AIサイバーディフェンスとは？
AIサイバーディフェンスとは、AIシステム（モデル、エージェント、それらが呼び出すツール、アクセスするデータ）を、それらのシステムの推論や行動の仕組みを悪用する攻撃から保護する取り組みです。エージェントにとって、これは後から追加するレイヤーではありません。攻撃を阻止するコントロールは、エージェントを機能させるためのハーネスコンポーネント（ツールの権限、コンテキスト境界、承認ゲート、オブザーバビリティ）そのものです。エージェントを防御することは、そのハーネスをエンジニアリングすることに他なりません。
定義
AIサイバーディフェンスとは、AIシステムおよびそれを運用する組織を、AI自体（その入力、コンテキスト、ツール、自律性）を標的とする攻撃から保護する取り組みです。これはモデルの重みではなく、モデルを取り囲むハーネスに実装されたコントロールを通じて行われます。
主な要点
- 攻撃対象領域（アタックサーフェス）になるのはモデル自体ではなく、ほとんどの場合、それを取り囲むハーネスです。
- 攻撃が標的とするのは、エージェントの入力、メモリ、ツール、自律性であり、そのパラメータではありません。
- プロンプトインジェクションに対して言語モデルにパッチを適用することはできません。乗っ取られたエージェントが実行できる行動を制限するのです。
- すべての防御コントロール（最小権限、バリデーション、承認ゲート、監査ログ）は、信頼性コントロールでもあります。
- この名称には、AIシステムの防御と、防御のためのAIの活用という2つの方向性があります。これらはツールを共有しますが、脅威モデルは共有しません。
コンテキスト
従来のアプリケーションセキュリティは、コードが決定を下し、データは不活性であることを前提としています。エージェントはこの前提を覆します。信頼できないコンテンツを読み込み、それに基づいて決定を下すため、あらゆるドキュメント、ウェブページ、ツールの応答が指示（インストラクション）の候補になり得るのです。
ここで企業の導入が停滞します。エージェントのデモから本番環境への移行において、セキュリティレビューは最も一般的な障害となっています。なぜなら、そのリスクが未知のものであるためです。システムは設計通りに動作しているにもかかわらず、悪用されてしまうのです。
アーキテクチャ
入力境界 — 信頼できないコンテンツはデータとして区切られ、ラベル付けされます。指示チャネルに直接結合されることは決してありません。
ツールレイヤー — 各ツールは、動作に必要な最小限の資格情報（クレデンシャル）のみを保持し、読み取り専用であるかどうかを宣言します。
アクションゲート — 不可逆的なアクションや価値の高いアクションは、モデルの判断に委ねるのではなく、人間の承認を得るために一時停止します。
送信制御（エグレスコントロール） — 外部への送信先は許可リスト（アローリスト）に登録されるため、データの持ち出しには誰かが意図的に開けた穴が必要になります。
オブザーバビリティ — すべてのツール呼び出し、その引数、および結果がログに記録されます。再現できないインシデントは、解決できないインシデントだからです。
敵対的評価 — インジェクションや悪用のユースケースは、機能テストと並行してCIで実行されます。これにより、デグレードが発生した場合は、顧客に影響が及ぶ前にビルドが失敗します。
コンポーネント
メリット
- 外部から検証できないモデルレベルの保証とは異なり、コントロールは監査可能かつテスト可能です。
- 同じ取り組みが信頼性の向上にもつながります。悪意によって誤ったレコードを削除できないエージェントは、誤って削除することもありません。
- これは、組織がすでに直面している義務（EU AI法における堅牢性とサイバーセキュリティの義務、ISO/IEC 42001、NIST AI RMFなど）に直接マッピングされます。
- セキュリティレビューにおいて承認すべき具体的な対象が明確になり、本番環境への移行を阻む要因が解消されます。
リスク
- セキュリティシアター（形だけのセキュリティ）：エージェントが書き込み権限を持つAPIキーを保持したままで、ガードレールモデルがテキストをフィルタリングしている状態。
- 過度な制限によりエージェントが使い物にならなくなり、ユーザーがコントロールのない非公式のコピーに流れてしまうこと。
- ベンダーのデフォルト設定が安全であると仮定すること。特に、チームの誰もコードを確認していないサードパーティのツールサーバーにおいて顕著です。
- これをライフサイクルとしてではなく、単発のレビューとして扱うこと。新しいツールは、新しい攻撃対象領域（アタックサーフェス）を意味します。
ツールとテクノロジー
例
- 共有受信トレイを読み取り、メールを送信できるエージェント：インジェクションされたメールが、直近の20件のメッセージを外部のアドレスに転送するようエージェントに指示するケース。
- リポジトリトークンを保持するコーディングエージェントが、READMEに隠された指示が含まれる依存関係を指しているケース。
- MCPクライアントがサードパーティのツールサーバーに接続し、そのツールの説明に開発者ではなくモデルを標的とした指示が含まれているケース。
FAQ
- より優れたモデルを使用すれば、プロンプトインジェクションは解決しますか？
- いいえ。この脆弱性は構造的なものです。指示とコンテンツがテキストとして同じチャネルを通じて届くためです。優れたモデルは攻撃のコストを上げますが、その影響範囲（ブラストライジアス）を制限できるのはハーネスだけです。
- これはAIガバナンスとどう違うのですか？
- ガバナンスは何が許可され、誰がその責任を負うかを決定します。サイバーディフェンスは、許可されたものが悪用されにくくします。これらはログ、評価、承認などの証跡を共有するため、通常は一緒に構築されます。
- チームはどこから始めるべきですか？
- 1つのエージェントに対する脅威モデルを作成し、実行させられ得る最悪の事態をリストアップし、人間の介在なしにそれを実行できないようにします。それ以外はすべて微調整です。
- これは読み取り専用のエージェントにも適用されますか？
- はい、ただし攻撃対象領域は小さくなります。読み取り専用のエージェントであっても、読み取った内容を持ち出すことは可能なため、書き込み可能なツールがない場合でも、コンテキスト境界と送信制御（エグレスコントロール）は依然として重要です。