エージェンティックAIセキュリティとは
エージェンティックAIセキュリティは、人間の承認なしに意思決定を行い、ツールを使用し、アクションを実行する自律型AIシステムを保護する取り組みです。クエリに応答する従来のAIとは異なり、エージェンティックAIはそれらに基づいて行動し、本番環境のインフラを作成、変更、または破壊します。
エージェントは強力なAPIを通じて重要なシステムとやり取りし、ベクトルデータベースなどの外部メモリストアを使用してセッション間でコンテキストを保持します。さらに、分散環境全体で複雑なアクションを実行するために相互に連携します。
The 4-Step Framework for AI Threat Readiness
Wiz has designed a 4-step framework to help organizations defend against rapid, automated exploitation in a post-Mythos world.
エージェンティックAIが従来のクラウドセキュリティを破壊する仕組み
予測可能性は従来のクラウド防御の基盤です。ユーザーは認証を行い、サービスは既知の境界内にとどまり、主な目標は不正アクセスの阻止にあります。
自律型エージェントは、学習し、適応し、完全には予測できない意思決定を行うことで、この前提を根本から覆します。有効な認証情報で動作しながら、有害なアクションを実行する可能性があるのです。
標準的なAIのセキュリティ統制は、以下の4つの重大なギャップに対処できません。
エージェントが有効なAPIアクセスを持っている場合、境界防御はほとんど役に立たない
監査モデルはエージェントの速度に追いつけない
プロンプトインジェクションやメモリポイズニングにより、エージェントの振る舞い自体が攻撃対象になる
クラウドネイティブのスケールがオートスケーリングやオーケストレーションを通じてミスを増幅する
エージェンティックAIにおける主要なセキュリティ脅威
ツールの悪用とクラウドAPIの不正利用
ツールの悪用は、エージェントが有害な操作を実行するように操作された場合に発生します。攻撃ベクトルには、IaCコメントやGitメッセージを介したプロンプトインジェクション、ベクトルデータベースのメモリポイズニング、認証情報を収集するためのサーバーサイドリクエストフォージェリ（SSRF）、変更管理を回避するクラウドCLIの悪用が含まれます。
エージェントの推論とゴールの操作
攻撃者は、ゴールハイジャック、相反する命令、多段階の障害ループ、エージェント間の伝播を通じて、認証情報を窃取することなくエージェントを誤った計画に誘導します。
サプライチェーンとモデルの完全性リスク
コンテナ、モデル、または依存関係が汚染されると、エージェントは侵害された状態になります。攻撃手法には、改ざんされたベースイメージ、オープンソース依存関係内の悪意のあるコード、侵害されたモデルの重み、アテステーションのない署名されていないアーティファクトが含まれます。
調査により、AIエージェントは10件中9件のウェブハッキングチャレンジを解決したことが明らかになり、自律システムの能力が浮き彫りになりました。
インフラの公開範囲とラテラルムーブメント（水平移動）
一般的に悪用されるベクトルには、過度に許可的なセキュリティグループ、外部IDなしのクロスアカウントロール引き受け、Kubernetesにおけるデフォルトのcluster-adminバインディング、サードパーティエンドポイントへの外部への無制限な通信が含まれます。
Securing AI Agents 101
AI agents are changing how work gets done. This one-pager explainer breaks it all down.
