Artificial Intelligence (AI)
エージェント型AIのシャドーパイプライン：信頼されたワークフローの背後に潜むアタックサーフェスをマッピングする
企業がAIエージェントをクラウドインフラや本番ワークフローに接続するにつれ、クラウドからエージェントに至るパイプラインが主要なアタックサーフェスになりつつあります。本記事では、テクノロジー・メディア・通信業界の組織が直面するリスクを整理し、検知とセキュリティのベストプラクティスを解説します。
- TrendAI™ Researchは、信頼されたエージェントワークフローを悪用可能なアタックサーフェスへと変えかねない、クラウドからエージェントに至る攻撃経路をマッピングしました。その要因となる弱点には、クラウドの設定ミス、過剰な権限を持つサービスアカウント、Model Context Protocol（MCP）コネクタの脆弱性、検索拡張生成（RAG）のポイズニング、AIサプライチェーンの侵害、シャドーAIが含まれます。
- 攻撃者が信頼されたエージェントワークフローを悪用すると、その影響は技術的なリスクにとどまらず、事業の混乱にまで及ぶ可能性があります。テクノロジー・メディア・通信業界の組織では、コンテンツの完全性、公開ワークフロー、オーディエンスの信頼、ブランドセーフティ、パートナーからの信用に影響が生じるおそれがあります。
- エージェント型AIの導入は、企業側の可視化とガバナンスの整備を上回るペースで進んでいます。各チームはエージェント、MCPサーバ、AIスキル、RAG対応ワークフローを業務のあらゆる場面に展開しており、防御側は、従来の資産管理台帳やアクセス制御の枠外ですでに稼働しているかもしれないシステムを保護しなければなりません。
- 防御側が優先すべきは、AI資産の把握、最小権限の徹底、MCPの堅牢化、ツール呼び出しの構造化ログ、RAGの完全性管理、エージェントの挙動監視、AIに特化したインシデント対応です。
AIエージェントをクラウドインフラに接続する企業では、クラウドコンピューティングやAI開発環境から本番環境におけるエージェントの動作に至る、新たな攻撃経路が生まれています。多くのセキュリティチームは、この経路をまだ可視化できていません。
テクノロジー・メディア・通信業界の組織にとって、このリスクはとりわけ深刻です。AIエージェントは、コンテンツフィードの処理、サポートチケットのトリアージ、大量のドキュメントの解析、本番データベースへのクエリ実行などを担っています。その際に使われるサービスアカウントの認証情報は、個々のタスクに必要な範囲をはるかに超える権限を持っているのが一般的です。クラウドインフラからエージェントの動作に至るパイプラインは、いまや主要なアタックサーフェスであり、TrendAI™ Researchはそれがどのように破られるのかを具体的に記録してきました。
この状況に拍車をかけているのがシャドーAI、すなわちセキュリティレビューや一元的なガバナンスを経ないまま企業内に展開されるAIエージェント・スキル・機能の増殖です。TrendAI™ Researchの主席脅威リサーチャーであるVladimir Kropotovは、次のように警鐘を鳴らしています。「AIは私たちの母語を理解でき、しかも皆が気づいていない多くの製品に組み込まれています。メール処理、コラボレーションツール、生産性向上ツールといった日常的に使う製品にはAI機能が備わっており、攻撃者がそれを気づかれないうちに有効化することもできます。AIはサプライチェーンの最上流の段階で組み込まれているため、AIが使われている場所をすべて把握することは不可能なのです」
シャドーAIは重大なリスクです。IBMのデータ侵害のコストに関する2025年版レポートによると、シャドーAIが関与した侵害では、被害額が平均を67万米ドル上回りました（463万米ドル対396万米ドル）。影響を受けた組織のうち、97%は適切なAIアクセス制御を欠いており、63%はAIガバナンスポリシーが未策定または策定途上でした。またBlackFogの調査では、従業員の86%が業務で週に1回以上AIツールを使用し、34%は会社承認済みツールの無料版を使用しており、監視されないデータフローが生じていると報告されています。Netskopeのレポートもこの状況を裏付けており、生成AI（GenAI）ユーザの47%が個人アカウント経由で生成AIツールにアクセスし、企業の統制を完全に迂回しているとしています。
