AIエージェントセキュリティ: スタック内での位置づけ

AIエージェントセキュリティとは何か?

AIエージェントセキュリティとは、AIエージェントがアクセスおよび実行できることを制限し、乗っ取られた場合にそれを停止するための一連のコントロールです。これは、モデル、エージェントが呼び出すツールとMCPサーバー、エージェントが使用するID、および実行されるホストを対象とします。

MITRE ATT&CKのCampaign C0062は、Claude CodeエージェントとMCPツールを使用して、約30の組織に対して偵察、悪用、認証情報の窃取、データ流出を行った、中国との関連が疑われるスパイ活動アクターを記録していますが、人の関与は最小限でした。開発者がコーディングエージェントを実行している場合や、チームがSalesforceにエージェントを組み込んでいる場合、これらのコントロールによって、乗っ取られたエージェントがどこまで到達できるかが決まります。適切に実装すれば、その行動範囲はすぐに尽きます。

AIエージェントセキュリティの主なリスクは何か?

AIエージェントセキュリティの主なリスクは、目標の乗っ取り、ツールの悪用、IDと権限の悪用、 サプライチェーン侵害、および不正エージェントであり、これらはすべて OWASP Top 10 for Agentic Applications 2026の項目です。

EchoLeak (ASI01) は、クリックが一度もなくても目標の乗っ取りが起こり得ることを示しています: National Vulnerability Database (NVD) record の CVE-2025-32711 には、ユーザー操作を必要とせずに、認可されていない攻撃者がネットワーク経由でエンタープライズAIアシスタントから情報を漏えいさせることを可能にしたAIコマンドインジェクションが記載されています。このアシスタントは機密データを保持し、信頼できないコンテンツを読み取り、外部へデータを送信できました。これらの機能のいずれか1つでも取り除けば、情報流出の経路は閉じられます。

Salesloft Drift侵害では、大規模なアイデンティティおよび権限の悪用 (ASI03) の一例として、FBIはUNC6395がSalesloftの侵害されたOAuthトークンを使用して Drift application を通じて被害者のSalesforceインスタンスに到達し、データを流出させたと報告しました。Financial Industry Regulatory Authority (FINRA) は、この侵害が 700を超える組織 に影響したことを確認しており、盗まれたトークンにより攻撃者はSalesforceおよびGoogle Workspace内でDriftになりすますことができました。

SaaSアプリへのOAuthトークンを保持するあらゆるエージェントは、攻撃者が使用したのが盗まれたトークンであり、prompt injection ではなかったため、同じ露出に直面します。この違いによって、AIエージェントのセキュリティスタックのどこに強制可能な制御を配置するかが決まります。

AIエージェントスタックのどこにセキュリティは属するのか?

セキュリティは、AIエージェントのセキュリティスタック全体にわたる2種類の制御に属します: 行動制御はエージェントが何を試みるかを形作り、インフラ制御はエージェントが何をできるかを強制します。行動ガイダンスが失敗したときにも維持される境界として、インフラ層を構築してください。

ルールはすべての層で同じです: その制御は、エージェント自身の認証情報を使った場合であっても、エージェントが到達または書き換えできない場所に存在していなければなりません。

NISTの agentic identity は、1つのレイヤーだけでは負荷を担えない理由を説明しています。モデルのみのガードレールは、エージェント型セキュリティの課題にまだ対応できておらず、目標を追求するエージェントは複数の経路を探索し、想定外のツールやデータに到達したり、孤立した認証情報を見つけて権限を昇格させたりする可能性があります。

行動制御はエージェントが試みることを導く

行動制御は、エージェントが有害なことを試みる頻度を減らします。選択肢には、強化されたシステムプロンプト、 プロンプトインジェクションフィルタリング を取り込み境界で行うこと、高影響アクションに対する承認ゲート、そして文書化されたガバナンスポリシーが含まれます。モデルは命令とデータを1つのトークンストリームとして読み取るため、これらでは安全な動作を保証できません。 

