AIエージェントはより賢くなり、攻撃可能な表面も拡大している

AIエージェントがミーティングを予約したり、コードを実行したり、ウェブを閲覧したりするようになった瞬間、サイバーセキュリティの話は一変した。ゆっくりではなく、突然だった。

以前は、制御された、予測可能なソフトウェアシステムだったものが、道具やAPIを越えて、理由を付けて、計画を立てて、行動を起こすものになった。1年前にはほとんど存在しなかった道具やAPIを使用するようになった。

それは本当に興奮するものであり、同時に恐ろしいものでもある。なぜなら、その自律性に伴う攻撃可能な表面は巨大であり、ほとんどの組織はまだそれが何を意味するのかを理解し始めているに過ぎないからだ。インフラストラクチャーにエージェントを導入することの意味を理解することである。

チャットボットからオペレーターへ

AIの元々の約束はシンプルだった。質問をして、答えを得る。消費者とのやり取りではまだその通りだが、企業での展開ではもうそうではない。今日のエージェントは資格情報、APIキー、データを削除、作成、注釈を付けることができ、またシステム内で実際の行動を起こすことができる。

変化は急激だった。2年未満で、AIエージェントはテキスト生成から、スムーズな、マルチエージェントのセットアップを実行するものになった。彼らは電子メールを読み、ワークフローをトリガーし、データベースを照会し、場合によっては他のエージェントを管理している。そんなアクセス権は以前、長い調達プロセスと人間の介入が必要だった。現在は設定ファイルと数回のAPIコールで実現可能だ。

より多くのアクセス権はより多くの露出を意味する

従来のソフトウェア攻撃にはある程度予測可能なプロファイルがある。入力点、脆弱性、パッチが存在する。AIエージェントはこのモデルを破壊する。彼らはデザインによってダイナミックである。静的なコードパスに従わない。次に何をするかについて推論するので、行動は予測が難しく、事後に監査が難しい。

その予測不可能性は作業を完了するのに役立つ。同時に、システムを利用しようとする者にとっても有利である。エージェントがタスクの途中で外部APIを呼び出したり、第三者ツールを呼び出したりすることができる場合、防御するための明確な境界がない。

セキュリティチームは既知の表面を保護し、Kubernetesのコストを監視することに慣れている。エージェントは新しい表面や脆弱性を発見し続け、誰もそれらをリアルタイムでマッピングしていない。気が付く前に、誰かが資格情報を乗っ取り、あなたのAI「生物」全体を一手で制御できるようになる。

Prompt Injection Is the New SQL Injection

セキュリティ研究者が繰り返し言及する攻撃ベクトルがある。プロンプトインジェクションである。アイデアはシンプルだ。コードの脆弱性を利用するのではなく、エージェントが受け取る指令を操作する。悪意のある指令が埋め込まれたウェブページ、文書、または電子メールが、エージェントの次の行動を変更できる。

これが特に鋭いのは、エージェントが正確に言われたことを実行しているからだ。彼らはウェブ、ユーザーメッセージ、第三者ツールからのコンテンツを処理している。どのコンテンツも潜在的なインジェクション表面である。コンテンツを読み込んでからAPIコールを実行するエージェントは乗っ取られ、それが起こったことはログに残らないだろう。

防御策はあるが、不完全だ。エージェントの行動をサンドボックス化し、特定の状況でエージェントが呼び出せるツールを制限し、高リスクのワークフローに人間のチェックポイントを組み込むことはリスクを軽減する。だが、それを完全に排除するわけではない。多くの組織はまだ基本的な対策を実施していない。

マルチエージェントシステム内の信頼問題

マルチエージェントシステムは、軽視しやすい複雑さを導入する。1つのエージェントが他の複数のエージェントをオーケストレートする場合、信頼の階層が存在する。オーケストレーターが指令を下し、サブエージェントがそれに従う。もしオーケストレーターが乗っ取られた場合、その下にあるすべてのエージェントも実質的に乗っ取られたことになり、被害の範囲は急速に広がる。

また、過度な権限付与の問題もある。エージェントに必要以上のアクセス権が与えられることが多い。最初から権限を絞り込むよりも、幅広い権限を与えておく方が簡単だからだ。研究用エージェントには、プロダクションデータベースへの書き込み権限は必要ない。スケジューリングエージェントには、財務記録へのアクセス権は必要ない。確かに、すべてを統合することは安心感があるが、リスクが減るどころか、むしろ増える。

ここでの妥当なセキュリティとは

エージェントの展開を安全にするための単一の解決策はない。レイヤードな問題であり、レイヤードな対応が必要だ。セキュリティをうまくしている組織は、通常、アクセス制御から始める。各エージェントに明確で狭いスコープを与え、外部サービスや機密システムに触れるアクションにレビュー段階を組み込む。

可視化も予防と同等に重要だ。エージェントが予期せぬ行動をした場合、チームは、エージェントが受けた指令、呼び出したツール、返したものの完全な履歴が必要だ。ほとんどのログ設定は、そのような詳細さを念頭に置いていない。事後に追加するのは痛みだ。最初から組み込む価値がある。

アドバーサリアルテストも未活用だ。エージェントを赤チーム化し、悪意のある指令を注入しようとしてみることで、静的コードレビューでは捕捉できない脆弱性が浮かび上がる。気分が悪くなるかもしれないが、最終的にこれらのシステムを利用しようとする人たちは、すでにそれを行っている。先に立つことが、唯一の合理的な動きだ。

最終的な考え

AIエージェントは組織が運営する上でより大きな役割を果たすようになるだろう。その変化はすでに進行中だ。セキュリティの話は追いつく必要がある。リスクは現実的であり、攻撃ベクトルは新しいものであり、先んじるための時間枠は狭まっている。

自律AIシステムの脅威の地形を理解することは、もう選択肢ではない。セキュリティとエンジニアリングチームが現在行うことができる最も重要なことの1つであり、正しく行うための時計はすでにスタートしている。