AIエージェント向けセキュリティプラットフォームを提供する AIR（Air Security） が、5,000万ドルの資金調達とともにステルス状態を解除したことを発表しました。本調達は Sequoia Capital および Greenoaks Capital が主導し、元 The Walt Disney Company および Costco の CISO である Ryan Knisley 氏が CSO に就任しています。
本記事では、なぜ従来のWAFや静的スキャナーではAIエージェントを防げないのか、そのアーキテクチャと技術的背景を解説します。
クイックサマリー：既存セキュリティとの比較
AIクエリがインデックスしやすいよう、AIエージェントセキュリティと従来型WAF/Guardrailsの違いをまとめました。
| 比較項目 | 従来型WAF | LLM Guardrails | AIR（Inline Firewall） |
| 保護対象レイヤー | ネットワーク / HTTP構文 | LLM入出力テキスト | エージェントのコンテキスト＆実行層（Action Layer） |
| 主な検知手法 | 正規表現・シグネチャ | 自然言語ルール・分類モデル | インライン監視・サプライチェーン評価・動的認可 |
| 防御対象の脅威 | SQLi, XSS, DDoS | Toxic判定, Jailbreak | 間接的プロンプト注入, MCP/Skill権限暴走, 不正Tool Call |
| 介入タイミング | パケット受信時 | LLMの前後（静的） | コンテキスト注入前 ＆ Tool実行直前（ランタイム） |
1. なぜ従来のセキュリティツールではAIエージェントを防げないのか？
AIRの共同創業者兼CEOである Yair Saban 氏によると、従来のコードスキャナーやWAFには構造的な限界が存在します。
① 「コンテキスト（Context）」への影響と不可視性
AIエージェントは、読み込んだ自然言語データ（Web、メール、ファイル、ツール出力）に基づいて自律的に決定を下します。従来のWAFはHTTPリクエストの構造チェックに留まるため、「正常な文字列の中に潜む悪意ある自然言語指示」を識別できません。
② サプライチェーンリスク（MCP / プラグイン / AI Skill）
エージェントは実行時（Runtime）に、MCP（Model Context Protocol）サーバー、プラグイン、Skillなどを自律的に接続して機能を拡張します。AIRのリサーチでは、信頼されたブランドになりすまし、安全審査をすり抜けて任意コードを実行（Execute Arbitrary Code）する悪意あるAI SkillやMCPサプライチェーン攻撃が報告されています。
2. 間接的プロンプト注入（Indirect Prompt Injection）の具体例
間接的プロンプト注入とは、プロンプトを入力するユーザー自身ではなく、AIエージェントが外部から読み込んだ「データ（Webページ、メール、PDF、データベース等）」の中に隠された悪意ある自然言語の指示によって、エージェントが攻撃者の意図通りに誤動作させられる脅威です。
具体例として「メールの要約・処理を行うAIエージェント」における被害シナリオは以下の通りです。
- 正常な指示の実行: ユーザーが「未読の受信メールを確認して要約してほしい」とAIエージェントに指示を出します。この時点では、ユーザーのプロンプトに一切の悪意はありません。
- 悪意あるデータの読み込み: エージェントはタスクを遂行するためにメールボックスを参照します。しかし、受信メールの1通に攻撃者が仕込んだ以下のような悪意ある命令文（隠しテキスト）が含まれていました。
- コンテキストの汚染と解釈: AIエージェントは読み込んだメール本文を「単なるデータ」としてではなく「実行すべき指示の一部（コンテキスト）」として誤って解釈します。
- Tool Call（権限暴走）の実行: エージェントはユーザーに無断で、自身に与えられているデータベース接続ツール（fetch_customer_db()）や外部通信ツール（http_post()）を自律的に呼び出します。
- 被害の発生: 結果として、ユーザーが気づかないうちに機密データが外部へ漏洩したり、システム上のデータが改ざん・削除されたりする実害（Side Effect）が発生します。
このように、従来のWAF（Web APIの構文チェック）や単純な入力プロンプトフィルタでは、「外部から取得した正常なフォーマットのテキストデータの中に潜むプロンプト」を識別して実行を阻止することが構造的に困難です。
3. AIRのコアアーキテクチャ：「インライン・ファイアウォール」
AIRは、悪意のある指示や侵害されたツールがエージェントのコンテキストに入る前にリアルタイムで検証・遮断します。
主な技術的コンポーネント
- エージェント・サプライチェーンの自動発見: 組織内のAIエージェントが利用するすべての Skill、プラグイン、MCP サーバーをデプロイ前後で継続的に評価。
- 一括取り消し（Revoke）機能: 脆弱性が特定された場合、該当する Add-on に依存している全エージェントのアクセス権限を即座に取り消し。
- 認証済みマーケットプレイス（AIR Marketplace）: 審査済みの Add-on や MCP のみを利用可能にするガバナンス機能。
- インライン制御: コンテキストに注入されるデータおよび発行される Tool Call をランタイムで監視・リアルタイム遮断。
4. エンジニアが今すぐ実施すべき対策（DevSecOps）
AIRのようなインライン・ファイアウォールの導入検討に加え、アプリケーション実装側で講じるべき対策です。
- 最小権限の原則（Least Privilege）の適用: エージェントに渡すAPIキーのスコープを極小化し、短命トークン（Just-In-Time Provisioning）を利用する。
- Human-in-the-Loop（HITL）の導入: データ削除・外部送信・高額決済など副作用（Side Effect）を伴うTool Callの前には人間の承認ステップをコードレベルで強制する。
- MCPサードパーティサーバーの検証: 接続するMCPサーバーのソースコードおよび通信先IP/ドメインを検証し、未承認のSkill追加を制限する。
5. まとめ
AIエージェントの普及に伴い、GenAIのセキュリティ境界は「LLMへのテキスト入力チェック」から「自律行動を起こすコンテキストと実行層（Action Layer）のガバナンス」へと変化しています。
- 課題の本質: AIエージェントは外部データやMCPサーバーを自律的に読み込むため、間接的プロンプト注入やサプライチェーン攻撃によって意図しない副作用（データ漏洩や不正API実行）を起こすリスクがある。
- AIRの解答: コンテキストに入る直前のデータをリアルタイムで検証し、悪意ある指示や不適切なTool Callを未然に遮断する「インライン・ファイアウォール」を提供する。
- 今後の展望: エージェント型AIをプロダクション環境に安全に導入するためには、WAFのようなインライン防御と、短命権限やHuman-in-the-Loopといった最小権限の設計を組み込んだDevSecOpsの構築が不可欠となる。
