aiFWall、AIファイアウォールを携えてステルス状態から登場

人工知能、とりわけエージェント型AIの実装はビジネスの主流になりつつあり、それに伴い新たで異なる攻撃も引き寄せており、防御が必要となっている。

aiFWall Incは2026年1月21日にステルス状態から姿を現した。まだ同社の正式ローンチではないが、CEO兼創業者のVimal Vaidyaは基本製品を無料で提供することを決めた。その製品であるaiFWallは、AIの導入環境向けのファイアウォール保護であり、自身の性能向上のためにAIを活用するよう設計されている。本製品の根本的な特徴は双方向である点で、AIを害し得る入力をフィルタリングすると同時に、有害性やバイアスを含む可能性のあるAIの出力もフィルタリングする。

AIを保護する製品はすでに存在するが、Vaidyaによれば、それらには根本的な弱点があるという。1つは、文脈を考慮しないことだ。社内のAI導入は強く文脈依存である一方、多くのセキュリティソリューションはそうではなく、現在のリアルタイムデータしか見ない。こうしたシステムは、新しいユーザー入力を検査し、その場で有効か無効かを判断して、その証拠に基づいて許可またはブロックするかもしれない。しかし、今は無効に見えるものでも、6か月前のユーザーとのやり取りという文脈では有効であり得る。「そのためには、現在の意図を理解するために、ユーザーが以前どのように振る舞っていたかを理解する必要がある」とVaidyaは言う。

2つ目は、発生時にジャストインタイムの保護を提供できていないことだと彼は主張する。これに対抗するため、aiFWallは（顧客とユーザーの同意のもとで）悪意あるプロンプトを含むプロンプトを収集し、それらを自社の中央AIエンジンに投入する。これにより「脅威マーカー」が生成され、それが配布されて、導入済みのすべてのaiFWallで直ちに利用可能になる。なお、この中央インテリジェンスとの連携は無料版には含まれず、同社および製品の正式ローンチ後に提供されるフル版の有料サブスクリプションに含まれる。

3つ目は、このAIファイアウォールがAIウイルスについて自己学習する点だ。新しいウイルスを開発元へ報告し、開発元が他のすべてのインストールへ認識情報を配布するという点で、主流のネットワークファイアウォールのように動作する。aiFWallは、企業のAI導入環境を攻撃するために特別に設計されたウイルスの増加に対して、これを実行する。 

社内でのエージェント型AIシステムの利用が新しいのと同様に、それを標的とするよう特別に設計されたウイルスもまた新しい。しかし、それらはすでに存在し、その数は増えている。PromptLockは最初のもので、2025年8月に発見された。11月には、Googleが標的側のエージェント型AIシステムを悪用する複数の別種を発見したと説明した。多くは実験的だったが、一部は実際の環境でも確認された。 

また11月には、Anthropicが9月に最初に発見した高度な攻撃の詳細を公表した。「脅威アクター――我々は高い確度で中国の国家支援グループであると評価している――は、当社のClaude Codeツールを操作して、世界の約30の標的への侵入を試みさせ、少数のケースで成功した。」 

これらのウイルスの多くは、攻撃者による初期の試みであり、学習ツールとして使われている。しかし、量と質の両面で増加していくことはほとんど疑いない。

aiFWallと主流のファイアウォールの大きな違いは、AIの周囲を双方向に循環する防御である点だ。侵入方向の攻撃（悪意あるデータ汚染プロンプト、ウイルス攻撃、LLM APIに対する攻撃、サービス拒否攻撃など）を阻止し、AIの応答に含まれ得る外向きの有害性、バイアス、またはコンプライアンス上の問題（たとえばGDPR、CCPA、HIPAA、PCIに反する露出）をフィルタリングする。

ネットワークファイアウォールを置き換えるものではなく、ネットワークファイアウォール内に存在する脅威からエージェント型AIを保護する。盗まれた認証情報は長らく主要な攻撃手段である。攻撃者が正しい認証情報を持っていれば、一般にネットワークファイアウォールを突破できるが、それでもaiFWallによってエージェント型システムへのアクセス獲得は阻止される。

「盗まれた認証情報は」とVaidyaは説明する。「ユーザーが認証情報によって正当化されているため、ネットワークファイアウォールを突破して悪いことができてしまう。しかしAIファイアウォールでは、システムが本物のユーザーがしそうな行動を学習し、悪いことがどのようなものかも学習しているため、おそらく失敗するだろう。」

Vaidyaは、aiFWallがあらゆる場所で常にすべての攻撃を防げるとは主張しない。「どのベンダーも、あらゆる悪意あるコードに対して100%防御できるとは言わないでしょう。しかし、私たちが提供する分析の深さ、文脈、そして現在の脅威と現在のAI導入に合わせたマーカーの作り込みによって、現在出回っている多くのソリューションよりはおそらく良い仕事ができるはずです。だから、私たちは先行していると感じています。ただし繰り返しますが、皆がすでに知っているとおり、悪意あるコードに対する100%の防御はありません。」

ハーフムーンベイで開催されるAI Risk Summitで詳細を見る