MITRE ATLASの OpenClaw investigation は、ゲートが欠如していることの代償を示しています。認証情報の使用や外部へのデータ送信を含む破壊的な操作に、古く信頼できないメモリがエージェントに影響を与えた場合でも承認は必要ありませんでした。これらのアクションには人による承認を維持してください。ただし、承認者のアイデンティティをエージェントのアイデンティティに結び付ける必要があります。これは、National Cybersecurity Center of Excellence (NCCoE) concept paper が提起している未解決の問題です。

インフラストラクチャ制御はエージェントができることを決定する

インフラストラクチャ制御は、AIエージェントインフラストラクチャスタック全体にわたるエージェントの実際の到達範囲を設定します。各エージェントに一意の 非人間アイデンティティ を、短命でスコープが限定された認証情報とともに付与してください。許可リストに登録されたツールとAPIのみに制限します。これを サンドボックス化された実行 に閉じ込め、デフォルト拒否のアウトバウンドネットワークを適用します。MCPサーバーにはトークンの対象者を検証することを要求し、署名付きでアイデンティティに関連付けられたアクションログを保持してください。完全に乗っ取られたエージェントであっても、これらの制限を超えることはできません。

NISTのドラフトCyber AI Profile、 NIST IR 8596 は、チームに次のアイデンティティルールを示しています。「各AIエージェントに一意のアイデンティティと認証情報を割り当て、特権ユーザーと同じセキュリティ予防措置で扱うこと。」 NIST IR 8587 は、エージェントが署名付きトークンを使用してシステム、データ、ツール、またはAPIにアクセスする場合は常に、そのトークン保護ガイダンスを適用します。

ツールレイヤーでは、 MCP security は、 MCP authorization spec から始まります。これは、すべてのMCPサーバーが、アクセス トークンが意図された対象者としてそのサーバー専用に発行されたことを検証するよう要求しています。その確認を省略すると、仕様のセキュリティ要件が対象とするconfused deputy攻撃にサーバーがさらされます。

承認ゲートも同様に改ざんから保護する必要があります: CVE-2026-25253 では、OpenClaw investigationに記録されているように、エージェントのローカルゲートウェイに対するクロスサイトリクエストフォージェリにより、ユーザー確認を無効にする設定変更が発生しました。承認ゲートがインフラストラクチャとして機能するのは、エージェントと、それを乗っ取った者のいずれも、そのスイッチに到達できない場合に限られます。AIエージェントを個別にどのように保護するかを決める前に、これらの境界をAIエージェントアーキテクチャにマッピングしてください。各エージェントは、接触するレイヤーの中で最も弱い境界を継承します。

AIエージェントをどのように保護するか？

AIエージェントを保護するには、それらをインベントリ化し、各アイデンティティのスコープを定義し、 許可リスト化 されたツールを使用し、実行をサンドボックス化し、アクションをログに記録し、不可逆的なステップにゲートを設けます。これらのAI agent security best practices は、CISAの May 2026 guidance と整合しています。これは、Australian Signals DirectorateのAustralian Cyber Security Centre (ASD’s ACSC) および国際的なパートナーとともに作成されたもので、「低リスクかつ非機微なagentic AIのユースケースから始めること」および「特に機微データや重要システムに対して、広範または無制限のアクセスを付与しないこと」としています。

1. インベントリ化と識別: ローカルにデプロイされたエージェントやITレビューの対象外にあるエージェントは、中央のアイデンティティリポジトリにほとんど現れないため、まず検出から始めてください。内部サービスへのアクセスを許可するMCP設定ファイルを持つ開発者ワークステーションも含め、その後、短命でスコープが限定されたトークンを用いて、エージェントごとに1つのアイデンティティをプロビジョニングします。
2. 実行を制限する: 必要なツールとAPIを許可リスト化し、本番環境の前に不要な機能を削除し、実行をサンドボックス化し、外向き通信をデフォルト拒否にし、セッションに対してのみ認証情報を注入します。
3. アクションを記録してゲートを設ける: 書き込みアクセスを付与する前に、プロンプト、取得されたコンテキスト、ツール呼び出し、および出力について、署名付きでアイデンティティに関連付けられたログを有効にしてください。破壊的または不可逆的なアクションには明示的な確認を要求し、段階的または取り消し可能な削除を使用します。
4. スコープを拡大する前にリプレイする: 隔離された本番クローンで記録済みアクションを再実行し、最初の3つのステップが整い、かつリプレイがblast-radiusの上限内に収まる場合にのみ、エージェントの権限を引き上げてください。