脅威モデル
TrendAI™ Researchは、クラウドからAIに至るパイプライン全体で5つの攻撃面（アタックプレーン）を特定し、OWASP Top 10 for Agentic Applications（ASI、2025年12月）およびCloud Security Alliance（CSA）のMAESTRO脅威モデリングフレームワークと対応付けました。
- クラウドの設定ミス： 過剰な権限を持つIDおよびアクセス管理（IAM）、ハードコードされたシークレット、公開状態のストレージなどが該当します。実際、組織の47%（英語）は、マルチクラウド環境のクラウド資産を完全には可視化できていません。
- エージェントの信頼境界： AIエージェントは、信頼できないコンテンツを処理する際に、データと命令を区別できません。これはOWASP ASI01（Agent Goal Hijack：エージェントの目標乗っ取り）およびLLM01:2025（Prompt Injection：プロンプトインジェクション）に対応します。
- MCPと連携プロトコル： 一例として、当社のAIセキュリティの現状に関するリサーチでは、19,000件超のオープンソースMCPサーバリポジトリを分析し、最大20%に悪用可能な脆弱性が含まれていることを確認しました。また、認証を一切設けずに公開されているMCPサーバを1,467件特定しました。これは初期調査時のほぼ3倍にあたる数であり、2025年だけでもMCP関連のCVEが95件確認されています。これはOWASP ASI03（Identity & Privilege Abuse：IDと権限の悪用）に対応します。
- AIサプライチェーン： 当社のAIセキュリティレポートでは、AIサプライチェーンに関連する脆弱性の46.5%が「高」または「緊急」と評価されました。モデルはバイナリの塊であり、ソースコードのように差分を確認できません。実際、当社のAI強化型セキュリティインテリジェンス＆リサーチ（ÆSIR）は、Nvidia、Tencent、MLflow、MCPツール群にまたがる21件の重大な脆弱性を発見しています。
- シャドーAI： セキュリティレビューや一元的な資産管理を経ずに、製品・運用・マーケティングの各チームによって展開されるAIスキルやエージェントを指します。当社のリサーチャーであるVladimir Kropotov、Fyodor Yarochkin、Kirill Gelfandは、AIスキルを「新たなアタックサーフェスとして専用のセキュリティ対応が求められる領域であり、シャドーAIが管理されない、あるいは一貫性なく統制されたナレッジ成果物を持ち込む環境では特にそうである」と指摘しています。
- OWASPエージェント型AIリスクのカバレッジ： 前述の脅威モデルはASI01〜ASI04に対応しています。以下のASIリスクは本パイプラインモデルではまだ扱っておらず、今後の評価が必要な領域です。
侵入口となるクラウドの設定ミス
AIワークロードで認証情報が露出した場合の影響範囲は、一般的なクラウドの情報漏洩とは質的に異なります。TrendAI™は、アプリケーションバイナリに埋め込まれた単一のハードコードされたトークンによって、AIモデルの重み、ソフトウェアバイナリ、コンテナイメージを保管するクラウドストレージへの読み書きアクセスが可能になった事例（例：CVE-2025-10643）を記録しています。このアクセス権を得た攻撃者はモデルのサプライチェーンをポイズニングし、成果物を差し替えることができます。差し替えられた成果物は、本番の推論環境に展開されたり、ユーザに配布されたりするおそれがあります。
メディア・通信業界の組織にとって、コンテンツレコメンデーションモデルの侵害は、編集の完全性、ブランドへの信頼、広告主との関係に対する直接的な脅威です。これは単なるIT上の問題ではなく、事業継続に関わるリスクです。侵害されたレコメンデーションモデルは、オーディエンスの目に触れる情報を歪め、プラットフォームへの信頼を損ない、広告在庫、ブランドセーフティ、パートナーとの契約にも影響を及ぼしかねません。
