OWASPが新セキュリティ指針でAIスキルの主要リスクを指摘

7月上旬、攻撃者は人気のエージェント型AI作業プラットフォーム「Paperclip」になりすました類似ドメインを取得し、トロイの木馬化したPythonパッケージと武器化されたAIスキルの両方を作成して、ユーザーのマシンを侵害し、さまざまな認証情報や機密情報を窃取しました。この事件は、Open Worldwide Application Security Project(OWASP)が今年初め、この種のリスクについて実務者を対象に調査を実施した理由を如実に示しており、その結果、エージェント型スキルにおけるセキュリティ問題トップ10の候補リストという、この種としては初めての試みが生まれました。現在1位に位置するのは何でしょうか。悪意のあるスキルです。

「スキル」——エージェント型プラットフォーム向けの自然言語やコードで書かれたレシピ——を通じて機能や能力を追加できることで、AIエージェントの能力は大幅に高まりますが、同時に信頼できない入力や悪意のあるコードが入り込む重大な経路も生まれます。さらに、セキュリティモデルや対策機能が欠如しているため、正規のスキルであっても悪用の対象になり得ます。そのため、OWASPの今回の動きは必然的なものと言えるでしょう。実際、7月の事件では、自動スキャナーがPythonパッケージを数時間以内に検出した一方で、トロイの木馬化されたスキルは検出を逃れ、それぞれ30万件を超えるインストール数を短期間で獲得しました。8月6日に公表された調査結果によると、そうした状況が明らかになっています。

OWASPの新たなAIスキルリスク・トップ10の中身

今週、OWASPは最終版のリストを公開し、あわせてスキルファイルの標準化YAML形式の初期案も発表しました。これにより、自動分析によってどのスキルが正規のものでどれがそうでないかを判別しやすくなります。

このリストの狙いは、スキルがもたらす危険性と、エージェント開発者が対処すべきリスクを浮き彫りにすることだと、この取り組みを支援するセキュリティ実務者で、本業ではMicrosoftのクラウド・AIセキュリティプロジェクトのマネージングディレクターを務めるOmar Turner氏は語ります。同氏はDark Reading の取材に対し、先ごろのBlack Hat USA Conferenceでの議論の多くはエージェントに焦点を当てていたものの、スキルに焦点を当てたものはほとんどなかったと述べています。

「スキルにどのようなリスクが存在し得るかを知らなければ、いわば目隠しをした状態で運用しているようなものです」と同氏はOWASP支援の立場から語ります。「スキルという概念、スキルに伴うリスク、そして脅威アクターが特定の方法でスキルを悪用し得る可能性については、現在エージェントについて議論されているのと同じように、組織内で検討し、話し合う必要があります」

スキルとは基本的に、エージェント向けのスクリプトであり、多くの場合自然言語で書かれますが、コードを使用したり、ウェブサイトやモデルコンテキストプロトコル(MCP)サーバーなど他のソースへの参照を含んだりすることもあります。OWASPプロジェクトの共同リーダーであり、エージェント型サプライチェーンセキュリティのスタートアップAirの共同創業者兼最高技術責任者(CTO)であるNiv Hoffman氏は、スキルは現在企業がAIを業務に組み込もうとする取り組みの最前線にあるエージェント型アーキテクチャにおいて、信頼できない入力の主要な発生源を体現していると述べています。

「エージェントが新しいOSだとすれば、スキルは新しいアプリケーションであり、エージェントの[あらゆる能力]を引き出すには不可欠な存在です」と同氏は言います。「スキルにリスクが伴い得るとはいえ、人々がスキルを使うこと自体を禁止することは推奨しません。むしろ、デフォルトで安全な環境の中でスキルを利用してもらうべきです。つまり、人もエージェントも、できる限り多くのスキルを安全な形で取り入れられる場を作ることが重要なのです」

サプライチェーンと外部リソースがリストの上位を占める

OWASPのエージェント型スキル・トップ10リストには、重大(クリティカル)リスクが2件、高リスクが4件、中リスクが4件含まれています。首位は依然として「悪意のあるスキル」ですが、2つ目の重大リスク——リスト2位——は「サプライチェーン侵害」です。OWASPによると、GitHubなどのリポジトリでホストされているスキルは攻撃の経路になり得るもので、多くの場合、単純なテキストファイルを使ってタイポスクワッティングした依存関係を引き込む手口が使われるといいます。