すべてのエージェントがこれらの制御を最大強度で必要とするわけではありません。適切な深さは、各エージェントが保持する権限によって異なります。

各エージェントの権限に合わせて制御を調整する

制御の深さを、各アクションクラスが持つ権限に合わせてください。AWSのAgentic AI Security Scoping Matrixは、Cloud Security Alliance (CSA) extended it が2025年12月に拡張したように、エージェントを行為能力と自律性で分類します。

CSAの拡張では、各エージェントを権限レベルとリスク露出に基づいて、読み取り専用かつ低リスクから読み書き可能かつ高リスクまで採点します。自律的に動作する読み取り専用エージェントは、承認を必要とする書き込み可能エージェントとは異なるリスクを伴います。 

このモデルをAIエージェントアーキテクチャ全体の各アクションクラスに適用し、エージェントがログを独立して読み取れる一方で、書き込み、送信、支出、削除はすべて人間を待つようにします。封じ込めは、侵害されたエージェントが正確に何に到達できるかを把握していることに依存するため、各エージェントのスコープを今すぐ記録してください。

侵害されたAIエージェントをどのように検出し、封じ込めますか?

侵害されたエージェントは、セマンティック、インフラストラクチャ、アイデンティティの各指標を通じて検出し、その後、証拠を保全する順序で封じ込めます。取得前にpodを停止すると、残りのチェーンが失われます。

セマンティック指標には、元のリクエストとツール呼び出しパラメータの不一致、または宣言されたツール呼び出しと実際に実行された内容の不一致が含まれます。要約タスクがアウトバウンド呼び出しで終了することも、別の指標です。インフラストラクチャ指標は、AIエージェントのインフラストラクチャスタックに由来します。推論コンテナがシェルを生成する、パッケージをインストールする、見慣れないパスに書き込む、または予期しないアウトバウンド接続を開くことなどです。アイデンティティ指標には、承認された系統外で発行された認証情報、別のコネクタを介して再試行されたブロック済みの呼び出し、無効化されたロギング、または一括で到着する承認が含まれます。

インジケーターが発報したら、 インシデント対応フェーズ を次の順序で実行します:

1. 凍結して取得: エージェントの権限を取り消し、実行を同時に停止します。停止する前に、タイムスタンプ付きのプロンプト履歴、来歴付きの取得コンテキスト、ツール呼び出しシーケンス、アイデンティティの前提、下流エージェントの呼び出し、および大規模言語モデル (LLM)の出力トレースを取得します。カーネルレベルの取得は継続して実行してください。
2. 取り消して隔離: 同時セッションとMCP接続は同時に遮断する必要があるため、アイデンティティ全体のトークン、APIキー、証明書を取り消します。ホスト、コンテナ、またはワークロードを隔離し、アイデンティティグラフを通じて影響範囲を特定します。 
3. 信頼を隔離: アイデンティティ記録を保持したまま、エージェントのツールおよびプロトコルへのアクセスを削除します。そのエージェントとの信頼関係を保持する下流システムに通知します。
4. 根絶して再プロビジョニング:既知の正常なモデルバージョンと構成を復元し、失敗した境界を修正し、環境がクリーンであることを確認した後にのみ新しい認証情報を発行します。重大度の高いケースでは人間による検証を必須にします。

必要になる前に封じ込めを演習してください: CSA CISO Communityの 緊急ガイダンス では、第三者を攻撃する不正エージェントを含む、エージェント型AIのテーブルトップ演習を推奨しています。各ステップを以下のフレームワークのいずれかに対応付けることで、エージェントインシデントが毎回同じ方法で処理されるようにします。

どのAIエージェントセキュリティフレームワークが適用されますか?