ケーススタディ：AIネイティブな攻撃クラス「Return-to-Tool（RTT）エクスプロイト」
TrendAI™のリサーチャーは、Return-to-Tool（RTT）エクスプロイトと呼ぶ新しいエクスプロイトクラスを定義しました。これは、Return-Oriented Programming（ROP）のAI時代における構造的な等価物といえるものです。エージェントに承認されたツールが「ガジェット」に、攻撃者のプロンプトがそれらをつなぎ合わせる「チェーン」に相当します。RTTは、より広範な間接プロンプトインジェクション（Greshake et al.、OWASP LLM01:2025）を具体的な攻撃手順として実装したものです。RTTの特徴は、データと命令の混同を承認済みツールの呼び出しへと明示的に連鎖させ、それを権限昇格の仕組みとして用いる点にあります。つまり、エージェント自身の権限が攻撃ペイロードになるのです。
仕組みはこうです。攻撃者は、サポートチケット、ドキュメント、データベースレコード、パスポート画像など、エージェントが必ず読み取るコンテンツの中に命令を仕込みます。エージェントはその命令を正当なタスクとして扱い、自身に承認されたツールアクセスを使って実行してしまう可能性があります。異常な認証イベントも、通常と異なるネットワーク接続も、シグネチャへの一致も発生しません。エージェントは、設計されたとおりに動作しているにすぎないのです。
TrendAI™ Researchは、RTTエクスプロイトを用いた実際の攻撃やテストをすでに確認しています。
- PostgreSQL MCPの読み取り専用制限のバイパス： 10万回以上プルされている広く使われたDockerイメージに、未修正のSQL読み取り専用制限バイパスが含まれていました。細工されたサポートチケットを読み込んだAIエージェントは、この脆弱性を実際に機能するデータ持ち出し経路へと変え、本番データベースからすべての認証トークンを抽出し、自身のサービスアカウントを使って公開コメントスレッドに投稿しました。
- マルウェアを使わないデータベースランサムウェア： サポートチケットに隠された1つのプロンプトによってエージェントはランサムウェアと化し、データベース自身の「pgp_sym_encrypt」関数を使ってすべての顧客メールを暗号化しました。ディスク上のバイナリも、メモリ上のプロセスも、リモートコード実行（RCE）も一切関与していません。
- 本人確認（KYC）におけるパスポート情報の持ち出し： 細工されたパスポート画像の中に隠されたテキストがKYC情報抽出エージェントを誘導し、他の顧客の記録を漏洩させました。TrendAI™のリサーチャーは、このシナリオをAnthropic、OpenAI、Google、DeepSeekの13種類のフロンティアモデルに対する2,600回の自動実行に拡大し、ほぼすべてのベンダーに対して完全または部分的な成功を収めました。
RTTは異常なシグナルを生じさせないため、従来型の検知では把握が困難です。エージェントは自身の認証情報と承認済みツールを使い、付与された権限の範囲内で動作します。攻撃がすべて信頼境界の内側で進行することから、Webアプリケーションファイアウォール（WAF）、コンテナ分離、ロールベースアクセス制御（RBAC）による保護には限界があります。これまでのところ、RTTの実証は管理されたリサーチ環境に限られています。しかし、悪用のハードルが低く、多くの本番環境に有効な対策が存在しないことを踏まえると、攻撃者が採用する可能性は十分にあります。
RAGポイズニングとマルチエージェント型ワームの伝播
RTTの脅威モデルは、単一の攻撃者が1つのツールチェーンを介して単一のエージェントを狙うことを前提としています。一方、共有の検索拡張生成（RAG）データベースやエージェント間通信を利用する本番環境では、自己複製型プロンプトワームによって影響範囲が質的に変わります。これはOWASP ASI06（Memory & Context Poisoning：メモリおよびコンテキストのポイズニング）とASI08（Cascading Failures：連鎖的障害）に対応します。