エージェント型セキュリティのスタートアップAirは、自社の実験用リポジトリでスター数を意図的に操作することに成功し、わずか数時間で2万6,000件のエージェントに影響を及ぼすことができました。

Airの成功の一因となったのが、もう一つの重大なセキュリティ課題です。すなわち、外部サイトから情報を取得できてしまう点(AST05 – 信頼できない外部指示)です。この攻撃では、製品用のランディングページを作成するスキルを利用しましたが、そのページ作成の指示自体を外部サイトから取得する仕組みになっていました。これは、一見正規に見えるスキルに悪意ある機能を追加するための、広く使われている手口です。

Turner氏によると、ユーザーが作成した正規のスキルであっても、情報が変更されていないか、あるいは悪意のある指示によって改ざんされていないかを確認しないまま、他のサイトから情報を取得しようとするケースが少なくないといいます。

「私自身がスキルを作成する際も、さまざまなサイトにアクセスして情報を取得し、それを確認した上で出力を作成させたり、自分が持つ特定の認証情報を使って特定の処理を行わせたりしています」と同氏は言います。「もし私がCISOだったら、そうした外部からの指示が不正なソースにつながっているという事態は、夜も眠れないほど気がかりな問題になるでしょう」

ユニバーサル・スキル・フォーマット:スキルの一貫性を高める

スキルの利用が急拡大する中——リポジトリの数はこの半年で少なくとも3割増加しました——スキルのより標準化されたフォーマットに対するニーズも高まっています。この課題に対応するため、OWASPは「Universal Agentic Skill Format v1.0」も公開しました。これはYAML形式で、十分なセキュリティ情報を備えたスキルを作成するためのテンプレートとして機能し、自動化されたソフトウェアが正規のスキルを検証し、悪意のあるスキルを検出する助けとなります。このコンテンツフォーマットには、来歴、各種操作に対する権限、要件と依存関係、署名とハッシュ値、そして変更履歴のセクションが含まれています。

このフォーマットの重要な機能の一つは、エージェントがユーザーからの指示と、エージェントが解析するスキルや他のコンテンツから来る指示とを区別できるよう支援することだと、Air社のHoffman氏は述べています。

「エージェントの視点、そしてモデルの視点から見ると、ユーザーモードと現在のモードの間に区別は存在しません。だからこそ私たちは、この新たなセグメンテーションと境界線を設けるために、ユニバーサル・スキル・フォーマットを作成したのです」と同氏は言います。「トップ10スキルの取り組みで私たちが目指しているのは、コードプログラミングの20年、30年という歴史の中で培われてきたベストプラクティスや教訓を取り入れ、それをこの新しい形態のソフトウェアにできるだけ早く適用することです」

企業に求められるAIスキルの可視化

クラウドコンピューティングと同様に、AIの機能やサービスも責任共有モデルへと向かっていく可能性が高いと言えます。企業は、AIエージェントがAIサービス企業のインフラ上でホストされている場合、そのエージェントがアクセスするスキルをベンダー側が精査してくれることを期待するでしょう。しかし、両専門家とも、組織はサプライヤーに頼りきるのではなく、可視性とガバナンスの両方に注力すべきだと口をそろえます。

第一歩として、組織は従業員がどのエージェントを利用しているかだけでなく、そのエージェントがどのようなスキルを活用しているかについても把握し、現在のスキルに対する露出度を理解する必要があります。MicrosoftのTurner氏によれば、重要な評価指標となるのは、悪意のあるスキルに関するアラートが公表された際に、そのスキルが自社内で使用されているかどうかを迅速に特定し、組織全体でブロックできるかどうかだといいます。

「ほとんどのCISOは、いくつのエージェントが稼働していて、いくつのスキルがエージェントに組み込まれているかを正直に答えられないでしょう」と同氏は述べ、可視性を欠く組織は悪意のあるインシデントに対応できない可能性が高いと付け加えます。「もし、あるスキルが悪意のあるものだと外部の情報源を通じて判明した場合、自社はどれだけ迅速に、組織全体の規模でそれを停止したり切り離したりできるでしょうか。これはCISOが本当に今から考え始める必要があることだと思います」