各フレームワークを、それが答える問いに対応付けてください。OWASP Top 10 for Agentic Applications 2026は何が問題になり得るかを示し、MITRE ATLASは攻撃者がそれをどのように行うかを示し、CSA MAESTROは脅威モデルを構造化し、NIST IR 8596とIR 8587はアイデンティティとトークンのルールを定め、CISAの2026年5月のガイダンスは導入リスクの範囲を定義します。コンプライアンスプログラム内でエージェント型AIを保護するために、ISO/IEC 42001とEU AI Actがガバナンスの枠組みを提供します。

OWASP Top 10 for Agentic ApplicationsとAgent Control Standard

2025年12月9日に公開されたOWASP Top 10 for Agentic Applications 2026は、セキュリティエンジニアリングチームとAIプラットフォームチームに対して、先にマッピングした10のエージェントリスクについて、目標ハイジャックから不正エージェントまでの共通語彙を提供します。2026年9月には、OWASP GenAI Security Projectが Agent Control Standardを追加し、このガイダンスをランタイム強制へと拡張しました。

MITRE ATLAS

MITRE ATLAS (Adversarial Threat Landscape for Artificial-Intelligence Systems) は、AIシステムに対する敵対者の戦術、技法、ケーススタディのナレッジベースであり、ATT&CKのように構造化され、現在ではAI agent context poisoningやagent toolsを介したcredential harvestingなど、エージェント固有の技法も対象としています。脅威ハンターはこれを使用して、エージェントインシデントを名前付き技法にマッピングします。MITREは毎月コンテンツリリースを公開しており、2026年9月時点ではv2026.09が最新です。

CSA MAESTROとAI Controls Matrix

2025年2月6日にCloud Security Allianceが公開した、 CSA MAESTRO は、基盤モデルからエージェントエコシステムまで、エージェントシステムを7つのレイヤーに分解する、agentic AI向けに構築された脅威モデリングフレームワークです。セキュリティアーキテクトはこれを AI Controls Matrix v1.1と組み合わせます。これは2026年6月22日に公開され、ガバナンス、リスク、コンプライアンス（GRC）マッピングのために、18のドメインにまたがる247の管理目標を提供します。

NIST IR 8596 and IR 8587

NISTのエージェントガイダンスはアイデンティティとトークンを中心としており、この2つの文書は異なる段階にあります。上記のアイデンティティルールの基盤となるCyber AI ProfileであるIR 8596は、2025年12月時点で初期予備ドラフトのままです。トークン保護に関するIR 8587は2026年9月に最終版となりました。NCCoEは、IR 8587をNIST SP 800-207およびSP 800-63-4と併用する、エージェントのアイデンティティおよび認可プロジェクトを提案しています。

CISA Agentic AI Guidance

2026年5月1日にASDのACSCおよびその他のパートナーとともに公開されたCISAのCareful Adoption of Agentic Artificial Intelligence (AI) Servicesガイドは、開発者、ベンダー、運用担当者に対して、agenticシステム導入のベストプラクティスを提供します。このガイドでは、権限の肥大化、行動の不整合、不明瞭なイベント記録を、agenticシステムが追加するリスクとして挙げており、組織に対して、セキュリティモデルとリスク態勢においてagentic AIを考慮するよう求めています。

ISO/IEC 42001

ISO/IEC 42001 は、2023年12月に初めて公開された、認証可能なAIマネジメントシステムの標準であり、GRCチームとCISOに対して、エージェントプログラムが運用されるガバナンス構造を提供します。エージェント固有の管理策は含まれていないため、上記の技術フレームワークのいずれかと組み合わせてください。

