CISOたちはAIエージェントの価値を損なわずに制御しようと奔走

今日のセキュリティリーダーが直面する二大AI課題は、サイバー衛生の新たな要件への適応と、過剰な権限を持つエージェントがもたらす意図しない結果の防止です。

Team8は、エンタープライズ技術、サイバー、AI、フィンテック、デジタルヘルスを専門とする企業に投資するベンチャーキャピタル・プライベートエクイティファームです。成功するためにVCは現在のテクノロジーとそれに関連する問題領域を徹底的に理解し、投資すべき適切なソリューション提供企業を見極める必要があります。

Team8は自社の理解を深めるため、世界の主要企業のセキュリティリーダーからなる招待制のグローバルコミュニティ「CISO Village」を立ち上げました。Team8は毎年、このCISO Villageから得られた最新の意見をもとに年次調査レポートを作成しています。今年はAI時代をテーマに取り上げ、その結果は、今やAIソフトウェアが世界を飲み込みつつあることを裏付けるものとなりました。

• CISOの71%が、AIエージェントの機能を活用して既存のセキュリティツールを試験導入または拡張しています。
• リスク領域は、制御層の整備よりも速いペースで拡大しています。
• CISOたちは、完全な準備が整ったと感じる前から動き始めており、プラットフォームやスキル、新たな制御メカニズムへの投資を進めています。
• AI・エージェントのセキュリティは断トツで最大の課題（78%）であり、2番目に多い課題（39%）のちょうど2倍に達しています。

SecurityWeekは、エージェントのセキュリティがなぜこれほど大きな問題となっているのか、Team8のCISOであるTim Brown氏に話を聞きました。

「AIについて考えるとき、検討すべき側面は2つあります。1つ目は、攻撃者がAIを使って標的にしてくる、私たち自身の攻撃対象領域です」とBrown氏は語ります。「過去10年から20年にわたって良好なセキュリティ衛生とされてきたものは、もはや十分ではありません。かつては、MFA(多要素認証)やファイアウォール、優れたエンドポイント保護を使っていれば、日和見的な攻撃の被害者になることを防げると考えられていました。しかし今はもう違います。攻撃そのものも、私たちの攻撃対象領域も変化しているのです」

CISOにとっての1つ目の課題は、セキュリティ衛生に対する企業の認識を、AIがもたらす新たな現実に合わせて変えていくことに苦労している点です。

2つ目の課題は、AIによってもたらされるビジネス上の恩恵と、エージェント型AIの利用によって生じる新たな脅威との間で、適切なバランスを見つけることだとBrown氏は続けます。このバランスを誤ると、意図しない結果を招くことになります。

「私たちは単純なものから複雑なものまで、さまざまな目的でAIエージェントを利用していますが、これらは自社の従業員がClaude Code、Cursor、Codexといった簡単に入手できるコーディングツールを使って作成しています。エージェントは、例えば『毎日メールを要約して、対応が必要なものがあれば知らせてほしい』といった単純なものかもしれません。あるいは、もっと複雑なものもあります。『営業プロセスを見直したい。社内データを活用して、営業担当者をどこに注力させるべきかの提言を生成させたい』といった具合です」

エージェントが複雑になればなるほど、ネットワークのより重要な部分に触れることになります。ここで問題になるのが、人間にありがちな「言葉の不正確さ」です。人は一般に、自分が本当に望んでいることを言葉で正確に表現できません。エージェントは、自分が理解した指示を忠実に実行しようとしますが、それは必ずしもユーザーが本当に望んでいることとは限らないのです。

一般的なチャットボットを使ったご自身の経験を思い出してみてください。質問をして返ってきた答えが、明らかに的外れなでたらめだったということはないでしょうか。そのでたらめな回答を見て、自分の入力した質問を振り返ってみると、自分自身の言葉が明確さや厳密さを欠いていたことが、チャットボットのそうした応答を招いていたと気づくはずです。AIは、自らが指示されたと信じる内容を忠実に実行しようとしますが、そこにはすべてのAIモデルに内在する非決定的な確率という要素が加わります。AIエージェントの開発でも同じ傾向が生じますが、違うのは、開発者自身がそれを「でたらめ」だと認識できる場面に直面しないという点です。

「AIエージェントは単なるもう一人の従業員ではありません。与えられたと信じるタスクを達成するためなら何でもする、非常に頼れる従業員なのです」。Brown氏はある例を挙げました。「Tim Brown Systemsに関する背景情報を、公開・非公開を問わずあらゆる手段で収集するよう設計されたエージェントがあるとします。このエージェントはどこにでも行き、何でも検索できてしまいます。テスト用のシステムだけでなく、インターネット上のどこかにある本番システムにまで探りを入れてしまう可能性があるのです」

これが、エージェントに関する2つ目の問題、すなわち「意図しない結果」です。セキュリティリーダーにとっての課題は、事業目的を損なうことなく有害な結果を防ぐために、エージェントの周囲に適切なレベルのガードレールを設けることです。「100%成功するガードレールを作るのは簡単です」とBrown氏は付け加えます。「システムを取り出して、コンセントを抜いて、海に投げ込めばいい。それで安全です。役には立ちませんが、安全ではあります」。有用性とセキュリティの適切なバランスを見つけることこそが難しいのです。

こうしたガードレールは、エージェントの開発プロセスに組み込み、あらゆるエージェントがどこへ行けるか、何ができるかを制限しておくべきです。そうすれば、エージェントが自らの目的を有害な形で解釈したとしても、実行に移すことができなくなります。

Brown氏は、AIがもたらすこうした新たな問題にセキュリティリーダーが対処する上で、一つ具体的な提言をしています。それは、同様の問題に苦しみ、場合によってはすでに解決してきた他のセキュリティリーダーとの間で、透明性と経験共有をこれまで以上に進めることです。

「もっと積極的に情報を共有し合いましょう。X社にいる友人がすでに解決していることを、なぜ私がゼロから学び直さなければならないのでしょうか。防御側として、私たちは団結すべきです。透明性と情報共有を強化すれば、より優れたAIを生み出し、敵対者にとって攻撃をより困難にし、有害な意図しないエージェントの結果を招くことなく事業を成功に導くことができるはずです」