Tencentの朱雀実験室(Zhuque Lab)は、AIシステム向けのオープンソースセキュリティスキャナー「AI-Infra-Guard」を開発しました。このツールはOllama、vLLM、ComfyUIといった稼働中のサービスをフィンガープリント識別し、1,600件を超える既知のCVEと照合します。また、MCPサーバーやエージェントスキルを14のリスクカテゴリーにわたって検査し、対象モデルに対するジェイルブレイク評価も実行します。
スキルを検査する際、このプラットフォームは言語モデルに対してそのスキルが悪意あるものに見えるかどうかを問い合わせます。朱雀実験室は、9つのリスクカテゴリーにわたる5,520件の人手ラベル付きサンプルからなる公開データセット「SkillTrustBench」を使って、この判定処理を評価しています。誤検知率(False Positive Rate)は、判定を行うモデルによって1.20%から18.67%まで幅があります。
チームがどのモデルを組み込むかによって、結果を確認する手間の量が大きく変わってきます。誤検知率が低いケースでは、クリーンなスキルのうち約80件に1件が誤って検出される程度で済みます。一方、誤検知率が高いケースでは、検出結果の5件に1件近くが誰かの午後を無駄にする空振りとなってしまいます。このツールは、中国工商銀行(ICBC)、招商銀行(China Merchants Bank)、中国電信(China Telecom)、Lenovo、vivo、Bilibiliなど、銀行、通信キャリア、製造業の企業で利用されています。
朱雀実験室は、このプラットフォームを2つの層に分けて設計しており、意味解釈が関わるのはそのうち一方だけです。「CVEのバージョン照合は、そもそも意図解釈を伴うものではありません」とAI-Infra-Guardチームは述べています。「この部分の誤検知率は、純粋にフィンガープリントの精度だけに左右されます」
スキャナーは攻撃者が書いたファイルを読み込む
2つのスキャンコンポーネントはいずれも、悪意あるサーバーが制御するツール説明文やスキルファイルを読み込みます。間接プロンプトインジェクションは、この仕組みを悪用する手口です。モデルが読み込むコンテンツの中に指示を埋め込み、それを読み取るモデル自体を標的にします。バージョン4.1.9では、スキャンエージェントをこの攻撃に対して強化しました。
「読み込まれるファイルやツールのコンテンツは、プロンプト内で専用の、明確に区切られたテキストブロックに配置され、指示部分とは構造的に分離されます。インラインで混在させることはありません。スキャンエージェントには、このブロックを分析対象のデータとして扱うよう指示しており、従うべきコマンドとしては絶対に扱わせません」と同チームはHelp Net Securityに語りました。
この対策により「単純ないし中程度のインジェクションはかなり減らせます」が、「あくまで緩和策であって、形式的な保証ではありません」。「これで完全に破られなくなるとは主張しませんし、それはLLM駆動のエージェントすべてに言えることです」とのことです。防御側が不審なMCPサーバーをスキャンする際は、クリーンな結果を「お墨付き」ではなく、あくまで一つの判断材料として扱うべきでしょう。
オープンソース版にはログイン機能がない
このリポジトリには、プラットフォームをインターネット上に公開しないよう警告が記載されています。「現時点では認証機構が備わっていない」というのがその理由です。組織が保有するどのAIサービスが外部に露出しているかを教えてくれるはずのスキャナー自体に、「スキャナーを外部に露出させるな」という注意書きが付いているわけです。
「AI-Infra-Guardは、単一の運用者が使うことを前提に設計されたツールです」と同チームは述べています。「ログイン機能もRBAC(ロールベースアクセス制御)もありません」
朱雀実験室が示す解決策は、アクセス制御をアプリケーションの外側に置くというものです。「公式ドキュメントで推奨しているのは、手前にリバースプロキシを配置すること(nginxとBasic認証、あるいはIP許可リストの組み合わせ)と、通常のファイアウォールルールの併用です」。これがログイン機能の代わりとなる層です。この対策を省いたチームは、評価対象となるあらゆるモデルのAPIキーを保持する脆弱性スキャナーを、そのポートに到達できる誰もがアクセスできる状態で稼働させることになります。
AI-Infra-GuardはGitHubで無料公開されています。
翻訳元: https://www.helpnetsecurity.com/2026/09/09/ai-infra-guard-open-source-security-scanner-ai-systems/
