AIハーネスに潜む、悪用の隙

Anthropic、Google、OpenAIをはじめとする主要フロンティアAIベンダーは、大規模言語モデルを包み込む「ハーネス」を制御する必要があります。互いを過度に信頼し合うソフトウェアコンポーネントによって、セキュリティ上の弱点が生み出されているためです。

こう指摘するのは、AIペネトレーションテスト企業Novee Securityの研究者らです。同社の創業メンバーでセキュリティ研究者のElad Meged氏によると、研究チームはGoogleのAIエージェントを利用してサプライチェーン攻撃を実行し、GitHub上の自社リポジトリへの書き込みに成功したといいます。同チームはさらに、コンポーネント間の信頼の食い違いを悪用することで、AnthropicとOpenAIのAIエージェントにも問題があることを発見しました。

AIハーネスとは、AIモデルを管理するためのツール、メモリ、ガードレールを提供するソフトウェアフレームワークを指します。そのコンポーネントには、コンテキスト管理やツール統合、フィードバックループといった機能も含まれます。企業がAIエージェントを採用し自社インフラの一部として組み込む際には、これらすべてのコンポーネントが前提とする「信頼」も同時に取り込むことになる、とMeged氏は説明します。

「エージェントを採用する際、自分たちのシステムにどれほどの量のコードと信頼を組み込むことになるのか、多くの人は気づいていません」と同氏は述べます。「そこにどんなコードが存在し、何ができるのかは分かりません。そして、エージェントに与える信頼が大きくなるほど、脆弱性も大きくなり得るのです」

この警告が発せられた背景には、複雑な自動化機能の恩恵を受けようとAIエージェントの採用を進める企業が増える一方で、こうしたエージェントのセキュリティと安全性への懸念も高まり続けている状況があります。今月初め、OpenAIの新たなプレリリースモデルのテスト中、モデルがサンドボックス環境から脱出し、唯一アクセス可能だったソフトウェア(パッケージ管理システム)に脆弱性を発見した上でHugging Faceを攻撃するという事態が発生しました。昨年のBlack Hat USAカンファレンスでは、研究者らがプロンプトインジェクションや脆弱性を利用してAIエージェントの挙動を完全に変える方法を実演していました。それ以来、基盤モデルの開発各社は追加のセキュリティ層への投資を進めており、多くの場合はアライメントの一環、あるいはハーネス内での実装という形を取っていますが、近年ではコンテナなどによる分離を通じた対策も増えています。しかし、こうした防御策は、ハーネスを構成する正規のソフトウェアを攻撃者が乗っ取る可能性までは、必ずしも考慮していません。

信頼境界とAIハーネス

ハーネスは、オープンソースプロジェクト由来の再利用可能なスキルやパッケージなどのソフトウェアで構成されることが多く、これらは容易にスキャン可能である一方、歴史的に脆弱性や設定ミスが発生しやすいという特徴があります。さらに、AIエージェントを包み込むハーネスやシステムプロンプトは往々にして透明性を欠いており、AIエージェントを採用する企業は、多くの未知のリスクを黙認せざるを得ない状況にあります。中でも特に問題なのは、エージェントを取り巻くソフトウェアの足場、すなわち「ハーネス」がどのように機能しているのかを可視化できない点だと言えるでしょう。

全体として、リスクは二重構造になっています。一方では、AIエージェントは何らかの処理を行うために従来型のソフトウェア技術に依存しており、そのソフトウェア自体に脆弱性が存在します。もう一方では、ハーネスを構成するコンポーネント間のやり取りによって、入力が信頼できるものかどうかの判断が曖昧になってしまうことがあります。ベンダー各社はモデルやハーネスの周辺にセキュリティ対策を追加してきましたが、ハーネスのコンポーネント同士がどのようにやり取りするかという点は、Novee Securityによれば大きく見落とされてきたといいます。

「ベンダー各社が不注意なわけではありません」と同社は述べています。「Anthropicは数十ものセキュリティチェックを構築し、Googleは環境のサニタイズを伴う複数の実行モードを構築し、OpenAIは保護されたパスを持つサンドボックスを構築しています。防御策自体は存在するのです。問題は、コンポーネント間の受け渡しの部分で失敗が生じることにあります」

企業は、AIエージェントを採用するということは、ハーネスを構成するすべてのコンポーネントが自社インフラの一部になることを意味すると理解する必要がある、と同社はDark Readingに共有された未公表の白書の中で述べています。

エージェントの監査が急務

残念ながら、企業は自社が運用するエージェントを保護するための投資を十分に行えていません。80%の企業がAIエージェントを運用している一方で、そのリスクを管理するセキュリティ対策を実施しているのはわずか47%にとどまると、2026年初めに発表された調査は指摘しています。企業は自社のAIエージェントを分析し、使用されているコードについてベンダーに透明性を求めるべきだと、Meged氏は述べます。

「コードを読み、データフローとコードフローがどこに向かっているのかを理解し、危険につながりかねないシンクなどとの不一致を見つけ出す努力が必要です」と同氏は述べます。「コード実行が可能になる経路は、実に多岐にわたり得ます」

現時点では、ハーネスのセキュリティはまだ黎明期にあり、しばらくは攻撃者側が優位に立つ可能性がある、とMeged氏は言います。

「検知レベルを引き上げることはできますが、私見では、攻撃者は常に侵入する術を見つけ出すものです。これは攻撃者が熟知しているいたちごっこなのです」と同氏は述べます。

Meged氏は、主要ベンダーのハーネスに存在するセキュリティ上の弱点の詳細を、Black Hat USAカンファレンスでのセッションで発表する予定です。