組織がますます自律性の高いAIエージェントを導入する中、既存のネットワークセキュリティの弱点によって、これらのシステムが本来想定された責任範囲を超えて動作する可能性がある。
従来のAI向けセーフガードでは、こうしたリスクに十分対処できない可能性がある。特に、ネットワークアクセスのポリシーが過度に寛容な場合はなおさらだ。
最近発表されたNIST、CISA、NSAによる共同ガイダンスは、高度なAIシステムにおけるインシデントへの備えと対応を扱っている。
私は、FireMonのプロダクトマネジメント担当ディレクターであるDan Rheault氏にメールで、組織がこのガイダンスから学べること、そしてAIエージェントにより大きな自律性を与える前にセキュリティチームがネットワークをどのように準備すべきかを聞いた。
AIエージェントは既存のネットワークセキュリティの弱点を増幅する
「エージェントが意図したとおりに動作することは、強制力のあるセキュリティ境界にはならない」とRheault氏は説明し、組織はエージェントへの指示と、独立して適用されるセキュリティ制御を混同すべきではないと強調した。
連邦政府のガイダンスは主に高度なAIのトレーニングと評価を対象としているが、Rheault氏は、その根底にあるセキュリティ原則は企業での導入にも適用できると考えている。
AIエージェントがさらなるリスクをもたらすのは、企業システムへの広範なアクセス権を持った状態で自律的に意思決定できるためだ。
エージェントは機械の速度でアクションを実行できるため、ミスがもたらし得る影響はさらに大きくなる。1つの指示で、相互接続された複数のシステムにまたがる複数のアクションが引き起こされ、影響が想定されたワークフローを超えて広がる可能性がある。
例えば、レポート作成を担当するAIエージェントが、本番環境の管理インターフェースにもネットワーク経由でアクセスできる場合がある。エージェントがその接続を一度も使わなくても、利用可能な状態にあること自体が不要な露出を生む。
Rheault氏は、実際に観測されたネットワークトラフィックだけに頼るのではなく、アクセス経路の可能性を調査するよう推奨している。セキュリティチームは、エージェントがすでにアクセスしたシステムだけでなく、アクセス可能なシステムを把握する必要がある。
過度に寛容なポリシーが潜在的な攻撃対象領域を拡大する
長年にわたって蓄積されたファイアウォールルールや古いアクセス・ポリシーは、組織が自律型AIエージェントを導入する際に大きな課題となり得る。文書化されていないネットワーク接続があると、不要な露出の特定はさらに難しくなる。
在庫情報の取得を割り当てられたエージェントが、アプリケーションのサブネット全体へのアクセス権を引き継ぎ、関係のないデータベースや管理インターフェースを露出させる可能性もある。
ネットワークに接続できるだけでは、エージェントにそれらのシステムを変更する権限は与えられない。しかし、アプリケーションの過剰な権限があれば、不正な認証情報の露出や悪用可能な脆弱性も存在する場合に、不正なアクションが可能になるおそれがある。
Rheault氏は、各エージェントのビジネス上の目的を、割り当てられたタスクの完了に必要なネットワーク経路やサービスと対応付けるよう推奨している。セキュリティチームは、アクセスを許可する前に必要なIDと権限も特定すべきだ。
テストは、エージェントが割り当てられた責任を果たせることの確認にとどめるべきではない。
「タスクを正常に完了できれば、エージェントが十分なアクセス権を持っていることは証明できる。ネガティブテストによって、アクセス権が過剰でないことを確認できる」とRheault氏は述べた。
従来のネットワークセキュリティには追加の適用レイヤーが必要
従来のファイアウォールやネットワーク制御は依然として重要だが、AIエージェントが実行するすべてのアクションが承認済みかどうかを、それらだけで独立して判断することはできないとRheault氏は警告している。
エージェントは、承認済みのAPIに正当に接続しながら、割り当てられた責任範囲外の操作を試みる。
そのため組織には、ネットワークアクセスを制限し、アイデンティティーベースの権限を適用する連携したセキュリティ制御が必要だ。アプリケーション認可とツールレベルの制限は、不正なアクションに対する追加のセーフガードとなる。
クラウドのセキュリティ制御が従来のファイアウォール・ポリシーと異なる可能性があるため、ハイブリッド環境では適用が難しくなる。ワークロードレベルのポリシーによって、アクセス管理の方法にさらなる不整合が生じる場合もある。
セキュリティチームは、承認済みの業務活動とエージェントのIDとの間に明確な関係を確立すべきだ。これらの関係では、各エージェントに必要なアプリケーション権限とネットワーク接続も定義する必要がある。
インシデントの封じ込めは導入前にテストしなければならない
共同ガイダンスは、影響を受けたシステムが運用を再開する前に、封じ込めを検証することの重要性を強調している。
Rheault氏は、影響を受けたワークロードを分離し、外向きのネットワーク接続を制限する機能を準備するよう推奨している。セキュリティチームは、エージェントの実行を停止し、さらなる不正活動を防ぐために関連する認証情報を無効化できなければならない。
セキュリティチームは、更新したルールによって直ちにすべてのトラフィックが遮断されると想定せず、ファイアウォールの変更によって既存の接続が終了することを確認しなければならない。
影響を受けたエージェントを再起動する前に、組織は隔離環境で問題のある動作を再現すべきだ。正当な業務を妨げることなく、禁止された接続が失敗することを検証する必要がある。
チームは、監視アラートが正しく機能することも確認すべきだ。追加のテストでは、代替のネットワーク経路によって更新されたセキュリティ制限を回避できないことを検証する必要がある。
自律型AIエージェントを保護するための3つの優先事項
Rheault氏は、組織が自律型AIエージェントを導入する前に取り組むべき3つの優先事項を挙げた。
- 可視性を確保する：各エージェントの所有者とビジネス上の目的を文書化する。実行環境とIDを特定し、必要な依存関係と承認済みのネットワーク宛先を対応付ける。説明のつかないアクセス経路を調査する。
- アクセス境界を適用する：IDベースの権限と併せて、最小権限のネットワーク制限を適用する。不正なアクションを防ぐため、アプリケーション認可とツールレベルの制御を確立する。承認された活動は成功し、禁止された活動は失敗することをテストする。
- 封じ込めを継続的に検証する：セキュリティチームが不審な活動を検知し、影響を受けたエージェントを分離するまでの時間を測定する。既存のセッションを含め、禁止された接続が終了することを検証する。封じ込め制御が引き続き有効であることを確認するため、復旧手順を定期的にリハーサルする。
結論
より広い意味での教訓は、AIのセキュリティとガバナンスを、エージェントにどのような動作をするよう指示するかの制御だけに依存させてはならないということだ。組織がエージェントにより大きな自律性を与えるにつれ、セキュリティチームはアクセス境界を独立して適用し、そうした制御が意図どおり機能していることを継続的に検証しなければならない。
詳しくは、AIエージェント安全チェックリストを確認し、自律型エージェントの導入前に組織が整備すべきセキュリティ制御を評価してほしい。