EU AI Act

The EU AI Act（Regulation (EU) 2024/1689）は、対象となるAIシステムのプロバイダーおよび導入者に対して義務付けられていますが、AIエージェントのカテゴリは定義していません。エージェントは、この法律の下ではAIシステムとして扱われます。2026年のDigital Omnibusにより、スタンドアロンシステムに対する高リスク義務は2027年12月2日に移されました。管理策のベースラインとしてAIエージェントセキュリティフレームワークを1つ選び、この法律の義務をそこにマッピングし、さらにその両方を、プロンプト、アイデンティティ、クラウド資産、調査、対応を管理するツールに結び付けてください。

SentinelOneでAIエージェントを保護

エージェントはマシンスピードで動作します。それを取り巻く管理策も、エージェントが到達できない場所から、それに歩調を合わせる必要があります。SentinelOne Prompt Security はエージェント、MCPサーバー、プロンプトを統制し、Singularity™ Identityは実行時に認証情報の窃取と権限昇格を阻止します。Singularity Endpointはエージェントが実行されるホストを保護し、Purple AI with Singularity Hyperautomationは調査と対応を加速します。

Prompt Securityは、MCP Gateway、ブラウザー拡張機能、セキュリティプラグイン、API連携を通じて、お客様の環境内のすべてのAIエージェントとMCPサーバーを検出し、その後、各エージェントが接触するすべてのコネクタ、ツール、プラグインをマッピングします。各エージェントとMCPサーバーのリスクをスコアリングし、ジェイルブレイクの試行を防御し、エージェントがアクセスおよび実行できる内容にポリシーを適用し、すべてのセッション、アクション、ツールについて、検索可能でタイムスタンプ付きのログを保持します。 Singularity Identity はラテラルムーブメントを阻止し、侵害されたアイデンティティを無効化する修復を自動化し、Entra ID、Okta、Ping、Duo、SecureAuthを含むActive Directoryおよびクラウドアイデンティティプロバイダー全体で、脆弱、露出、または侵害された認証情報を継続的にスキャンします。

Singularity Endpoint は、コーディングエージェントやデスクトップエージェントが実行されるワークステーションおよびクラウドワークロードにBehavioral AIを適用します。オンラインでもオフラインでも、ファイルレスマルウェア、サプライチェーン攻撃、ゼロデイエクスプロイトをリアルタイムで阻止します。手動の隔離ステップを待つことなく、侵害されたホストを自律的に封じ込めることができ、1-Click rollbackは不正な変更を元に戻します。 Singularity Cloud Security のAI Security Posture Managementは、クラウドアカウント内のAIパイプラインとモデルを検出します。

Purple AI™ Agentic Investigationはアラート分析を実行し、証拠を提示し、セキュリティオペレーションセンター（SOC）に次に何をすべきかを伝えます。IDCのBusiness Value調査では、顧客が 脅威を63%速く特定し、55%速く修復したことが分かりました。 Singularity Hyperautomation はSingularity Platformに組み込まれており、上記の封じ込めステップを含むノーコードの対応ワークフローを実行します。

SentinelOneのデモをリクエスト して、チームがすべてのAIエージェントに越えられない境界をどのように与えられるかをご確認ください。

AIを活用したサイバーセキュリティの実現

リアルタイムの検知、マシンスピードのレスポンス、デジタル環境全体の可視化により、セキュリティ態勢を強化します。

デモを見る

結論

すべてのAIエージェントセキュリティ管理策は、1つのルールに従います。つまり、たとえエージェント自身の認証情報を使ったとしても、エージェントが到達または書き換えできない場所に存在しなければならないということです。行動ベースの管理策は、エージェントが有害なことを試みる頻度を減らします。インフラストラクチャ管理策は、乗っ取られたエージェントが実行できることに対して厳格な上限を設定します。まずはインベントリから始めてください。存在を把握していないエージェントは、スコープ設定、制御、封じ込めができないためです。

そこから、各エージェントの管理策をそのエージェントが持つ権限に対応付け、封じ込めが必要になる前にそのスコープを記録し、インシデントによって対応を強いられる前に対応手順を演習してください。フレームワークはすでにリスクを明示しており、それを封じ込める管理策もすでに存在します。今すぐ境界を構築すれば、侵害されたエージェントは、チームが事前に設定した制限に突き当たります。