シャドーAIエージェントとガバナンスのないデプロイメント
気付かないうちに生じるリスクには、管理されていないAPIキーを持つサーバーレス関数を通じてエージェントをデプロイする開発者、AIサービスエンドポイントへの異常なDNSクエリ、AIサービスコストの急激な増加、文書化されていないリソースが存在することを示すインフラ構成のドリフトが含まれます。
調査により、セルフホスト型AIモデルを運用する組織の68%が、少なくとも部分的にサードパーティソフトウェアを通じて運用していることが明らかになりました。
リソース消費とコスト濫用
エージェントは、暴走するオートスケーリングを引き起こす敵対的なプロンプト、不正なワークロードデプロイメントを引き起こす振る舞いの操作、不必要なクロスリージョンデータ転送を引き起こす悪意のある入力を通じて、大量のリソースを消費するように操作される可能性があります。
エージェンティックAIセキュリティの3つの柱
リアルタイムの振る舞い制御が、効果的な防御とリアクティブな検知を分けます。コード、パイプライン、ランタイムにまたがる統一されたポリシーエンジンが必要です。
１．ランタイムの保護とサンドボックス化
影響範囲の制限は、エージェントの速度で動作する封じ込め制御に依存します。実装には以下が含まれます。アドミッションコントローラー（OPA Gatekeeper、Kyverno）、サービスメッシュポリシーによるネットワークマイクロセグメンテーション、異常検知のためのeBPFベースのテレメトリ、影響の大きいツールに対するヒューマンインザループ承認、疑わしいエージェントをシャットダウンするサーキットブレーカーメカニズムです。
２．IAM（アイデンティティとアクセス管理）
エージェントのアイデンティティは、人間のアイデンティティとは根本的に異なります。非対話型で高速であり、継続的な認証情報のローテーションが必要です。
アプローチには、短期トークンによるエフェメラル認証情報の発行、現在のタスクに基づくジャストインタイムアクセスの付与、OIDC標準を使用したクラウド間のアイデンティティフェデレーション、有効な権限の継続的な分析、サービスアカウントの定期的なローテーションが含まれます。
３．コンプライアンスの自動化と監査証跡
自律型エージェントの意思決定には従来の人間による承認記録がないため、高リスクシステムではログ記録が重要になります。制御には、CISベンチマークなどのベースラインに対するポリシー検証の自動化、マルチクラウド監査ログの統合ビューへの集約、CI/CDのパイプラインへのサプライチェーン検証の統合（インテグレーション）、リアルタイムのインフラ変更監視、改ざん防止の意思決定ログの維持が含まれます。
AI-SPMとは? [AIセキュリティポスチャー管理]
AI-SPM (AI security posture management) は、AI モデル、パイプライン、データ、サービスを保護する、エンタープライズ サイバーセキュリティの新しく重要なコンポーネントです。
もっと読む
エージェンティックAIセキュリティへの90日間ロードマップ
最初の30日間：発見とロックダウン
すべてのAIエージェント、それらが呼び出すAPI、アクセスするデータのインベントリを作成します。すべてのエージェントアイデンティティに最小権限の原則を適用します。静的な認証情報をエフェメラルトークンに置き換えます。すべてのエージェントアクションとクラウドAPI呼び出しの詳細なログ記録を有効にします。
30日目までに、完全な可視性と、正常なアクティビティと異常を区別する振る舞いのベースラインを確立します。
最初の60日間：ガードレールの実践
CI/CDのパイプラインとKubernetesクラスターでアドミッション制御を強制する単一のポリシーフレームワークを適用します。破壊的なアクションに対するヒューマンインザループ承認を追加します。検知のみに頼るのではなく、安全でない操作を防止するガードレールを適用します。
60日目までに、ガードレールが人間の承認なしに影響の大きい変更を積極的にブロックし、ルーティン操作は継続されます。
最初の90日間：自動化と準備
エージェントのアイデンティティ、データの機密性、公開範囲を相関させるAIセキュリティ態勢管理（AI-SPM）機能のパイロットを実施します。認証情報の失効、メモリのリセット、封じ込めを含むエージェンティックAI向けのインシデント対応プレイブックを構築します。OWASP Top 10 for LLM ApplicationsおよびCSA MAESTROフレームワークに沿って制御を拡張します。
調査によると、AI-SPMを導入しているのはわずか13%であり、大きなギャップが浮き彫りになっています。
90日目までに、エージェントのスケールに応じてセキュリティ統制が自動的に適応し、インシデント対応プレイブックが準備完了します。
AI Security Sample Assessment
In this Sample Assessment Report, you’ll get a peek behind the curtain to see what an AI Security Assessment should look like.
Wizがクラウドスタック全体でエージェンティックAIのワークロードを保護する方法
Wiz AI-SPMは、デプロイメントのオーバーヘッドなしにAI環境全体をキャプチャするエージェントレスの可視性と、Wiz Security Graphを活用し攻撃経路（Attack Path）分析を通じて実装を支援します。権限、サービス、公開範囲を接続し、悪用可能なリスクを明らかにします。
この統合（インテグレーション）により、クラウド管理者権限と機密データアクセスを持つエージェントをカタログ化し、優先順位付けのための攻撃経路（Attack Path）を即座に可視化します。このアプローチにより、顧客プラットフォームにおけるクリティカルな脆弱性ゼロを達成しました。
Wizは、エージェントが学習しスケールする過程を継続的に追跡し、クラウドAPIを通じた設定のドリフトを検出するとともに、軽量なeBPFベースのランタイムセンサーを使用して異常なワークロードの振る舞いを検出します。