- RAGワーム： 2025年のACM Conference on Computer and Communications Securityで発表された研究では、RAGベースのエコシステム内を超線形の速度で伝播する自己複製型プロンプトが実証されました。侵害されたクライアントはそれぞれ、1〜3日以内に新たな20のクライアントを感染させました。共有ナレッジベース内の1件のポイズニングされたドキュメントが、そのデータを利用するすべてのエージェントへ連鎖的に影響する可能性があります。
- Morris II： これに先立つCornell TechとTechnionの研究では、RAGシステムに埋め込まれた敵対的な自己複製型プロンプトにより、Gemini Pro、ChatGPT 4.0、LLaVAの各システムを介してゼロクリックで伝播する概念実証AIワームが示されました。
共有コンテンツリポジトリ、編集用ナレッジベース、マルチエージェント型コンテンツパイプラインを使用するテクノロジー・メディア・通信業界の組織では、RAGポイズニングによって、単一エージェントの侵害が複数のワークフローに広がるおそれがあります。ポイズニングされたコンテキストを他のエージェントが検索・再利用し、それに基づいて処理すると、下書き、承認、レコメンデーション、公開コンテンツが信頼できる情報源に基づいているという保証が失われかねません。
大規模環境におけるMCP：コネクタの問題
Anthropicのリファレンス実装であるSQLite MCPサーバは、アーカイブされるまでに5,000回以上フォークされました。このサーバには、保存型プロンプトインジェクションを可能にする典型的なSQLインジェクションの脆弱性が含まれていました。エージェントは内部ソースのデータを暗黙に信頼するため、ペイロードが複数のエージェントへ伝播する可能性があります。TrendAI™はさらに、非公式のAzureおよびAmazon Web Services（AWS）向けMCP実装に存在する重大な脆弱性を報告（英語）しています。具体的には、コマンド実行エンドポイントの認証バイパス（CVSSスコア9.8のCVE-2026-5058など）、デシリアライズを介した任意コード実行、入力を無害化せずにOSコマンドを実行する安全でない標準入出力（STDIO）通信です。
企業のセキュリティ態勢を強化するには、MCPレイヤー全体の可視化、制御、ガバナンスが出発点となります。
- ネットワークスキャンと継続的インテグレーション／継続的デリバリー（CI/CD）の監査を通じて、すべてのMCPサーバインスタンスを把握します。
- ネットワークアクセスが必要な場合は、認証されたリモート通信を使用します。STDIOベースのサーバは、信頼できるローカル実行環境に限定します。
- ネットワークを分割します。明確な理由がない限り、MCPエンドポイントを公開してはなりません。
- エージェントごとに明示的なツール許可リストを設定し、すべての呼び出しを特権操作として記録します。
- すべての依存関係のバージョンを固定して署名し、コミュニティによるフォークを使用する前にセキュリティレビューを必須とします。
- 多数のMCPサーバを運用する環境では、すべてのMCPトラフィックを単一の要所で検査・記録し、ポリシーを適用する一元的なゲートウェイを検討します。REST APIのセキュリティをAPIゲートウェイに集約したのと同じ考え方です。テクノロジー・メディア・通信業界では、コンテンツリポジトリ、編集システム、サポートプラットフォーム、本番データベースにエージェントがアクセスする方法を、各チームが一元的に監視・制御できるようになります。これにより、機密コンテンツ、顧客データ、ワークフローへの管理されていないアクセスを減らせます。
AIサプライチェーン：モデルとパイプラインのポイズニング
TrendAI™の脆弱性リサーチプラットフォーム「ÆSIR」は、主要なAIフレームワークのモデル読み込み機能にデシリアライズの脆弱性（例：CVE-2025-13716、CVE-2025-13714）を発見しました。これらの脆弱性により、モデルの読み込み時にリモートコード実行（RCE）が可能になります。正規のチャネルを通じて配布されたポイズニング済みのモデル成果物が推論環境に読み込まれると、攻撃者の制御下にあるコードが実行されるおそれがあります。
