本稿は、セキュリティカンファレンス「NDC Security 2026」における、マッコイ氏のセッション「AppSec Security: The SDLC in the age of agentic」の内容を基に構成している。

　マッコイ氏が提唱するフレームワークは、従来のWebアプリケーションセキュリティの知見を土台としながら、自律型エージェントシステム特有の挙動を制御するための合理的な設計思想に基づいている。

　従来のシステム設計では、外部からの入力値に対して正規表現を用いた入力の無害化（サニタイズ）を実施する手法が一般的だった。しかし、AIエージェントにおいてはこのアプローチでは不十分だ。仕様上は正しい形式のメールアドレスであっても、その文字列内に「Base64」などの形式で難読化された指示が含まれていた場合、AIエージェントはそれを解釈して意図しない処理を実行してしまう。従来の手法は形式の妥当性を保証するのみであり、AIエージェントに対する命令としての危険性を排除できない。

　この課題に対する技術的アプローチとして、入力データの完全なパラメーター化が挙げられる。URLやメールアドレスといった文字列をそのままAIエージェントに渡すのではなく、システムがデータを最小単位に分割し、それぞれを検証した上で厳密に型付けされたオブジェクトに変換する。業務処理においてAIエージェントがメールアドレスを必要としないのであれば、トークン化された代替データを渡すように設計し、AIエージェントが任意の文字列を解釈できる経路を遮断する。

ガードモデルによる多層防御

　システム内の複数のAIエージェントの処理手順を制御する「オーケストレーター」とAIエージェント間の通信においても、プロンプトインジェクション対策として、入力と出力の評価に特化した「ガードモデル」の配置が有効だ。

　ガードモデルは、文章を生成する機能を持たず、渡されたデータが安全か危険かのみを判定することに特化している。オープンソースで提供される専用の判定モデルをオーケストレーターの通信経路に挟み込むことで、入力時の攻撃検知と出力時の機密情報漏えい防止を同時に実現する。特定の業務要件に合わせたポリシーを組み込むことで、禁止された文言やトピックへの言及をシステムレベルでブロックすることが可能になる。

RAGにおけるアクセス制御と暗号化

　企業の独自データをエージェントの文脈に取り込むRAG（検索拡張生成）においても、設計思想の転換が求められる。複数の事業部門や顧客データが混在するシステムでは、AIエージェントが本来アクセスすべきではない情報まで取得してしまうリスクが存在する。

　これを防ぐため、保存時および通信時のデータ暗号化を徹底し、適切なAIエージェントが適切な処理を実行する時点でのみデータを復号する仕組みを構築する。AIエージェントは暗号鍵を偽造できないため、認証と暗号化を組み合わせたアクセス制御は、自律型システムに対する強固な境界防御として機能する。

データレイクの分割と保護

　AIエージェントの重大なリスク対策のポイントは、データレイクへのアクセス管理だ。既存の社内データとエージェントが収集および生成するデータが混在する環境は、情報汚染や大規模なデータ流出の要因となる。

　この構造的な脆弱（ぜいじゃく）性を防ぐため、データレイクを内部システム用とAIエージェント用で明確に分割するアーキテクチャを採用する。AIエージェントに対してデータレイクへの直接アクセスを許可するのではなく、非武装地帯（DMZ）に必要なデータのみを抽出し、暗号化した上で提供する。開発チームがテスト目的で本番データに接続する運用を廃止し、データの抽出経路を管理する体制を構築する。

今後の展望

　自律型システムの実用化が進む中で、セキュリティエンジニアの役割は個別の攻撃手法に対処することから、システム全体の情報の流れを制御するアーキテクチャの構築へと変化している。データレイクの適切な分割やアクセス制御など、システム全体を俯瞰（ふかん）した防御策の導入が求められる。適用するセキュリティ制御の維持工数を見極め、開発ライフサイクル全体で持続可能な運用を設計することが、AI時代のシステム構築における要点となる。

本稿は、NDC Conferencesが2026年5月4日に公開した動画「AppSec Security: The SDLC in the age of agentic - Jon Mccoy - NDC Security 2026」を基に作成しました。