない。2025年末には、自律型AIシステムに特化した主要なリリースにより、フレームワーク環境が大きく進化した。
表4：自律型AIの規制状況（2026年1月時点）
NISTサイバーAIプロファイル（2025年12月暫定草案）は、AIセキュリティの重点領域を「ガバナンス」「識別」「保護」「検知」「対応」「復旧」を含むサイバーセキュリティフレームワーク2.0の機能にマッピングする。非規制的ながら、この枠組みはAIセキュリティガバナンスの事実上の標準となることが期待されている。
さらにNISTは2026年1月、AIエージェントシステムのセキュリティ上の考慮事項に関する意見を求める情報提供要請（RFI）を発表し、特に実世界のシステムに影響を及ぼすprompt injection、データポイズニング、および目標の不整合といった問題に焦点を当てた。
主要な枠組みの参照:
組織は、特に運用上の具体性を提供するOWASPおよびMITREのガイダンスを含むこれらのフレームワークを組み込むよう、コンプライアンスプログラムを調整すべきである。
エージェント型AIセキュリティのベンダー環境は急速に拡大しており、既存プラットフォームと専門スタートアップ双方がソリューションを提供している。組織がエージェントセキュリティの本質がアイデンティティ脅威の検知とレスポンス課題であると認識するにつれ、アイデンティティファーストのアプローチが特に勢いを増している。
主要なエンタープライズベンダー各社、具体的にはPalo Alto NetworksのCortex AgentiX、CrowdStrikeのFalcon Agentic Security、SentinelOneのSingularity AI SIEMが、専用のエージェント型AIセキュリティ機能を投入している。CrowdStrikeによるSGNLの7億4000万ドルでの買収は、特に人間、非人間アイデンティティ、自律型AIエージェントに対するリアルタイムアクセス制御を標的としている。
ブラウザレベルのセキュリティアーキテクチャも制御ポイントとして台頭している。Google Chromeは2025年12月、Geminiエージェント型ブラウジング向けに多層防御アーキテクチャを導入した。その特徴は、ユーザー整合性評価機能（提案された行動を検証する隔離されたAIモデル）、エージェント起源セット（タスク関連サイトへの相互作用制限）、および機微な行動に対する必須のユーザー確認である。
スタートアップエコシステムは多額の投資を集めている。WitnessAIはエージェント型AIガバナンスと可観測性技術で5800万ドルを調達した。Geordieはステルスモードから脱却し、AIエージェントセキュリティプラットフォームで650万ドルを獲得。Prophet Securityはエージェント型SOCプラットフォームで3000万ドルを調達した。
セキュリティ運用にエージェント型AIを導入した組織は、大幅な効率向上を報告している。業界データによれば、エージェント型AIが初期調査と情報補完を担当することでアラート選別時間が60%短縮され、人間のアナリストは複雑な意思決定に集中できるようになった。
Vectra AI は、AI エージェントが企業ネットワーク全体に増加すると、潜在的な攻撃ベクトルになるだけでなく、保護を必要とする貴重な資産にもなることを認識し、Attack Signal Intelligence の観点からエージェント AI セキュリティに取り組んでいます。
仮定と妥協の哲学は、エージェントシステムにも自然に適用される。組織は境界制御のみによるエージェントの悪用防止を試みるのではなく、異常なエージェント行動、不正なツール起動、およびID悪用パターンの迅速な検知に注力しなければならない。
これには、AIエージェントの通信、ツール呼び出し、アイデンティティ操作を含む現代的な攻撃対象領域全体にわたる統一された可観測性が求められる。ネットワーク検知とレスポンス能力は、正当な自律操作と攻撃者による操作を区別できるよう進化しなければならない。ITDRソリューションは、非人間的なアイデンティティやエージェント固有の特権乱用パターンまでカバーするように拡張する必要がある。
目標はAIの導入を阻むことではなく、大規模な安全な展開を可能にすることであり、セキュリティチームが自律的な環境で自信を持って運用するために必要な可視性とシグナルの明確さを提供することである。