TrendAI™のAIセキュリティレポートでは、今年確認されるAI関連CVEを2,800〜3,600件と予測しています。2025年にはAI関連脆弱性の割合が過去最高の4.42%に達しました。この傾向が続けば、2026年は年間CVE全体の5%を超える見込みです。
AIスキルに関するリサーチからは、もう1つの側面も明らかになっています。AIスキルは、ビジネスロジック、企業独自のワークフロー、アクセスパターンが組み込まれた「実行可能なナレッジ成果物」として機能します。シャドーAI環境では、AIスキルが一元的な資産管理を受けずに増殖するため、価値の高い情報収集対象であると同時に、未監査の実行経路にもなります。
攻撃者側：AIによる攻撃能力の向上
企業がエージェントのセキュリティ確保に苦慮する一方で、攻撃者も同じ技術を使って活動を拡大しています。今年のRSA Conferenceで発表されたTrendAI™の「VibeCrime」と題するリサーチでは、専門化されたエージェントが偵察、標的選定、恐喝を自律的に担う、多層型のサイバー犯罪AIアーキテクチャが報告されています。
さらに2026年5月には、TrendAI™のリサーチャー（Lin、Chen、Yarochkin、Kropotov）が、ジェイルブレイクされたGeminiと窃取したAPIキーを使い、手作業だった詐欺キャンペーンを完全自動化へと拡大した、ロシア語話者の単独の攻撃者について報告しました。AIツールを使えば、単独の攻撃者でも、従来は組織的なチームを必要とした規模と速度で活動できるようになっています。メディア・通信業界では、AI生成フィッシング、ディープフェイクを用いたソーシャルエンジニアリング、自動化された認証情報収集が、従来の防御策では対応しきれない速度で拡大することを意味します。見出し、キャプション、トランスクリプト、配信コンテンツへのわずかな変更でさえ、意味を歪め、編集の完全性を損ない、法的リスクやブランドリスクを生じさせる可能性があります。
エージェント型AI
検知のベストプラクティス：何を計測すべきか
エージェント型AIの悪用を検知するには、まず可視化が必要です。侵害または操作されたエージェントは、多くの場合、承認済みの認証情報とツールを使用します。そのためセキュリティチームには、エージェントがアクセスできる対象、呼び出すツール、外部コンテンツとの接触後に生じる挙動の変化を把握できるテレメトリが必要です。
フェーズ0 -- 計測基盤の整備： 現在、多くの企業環境では、セキュリティオペレーションセンター（SOC）からAIエージェントの活動を確認できません。検知ルールを作成する前に、必要最小限のテレメトリを確保します。
- エージェントの把握： すべてのAIエージェント、そのサービスアカウント、データアクセス範囲を洗い出します。
- ログソースの特定： エージェントによるツール呼び出しを記録するシステムと、その記録の詳細度を確認します。
- 構造化ログの導入： MCPエンドポイントとエージェントのオーケストレーションレイヤーに導入します。この基盤がなければ、以下の検知ガイダンスは実効性を伴いません。
フェーズ1 -- 検知エンジニアリング：
- エージェントの挙動ベースライン： 各エージェントが、どのツールを、どの順序で、どの頻度で呼び出すかを把握します。外部コンテンツの取り込み後に生じる逸脱は、RTTを示す確度の高い指標です。これにはシグネチャベースの検知ではなく、エージェント単位の監視が必要です。
- データフロー監視： 外部コンテンツとの接触後に、エージェントが外部向けリクエストを生成する、通常とは異なるストレージへ書き込む、範囲外のデータを照会するといった動きを監視します。こうしたパターンを捉えるため、MCPのツール呼び出しログとエージェントのアクティビティフィードを計測対象にします。
- クラウドアクセスパターンの分析： AIワークロード環境における異常なIAMアクティビティ（想定外のプリンシパルによるモデルストレージへのアクセス、コンテナイメージの変更など）を、セキュリティ情報・イベント管理（SIEM）の監視対象に含めます。
