2025年11月に開催されたカンファレンス「KubeCon + CloudNativeCon North America 2025」において、AIエージェントのセキュリティに関するパネルディスカッション「In AI We Trust? Securing the Future, One Agent at a Time」が実施された。クラウドネイティブベンダーSolo.io、AIベンダーMindgard.ai、セキュリティコンサルティング企業ControlPlane、クラウドネイティブ技術推進団体CNCF（Cloud Native Computing Foundation）に所属する専門家が登壇し、新たな脅威への対抗策を多角的に議論した。彼らが強調したのは、既存のセキュリティ基準の順守と、アーキテクチャ設計におけるリスクの極小化だ。

　最も根本的な対策として挙げられるのが、AIエージェントに持たせる責任とアクセス権を最小単位に分解することだ。あらゆるツールやデータへの接続権限を持つ「万能なエージェント」を構築すれば、それが侵害された際のリスクは計り知れない。

　その上で、「特定の知識ベースから情報を取得するAIエージェント」と「その情報を評価するエージェント」のように、タスクごとにエージェントを分離して稼働させるアプローチが有効だ。これによって、仮に1つのAIエージェントが悪意ある操作を受けても、システム全体への波及を食い止めることが可能になる。

予測困難な挙動の制御とプロンプトインジェクション

　AIモデル特有の、同じ指示を与えても毎回同じ結果を返すとは限らない「非決定的」な挙動も、管理を複雑にする要因だ。LLM（大規模言語モデル）は本質的に肯定的な回答を出しやすい傾向があるため、セキュリティ上の採点で厳密な評価を下させるには、あえて否定的なペルソナを与えるなど、プロンプトの綿密な調整が求められる。

　複数のAIエージェントが連動するシステムでは、外部データや他システムからの応答中の悪意あるプロンプトが、予期しない形で伝わる危険性がある。このような事態を防ぐには、コードを実行するAIエージェントを独立したサンドボックス内で稼働させ、誤作動によるインフラの破壊を物理的に防ぐ措置が不可欠だ。

脅威モデリングと認証チェーンの確立

　AIエージェントを活用したシステムの構築を開始する前には、そこでどのようなデータが扱われ、人間がどこで関与するのかを定義する「脅威モデリング」を徹底すべきだ。

　脅威モデリングだけではなく、実運用における接続先の安全確保も課題となる。企業内ではMCPサーバが乱立している一方、その安全性を確保する標準的な枠組みは不足している。データがどこから送られてきたのかを厳格に検証し、改ざんが不可能なデジタル証明書を用いて、正当性が確認されたシステム間でのみ通信を許可する仕組みの確立が急務だ。

　エンドユーザーからの指示を受けたAIエージェントが別のAIエージェントを呼び出す際、誰の権限で処理を実施しているのかを追跡することも不可欠だ。これに対し、発端となるエンドユーザーから全ての中継エージェントの情報を内包した拡張トークンを発行し、その認証チェーンに基づいてポリシーを制御するといった新たな仕組みの検討も進められている。

　AIエージェントの活用はビジネスの速度を劇的に引き上げる一方で、従来の運用では想定していなかった隙を生み出す。今後は、アイデンティティー管理やゼロトラストセキュリティの概念を、AIエージェントとそのワークロードに適合させるための標準規格の整備が、IT業界の最重要課題になるだろう。

本稿は、CNCFが2025年11月25日に公開した動画「In AI We Trust? Securing the Future, One Agent... Lin S, Yuval K, Hannah F, Andrew M & Ricardo A」を基に作成しました。