本記事は、セキュリティカンファレンス「NDC Security 2026」のセッション「Who Gave the Agent Admin Rights?! Securing Cloud & AI Machine Identities」の講演内容を基に構成している。

　NHIの脆弱（ぜいじゃく）性を突いた攻撃の実例として、ダス氏は2019年に発生した米大手金融機関のデータ流出インシデントを挙げた。この事例では、システムを保護するはずのWAF（Webアプリケーションファイアウォール）の設定不備を利用したSSRF（サーバサイドリクエストフォージェリ）攻撃が実行された。攻撃者は外部から細工したリクエストを送信し、Amazon Web Services（AWS）の仮想マシンサービス「Amazon Elastic Compute Cloud」（Amazon EC2）のインスタンスにアクセスした。その内部からしかアクセスできないメタデータサービス（IMDS）に到達し、一時的な認証情報を不正に取得した。この認証情報に過剰なアクセス権限が付与されていたため、結果として700以上のオブジェクトストレージ「Amazon Simple Storage Service」（Amazon S3）バケットから1億件以上の顧客データが流出した。インシデント発覚のきっかけは自社の検出システムではなく、SNS（ソーシャルネットワーキングサービス）への第三者からの書き込みであり、ログ監視体制の欠如が被害の長期化と拡大を招く要因となった。

　ダス氏は、近い将来、SSRF攻撃が「自企業内部のAIエージェント」を起点に発生するようになると指摘する。HTTPリクエストを実行する機能を持たせたAIエージェントに対して、プロンプトインジェクション（悪意のある指示による意図しない操作）を実施する手法だ。これによって、AIエージェントが攻撃者のプロキシとして悪用されてしまう。攻撃者が直接インフラに侵入しなくても、AIエージェントにIMDSへアクセスさせ、認証情報を外部へ送信させる指示を出すだけで、容易に認証情報が盗み出されてしまう。

　クラウドネイティブの次世代ワークロードアイデンティティー管理基盤である「SPIFFE」（Secure Production Identity Framework for Everyone）においても、注意すべき攻撃手法が存在する。プロセスIDやユーザーIDといったセレクタ情報（実行環境の属性）を偽装し、複数のアイデンティティーを不正に取得する「セレクタのなりすまし」（Selector Spoofing）だ。

ルールベース検出の選定理由と従来手法との違い

　これらの脅威に対処するため、ダス氏はオープンソースのSIEMであるWazuhを用いた検出アーキテクチャを構築した。プロセス生成、認証情報へのファイルアクセス、プロンプトインジェクションの痕跡、SSRFによるHTTPリクエストという4つの観点からログを収集し、ルールに基づいて異常を検出する仕組みだ。

　昨今のセキュリティ分野では機械学習を用いた異常検出技術が主流になりつつあるが、ダス氏はこの検出手法において、あえて従来型の「プレーンな正規表現による検出ルール」を採用している。機械学習を用いた検出アプローチと比較した際、ルールベースの手法には以下の合理的な優位性があるという。

1．決定論的な動作

　ブラックボックス化しやすい機械学習モデルとは異なり、ルールベースは同一の入力に対して常に同一の出力を返す。モデルのドリフト（時間経過に伴う精度の低下）による再学習の手間が掛からず、誤検出の原因特定が容易だ。

2．監査の透明性

　XMLなどの文書形式で記述されたルールは人間が読み解くことができるため、外部の監査担当者や規制当局に対しても、どのような基準で脅威を検出しているかを明確に説明できる。

3．処理の高速性とポータビリティ

　パターンマッチングは高価なGPUを用いた推論処理を必要とせず、数マイクロ秒で完了する。汎用的な「Sigmaルール」形式で記述することで、「Splunk」や「Microsoft Sentinel」など、他の主要なSIEMツールに手間なく移行・展開できる。

4．相関ルールの構築によるキャンペーン検出

　単一の不審な挙動だけでなく、「IMDSへのアクセス」と「直後の認証情報ファイルへのアクセス」といった複数のイベントを双方向にひも付けて評価する。これによって、個別の攻撃テクニックではなく、一連の攻撃キャンペーンとして高い精度で検出することが可能になり、真陽性の高いアラートのみを運用チームに通知できる。

今後の展望とコンプライアンスへの対応

　AIシステムを本番環境で運用するに当たり、継続的なセキュリティ監視は各国の法規制で義務付けられつつある。EU（欧州連合）の「EU AI Act」やNIST（米国国立標準技術研究所）の「AI RMF」（AIリスクマネジメントフレームワーク）、国際規格「ISO/IEC 42001」といったガイドラインは、いずれも本番環境におけるAIシステムの監視を要求している。ダス氏が作成した100種類のカスタム検出ルールと30以上のMITRE ATT&CKテクニックへのマッピングは、これらのコンプライアンス要求を満たす実践的なインフラとして機能する。

　今後の展望として、本検出ライブラリは「GitHub」でオープンソースとして公開され、多様な環境での検証と改善が進められる予定だ。ダス氏は、各企業が最初に取り組むべきステップとして、自企業内に存在するAPIキーやIAMロールなどのNHIの数を正確に棚卸しすることを強く推奨している。

　併せて、HTTPリクエストを送信するAIエージェントへのアクセス制限も不可欠だ。アクセス可能なURLを制限する許可リスト（ホワイトリスト）を適用し、最小権限の原則を徹底することが、クラウドとAIインフラの保護に向けた出発点になる。

本稿は、NDC Conferencesが2026年5月6日に公開した動画「Who Gave the Agent Admin Rights?! Securing Cloud & AI Machine Identities - Bodhisattva Das」を基に作成しました。