TrendAI™、AIエージェントの構造的なサイバーリスクを実証

トレンドマイクロ株式会社（本社：東京都新宿区、代表取締役社長 兼 CEO：エバ・チェン　東証プライム：4704、以下、トレンドマイクロ）の法人向けブランドTrendAIは、PwCコンサルティング合同会社（以下、PwCコンサルティング）との共同レポート「自律するAIの時代：AIエージェントのサイバーリスクと実践的ガバナンス」を本日公開しました。

本レポートは、PwCコンサルティングが「AIエージェントの自律性や機能構造を踏まえ、日本企業におけるリスクの全体像、必要な統制、導入段階に応じた実践的なロードマップ」を、TrendAIが「AIエージェントの実証環境においてサイバー攻撃が行えてしまうことを検証」しました。具体的には、業務システムと連携するAIエージェントに対する「保存型プロンプトインジェクション」（不正な命令を正規の業務データに紛れ込ませ、AIエージェントが後から読み込む際に実行させる攻撃手法）が、特定のAIモデルやベンダーに依存しない構造的な課題であることを、実証実験により明らかにしました。

レポート全文およびブログはこちらからご覧ください。

レポート：https://resources.trendaisecurity.com/jp-docdownload-form-m838-web-pwc-consulting-trendai-joint-report.html
ブログ：
https://www.trendmicro.com/ja_jp/research/26/e/pwning-agentic-ai-part-i-your-ai-agent-is-already-compromised.html
https://www.trendmicro.com/ja_jp/research/26/g/pwning-agentic-ai-part-ii-when-trusted-agents-do-untrusted-things.html

◆実証実験の概要

TrendAIは、現実的な業務システムを想定した実証環境（概念実証／PoC環境）を構築し、AIエージェントへの攻撃が成立する可能性を検証しました。Anthropic、OpenAI、Google、DeepSeekの主要4ベンダー・13のAIモデルに対し、自動生成した200種類の攻撃用プロンプトを用いて、合計2,600件の並列テストを実施しました。その結果、複数のベンダーのAIモデルで攻撃が成立することを確認しました。これは、本攻撃が個別のAIモデルの問題ではなく、AIエージェントのアーキテクチャに起因する構造的な課題であることを示しています。実際にサイバー攻撃を検証することで、法人組織が具体的な脅威を踏まえて対策を行うことができるようになります。

◆実証した2つの攻撃シナリオ

（1）Webフォームを通じた情報窃取

公開Webフォームから送信されたサポートチケットを、AIエージェントが読み取り・分類するシステムを対象に、チケット本文（Webの入力フォーム）へ不正な命令を埋め込む攻撃を実証しました。AIエージェントがデータベースツールを連鎖的に呼び出し、認証トークンを含む機密情報を窃取・持ち出すことに成功しました。

（2）KYC（本人確認）システムを通した情報窃取

パスポート画像をアップロードして本人確認を行うシステムを対象に、読み込むパスポート画像内に「監査メモ（AUDIT NOTE）」を偽装した不正な命令を埋め込む攻撃を実証しました。AIエージェントを誤誘導し、他の顧客のパスポート情報（氏名・旅券番号・生年月日・有効期限・国籍）を窃取することに成功しました。

これらのシナリオに共通するのは、「高い権限を持ちながら、外部から提供されるデータを処理するAIエージェント」が広く攻撃対象となり得るという点であり、特定の業種やシステムに限られた問題ではありません。これらは検証用に構築した環境での実証であり、実在するシステムへの攻撃ではありません。

◆AIエージェントにおける構造的な問題

これらの攻撃が成立する根本的な理由は、現在の言語モデルが「データ」と「命令」を厳密に区別できないという、アーキテクチャに内在する性質にあります。AIエージェントは、ユーザが入力した内容（データ）を処理する過程で、そこに埋め込まれた不正な指示（命令）をそのまま実行してしまいます。さらに、AIエージェントが複数のツールを連鎖的に呼び出す「自律的な行動連鎖」によって、当初は想定されない情報窃取やデータ改ざんへと影響が拡大します。したがって、本質的な対策は、使用するAIモデルの変更ではなく、最小権限の徹底、ツール呼び出しの制限、行動の観測性・制御性の確保といった、システム設計と運用統制にあります。

◆実証から実践へ：体系的なガバナンスの枠組み

本レポートは、リスクの実証にとどまらず、それを法人組織が管理可能な形へ落とし込む体系的な対策を提示しています。PwCコンサルティングは、AIエージェントの「自律性の5段階レベル（L1～L5）」と「5つの機能ドメイン」を軸に、リスクがどこで発生し、どう連鎖・増幅するかを構造的に整理しました。そのうえで、AIエージェントを安全に本番環境に投入できる水準を定義する「AI統制保証水準（AI-CAL：AI Control Assurance Level）」を提唱しています。AI-CALは、経営層とセキュリティ部門が「自社のAIエージェントはどの統制水準にあり、次に何を満たすべきか」を、技術的詳細に立ち入らず共通言語で議論できる実務的なフレームワークです。

加えて本レポートは、日本の法人組織が優先的に取り組むべきアクションを「権限管理の確立」「観測性・制御性の基盤整備」「AI-CAL評価プロセスの制度化」の3領域に整理し、導入段階に応じた実装ロードマップとして提示しています。

本レポートは、TrendAIによる実証研究（第5章）と、PwCコンサルティングによるリスク構造の整理・統制フレームワーク・実務指針（第1～4章、第6～7章）を組み合わせることで、「研究に裏付けられた、実践可能なガバナンスガイド」として構成されています。AIエージェントの導入・活用を検討する企業のCISO、セキュリティ部門、リスク管理部門にとって、リスクの理解から具体的な統制設計までを一貫して参照できる内容です。TrendAIとPwCコンサルティングは、AIを活用する企業が直面する新たな脅威に対し、AIの可視性と統合的なセキュリティの提供を通じて、安全なAI活用を支援してまいります。