- MCPの構造化ログ： ツールを呼び出すたびに、すべてのパラメータの詳細を記録します。外部コンテンツに関わる読み取り後の書き込みシーケンスを検知した場合は、アラートを発します。
- RAGの完全性監視： ドキュメントの取り込みイベントを追跡し、異常な検索パターンを検知するとともに、検索後にエージェントの異常な挙動を引き起こすコンテンツを特定します。自己複製型プロンプトは、検索頻度やエージェント間の挙動の相関に痕跡を残します。
- AI資産管理台帳とシャドーAIの把握： すべてのエージェント、MCPサーバ、AIスキル、サービスアカウント、外部コンテンツソースが対象です。セキュリティを確保するには、まずシャドーAIの展開を含め、何が存在するかを明らかにします。
- 最小権限の徹底： AIサービスアカウントを監査し、ワイルドカード権限を廃止します。有効期限と適用範囲を限定した認証情報を使用し、ハードコードされたシークレットを削除します。
- プロンプトファイアウォール： 外部入力がエージェントのコンテキストウィンドウに到達する前に無害化します。インジェクションのパターンを除去し、リスクの高い入力を二次的な分類処理にかけます。
- MCPの堅牢化： MCPを展開する際は、認証された通信、ネットワーク分割、明示的なツール許可リスト、構造化ログを必須とします。
- サプライチェーンの署名： すべてのモデル成果物とコンテナイメージに暗号署名を適用し、署名済みのソフトウェア部品表（SBOM）を必須とします。さらに、AI関連CVEのフィードを脆弱性管理に統合します。
- エージェントの挙動監視： エージェントのテレメトリをSIEMに取り込み、ベースラインプロファイルと、RTTに合致する逸脱へのアラートを設定します。
- AIに特化したインシデント対応（IR）プレイブック： エージェントの隔離、コンテキストウィンドウのフォレンジック、データアクセス監査、規制当局への通知に関する手順を定めます。
- RAGの完全性管理： ナレッジベース文書にコンテンツ署名を使用し、異常検知のために検索パターンを監視します。また、RAGストアを共有するエージェント群の間に分離境界を設けます。
- フレームワークとの整合： 管理策を、米国国立標準技術研究所（NIST）のArtificial Intelligence Risk Management Framework（AI RMF）、National Cybersecurity Center of Excellence（NCCoE）によるソフトウェアおよびAIエージェントのID・認可に関するコンセプトペーパー、CSA MAESTROの7層脅威モデルに対応付けます。NIST AI RMFを採用すると、EU AI Act、米国各州のAI関連法、国際標準にまたがる要件の推定60〜80%を同時に満たせます。
本記事で取り上げたアタックサーフェスには、クラウドの設定ミス、エージェントの信頼境界の悪用、RAGポイズニング、MCPの認証不備、AIサプライチェーンの侵害があります。いずれも現在悪用可能な領域を反映しており、既知の脆弱性や再現可能な概念実証の攻撃チェーンが存在します。
こうした弱点を解消するには、すべてのエージェントIDに最小権限のIAMを適用し、オーケストレーションレイヤーに入力検証とツール呼び出しシーケンスの異常検知を導入するとともに、認証済みゲートウェイでMCPエンドポイントを保護し、AIに特化したテレメトリを既存のSOCワークフローへ統合する必要があります。EU AI Actの高リスクAIに関する義務は2026年8月2日までに適用されるため、これらの管理策を引き続き任意とみなす組織は、技術的なリスクに加えて規制上のリスクにも直面する可能性があります。
本記事シリーズの第2部では、ガバナンスと組織面の課題を取り上げます。可視性の欠如が続く理由、AI資産管理台帳の構築方法、施行期限までに整えるべき、説明可能で合理的なコンプライアンス態勢について解説します。
参考記事
Agentic AI’s Shadow Pipeline: Mapping the Attack Surface Behind Trusted Workflows
By: TrendAI™ Research
翻訳：与那城 務（Platform Marketing, Trend Micro™ Research）