エージェント型AIセキュリティとは、自律的に計画・行動・意思決定を行うAIエージェントを保護する分野である。従来のAIセキュリティがモデルの完全性に焦点を当てていたのに対し、エージェント型AIセキュリティは、AIシステムが独立してツールにアクセスし、外部と通信し、現実世界に影響を及ぼす行動を取れるようになった際に生じる攻撃対象領域の拡大に対処する。この分野は、自律システムに特化した脅威モデリング、実行時保護メカニズム、AIエージェントのアイデンティティガバナンス、侵害や操作を示唆する可能性のある異常なエージェント行動の検知などを包含する。
2026年版エージェント型アプリケーション向けOWASPトップ10では、最も重大なリスクとしてエージェント目標乗っ取り（ASI01）、ツール悪用（ASI02）、IDと特権の悪用（ASI03）、メモリ汚染（ASI04）、サプライチェーン脆弱性（ASI06）を特定している。 これらのリスクは、エージェントが機密データへのアクセス権限と信頼できないコンテンツへの露出、外部通信能力という「致命的な三要素」を併せ持つ場合に増幅する。現実世界におけるこれらのリスクの悪用は、主要なエンタープライズプラットフォームにおいてCVSSスコア9.0を超える重大なCVEを生じさせている。
生成AIは、テキスト、画像、コードなどのコンテンツを生成しますが、通常はリクエスト・レスポンスのパターンで動作し、各やり取りには人間の監督が必要です。 エージェント型AIは、多段階のタスクを自律的に計画・実行し、ツールを使用して外部システムとやり取りし、セッションを超えて記憶を維持し、人間の介入なしに現実世界での行動をとることができます。この自律性は、prompt injection にとどまらずprompt injection ツールの悪用、目標の乗っ取り、IDの悪用prompt injection セキュリティリスクを生み出します。生成AIのセキュリティが主に出力の安全性に焦点を当てているのに対し、エージェント型AIのセキュリティはエージェントのエコシステム全体に対処する必要があります。
サイモン・ウィリソンによって造語され、マーティン・ファウラーによって詳述された「致命的な 3 つの要素」は、同時に存在すると深刻な複合リスクを生み出す 3 つの要素を表しています。 1 つ目は、認証情報、トークン、機密文書などの機密データへのアクセスです。2 つ目は、Web ページ、電子メール、ユーザー入力、外部 API からの信頼できないコンテンツへの露出です。3 つ目は、電子メール、メッセージング、API 呼び出しによる外部との通信能力です。セキュリティチームは、これらの基準に対して各エージェントのデプロイメントを評価し、その組み合わせによって生じるリスクプロファイルに見合った制御を実施する必要があります。
エージェントの動作の各段階に対応する階層化されたランタイムガードレールを実装します。入力層では、プロンプトインジェクション分類器とコンテンツフィルタリングを導入し、悪意のある命令を検出して削除します。アクション層では、ツールのホワイトリスト、スコープ制約、レート制限を実装し、不正なアクションや過剰なアクションを防止します。出力層では、PII検知、機密データのマスキング、レスポンス検証を使用します。自律性を拡張する前に可観測性ツールを導入し、取り消し不可能なアクションについては人間の承認を維持し、エージェント監視を既存のSOCワークフローに統合します。自律性の低い導入から開始し、セキュリティの成熟度を実証してから段階的に進めます。
非人間アイデンティティ（NHI）とは、人間のユーザーではなくAIエージェント、サービスアカウント、ボット、自動化プロセスに割り当てられるデジタルアイデンティティである。現代の企業ではNHIと人間の比率が50:1に達しており、AIエージェントは専用のセキュリティガバナンスを必要とする急成長中のNHIカテゴリーを構成している。 効果的なガバナンスには、AIエージェントを単なるユーザー権限の継承や常時特権の維持ではなく、独立したライフサイクル管理、最小権限アクセス、ジャストインタイム認証、継続的な振る舞い 備えた第一級のアイデンティティとして扱うことが必要です。
主要なフレームワークには、2026年版エージェント型アプリケーション向けOWASPトップ10（2025年12月発表）、2025年10月に14の新規エージェント特化型手法を追加したMITRE ATLAS、2025年12月発表のNISTサイバーAIプロファイル草案、初のAIマネジメントシステム認証規格であるISO/IEC 42001:2023が含まれる。 規制要件には、高リスクAI分類に関するEU AI法、大規模AI開発者にリスク管理フレームワークを義務付ける2026年1月施行のカリフォルニア州法案SB 53、有害なAI出力を禁止するテキサス州TRAIGAが含まれる。組織は包括的なコンプライアンスプログラムの一環として、エージェント型AIセキュリティ管理策をこれらのフレームワークにマッピングすべきである。
