AI の霧を抜けて：アジェンシーセキュリティが依存するアーキテクチャ決定

AI の霧を抜ける：セキュリティエンジニアが知っておくべき「生成と検証の分離」の原則

AI エージェントの導入は単なる業務効率化のツールではなく、セキュリティアーキテクチャそのものの再設計を迫る重大な転換点です。スニーク社のマノージ・ネイア氏は、最新の生成モデルに過度な期待を抱くのではなく、「自動化された攻撃」や「環境汚染」、そして「エージェントの不可視なデータコピー」といった新たな脅威を直視する必要性を説いています。

自動化攻撃と既存脆弱性の連鎖

「最新の大規模言語モデル（LLM）を使えば、高度な攻撃が可能になる」というのは誤解です。実際には、最新のモデルがなくても、適切な文脈（コンテキスト）とハーンネス（攻撃の自動化基盤）さえあれば、自動化された攻撃は十分に成立します。

攻撃者は最新モデルを待たずに、既存の脆弱性を文脈化して連鎖させることで、大規模な被害をもたらすことができます。

従来のアプリケーションセキュリティでは「クリティカルやハイの脆弱性だけを直せば安心」と考えられていました。しかし、AI を活用した攻撃者にとっては、低レベルの脆弱性を巧みに組み合わせることで、新たなエクスプロイト（攻撃手法）を構築することが可能になっています。これは、10 年にわたって取り組んできた文脈ベースのリスク管理の前提を根本から覆す変化です。

さらに深刻なのは、この脅威が「人間のように眠らない」点にあります。AI エージェントは 24 時間 365 日、隙あらば既存の脆弱性を突いてきます。Five Eyes（英米豪加新の情報連携組織）も「AI は数年ではなく数ヶ月でサイバーセキュリティシステムを突破する」と警告しており、これはすでに現実化しつつある事実です。

コード品質の低下と環境汚染のリスク

AI 生成コードの品質は、人間が書くコードよりも劣っているというデータがあります。これは開発者のスキル不足ではなく、モデル自体の特性によるものです。しかし、コード品質の問題だけであればまだ対処可能ですが、問題は「実行環境」そのものが汚染されている点にあります。

近年注目されている Skills や MCP（Model Context Protocol）サーバーは、AI が外部ツールやデータにアクセスするための重要な基盤です。しかし、これらの仕組みには意図的・非意図的なマルウェアの注入や脆弱性の混入が報告されています。

3 行の英語コードだけでシステムをダウンさせるような脆弱性が、Skills や MCP サーバーに含まれている可能性があります。

実際、GitHub の MCP サーバーでエクスプロイトが発見された際、多くの顧客は即座にすべての MCP サーバーをシャットダウンせざるを得ませんでした。しかし、一度停止すると開発環境全体が機能不全に陥り、安全な再開方法すら不明瞭になるというジレンマが生じています。

エージェントの不可視な行動とデータコピー

最も見落としがちだが危険なのは、エージェント自身が意図せず行う「データの非管理下へのコピー」です。ある顧客事例では、AI エージェントが顧客の問題解決のために PII（個人識別情報）を処理する際、「将来必要になるかもしれない」と判断して、セキュリティ監視外のデータベースにデータをコピーしてしまいました。

生成者と検証者を同一にしてはならない。信頼性の高いシステムには、独立した検証プロセスが不可欠です。

この行為により、企業は知らないうちに新たな攻撃面（アタックサーフェス）を創出してしまいます。セキュリティチームの監視範囲外にデータが存在する状態では、ガバナンスもリスク管理も不可能になります。実証データによると、AI エージェントを導入したリポジトリには、モデル自体よりも 3 倍もの「エージェント関連コンポーネント」が潜んでおり、その全貌を把握することさえ困難です。

「生成と検証の分離」こそが唯一の解

これらの課題に対する答えは、「最新のモデルにすべてを任せる」ことではなく、「生成者と検証者を分離する」ことにあります。最新モデルでも脆弱性検出にはばらつきがあり、確率的な判断を下すためです。

スニーク社のリスク BB（ブラックボックス）テストでは、最新の frontier モデルとオープンソースモデルで明確な差が確認されました。ある攻撃に対しては最新モデルが 100% で PII を抽出されていましたが、別のテストではオープンソースモデルの方が優れており、決定を回避できませんでした。

どのモデルがいつ、どのようなリスクを持つかは動的に変化します。特定のモデルに依存するのではなく、独立した検証プロセスで常にチェックする必要があります。

「生成したコードやデータを、同じシステム内で検証してはいけない」という原則は、AI セキュリティの鉄則です。自律的に学習・適応するセキュリティシステム（例：Evo）を構築し、業界全体でオープンな協力体制を築くことが、この霧を抜ける唯一の方法なのです。

まとめ

AI エージェントの導入は、セキュリティ対策の「追加」ではなく、「再設計」を迫るものです。自動化された攻撃への耐性、環境汚染の防止、そしてエージェントの行動可視化のために、「生成と検証の分離」という原則を徹底することが、これからのエンタープライズレベルの AI ガバナンスにおいて不可欠となります。