OWASP Top 10 for LLM Applications 2026 ：エージェンティックAIの進化と求められるセキュリティ

2026年版のリストで最も明確なテーマの1つは、エージェンティックAIの重要性が高まっていることです。

もはやAIアプリケーションはテキスト生成にとどまりません。最新のAIモデルは企業システムと直接連携し、データの取得やAPIを通じたツールの呼び出し、影響の大きいビジネスワークフローの実行までを自律的に行います。この変化は、「LLM03：Excessive Agency(過剰な権限)」および「LLM08：Hidden Context Exposure(隠れたコンテキストの露出)」という2つのリスクカテゴリが大きく順位を上げたことに表れています。 

• LLM03：Excessive Agency(過剰な権限)：AIシステムが過剰な機能、権限、または自律性を持った場合に生じるリスクを扱います。操作されたり、信頼性が低下したりしたモデルが、適切なセグメンテーション（隔離）を施されないまま機密データにアクセスし、レコードの更新やワークフローの実行、外部システムを起動できる状態にあると、その危険性は極めて高くなります。

• LLM08：Hidden Context Exposure(隠れたコンテキストの露出)：以前の「LLM07：System Prompt Leakage(システムプロンプトの漏えい)」へのフォーカスを広げたものです。モデルのコンテキストウィンドウ内に組み立てられる運用情報（開発者の指示、内部設定、取得したポリシー、アプリケーションのワークフロー、ユーザーの役割、ツールや関数のスキーマ、権限モデルなど）が「隠れたコンテキスト」として露出するリスクを指します。

これらの変更は、内部のコンテキストにアクセスし、それに基づいて行動できるAIシステムのセキュリティへの影響力が拡大していることを反映しています。AIアプリケーションが企業のデータ、ツール、ワークフローへと深く入り込むにつれて、かつては「モデルの出力結果への影響」で済んでいた脆弱性が、現実の不正な操作やシステム全体への広範な被害へと直結するようになっています。

LLM03の重要性の高まりは、業界全体に広がるトレンドの表れでもあります。より多くのAIアプリケーションに外部ツールが連携され、ユーザーのリクエストやモデル自身の判断に基づいて動的にツールを呼び出す機能が実装されつつあります。

こうした機能により、AIシステムは単に回答を生成するだけでなく、連携するシステムからの情報取得、企業データへのアクセス、レコードの更新、ワークフローの実行、外部サービスの呼び出しなど、ユーザーに代わって実際のアクションを実行できるようになります。

これは業界が向かうべき明確な方向性である一方、攻撃対象領域（アタックサーフェス）を劇的に広げることにもなります。セキュリティ侵害は、もはや誤ったテキスト出力の問題ではありません。攻撃者は、正当な権限を持つツールを悪用し、ワークフローをバイパスして機密データを持ち出したり、不正なアクションを意図的に引き起こしたりする可能性があります

Akamai Firewall for AIは、ユーザー、モデル、ツール、および連携システム間のやり取りをインラインで検証することで、AIアプリケーションがより高度な自律性と実行能力を獲得する中でも、組織が可視性と適切な制御を維持できるよう支援します。

LLM08が特に注目に値するのは、私たちがAIセキュリティの調査を通じて以前から指摘してきた「AI偵察（AI reconnaissance）」というリスクが公式に認められた点です。.

攻撃者は必ずしも、最初から露骨に機密データを要求したり、ツールのエクスプロイトを試みたりするわけではありません。その代わりに、まず対象となるAIアプリケーションのマッピングを試みる傾向があります。

• アシスタントに何ができるのか

• ナレッジベースを使用しているか

• どのツールや連携機能が利用可能か

• どのような権限と役割が存在するか

• どのようなリクエストであれば拒否されるのか

• ワークフローや判断基準はどのように構成されているか

これらの質問は、一つひとつを見れば無害に思えるかもしれません。しかし、これらの回答を組み合わせることで、攻撃者はそのアプリケーションに特化した精密な攻撃を組み立てるためのインテリジェンスを得てしまいます。

「LLM08：Hidden Context Exposure(隠れたコンテキストの露出)」カテゴリは、ツールスキーマや動作ロジック、権限、ロール、拒否メカニズム、ワークフローのルールなどが漏えいするリスクを正確に捉えています。こうした情報は、標的型プロンプトインジェクションや不正アクセス、ツールの悪用、さらには悪意のあるアクションの連鎖を引き起こす土台となります。

これは、私たちが170以上の実際のAIアシスタントを調査した際に観察した結果と見事に一致しています。AIアシスタントは、機密情報の直接的な要求には拒否反応を示しても、自身の機能や動作の境界線、接続されているツール、あるいは情報源に関する詳細な能力をうっかり明らかにしてしまうことがあります。そしてその情報こそが、汎用的な攻撃を極めて高度な標的型脅威へと変化させてしまうのです。

最終的な攻撃の実行だけを防御するアプローチでは、重大な抜け穴が残ることを私たちは早期から認識していました。攻撃者が高度な標的型プロンプトインジェクションや悪意のあるツール実行リクエストを送信する頃には、すでにアプリケーション固有の制御をバイパスするための十分なコンテキストが収集されている可能性があります。

間もなく、Akamai Firewall for AIを利用するお客様に向けて、独自の専用「Reconnaissance detector（AI偵察検知機能）」が提供されます。これは、次のような行動を特定するように設計されています。 

• 機能および境界線の発見

• ツールと関数の列挙

• ナレッジベースの探索

• 権限と役割の特定

• 内部指示やワークフローロジックの再構築の試行

これにより組織は、攻撃者がプロンプトインジェクション、不正なデータアクセス、ワークフローの悪用、ツールの誤用、その他の悪意あるアクションへと段階を進める前に、キルチェーンの初期段階で不審な動きを検知できるようになります。

Akamai Firewall for AIは、AIアプリケーションのトラフィックに対してインラインで動作し、ユーザーのプロンプトとモデルの応答の双方を評価します。背後で動いているモデルプロバイダーやAIプラットフォームが何であるかに関わらず、組織はアプリケーションごとに固有のポリシーを適用し、検知されたアクティビティを「監視」「修正」「ブロック」のいずれで処理するかを選択できます。

今回のLLMアプリケーション向けOWASP Top 10は、AIセキュリティの概念を根本から覆すものではありません。むしろ、すでに本番環境で顕在化しているリスクに対して、より成熟し、証拠に基づいた現実的な視点を提供するものです。

エージェンティックAIを安全に運用するには、AI偵察（AI Reconnaissance）やコンテキストの探索から、実際のデータの持ち出しや不正アクションに至るまで、キルチェーン全体をカバーする可視性が必要です。

Akamai Firewall for AIは、まさにこうした現実の脅威に対抗するために構築されました。AIアプリケーションとのやり取り全体にわたってランタイム保護を提供し、ユーザーとモデルの対話において、またそのモデルが機密データ、ツール、ビジネスワークフローに接続されていく中で、組織が脅威を特定し制御できるように支援します。

また同製品は、プロンプトインジェクションやジェイルブレイク（脱獄）の試行、機密データの露出、偵察活動、有害または不適切なトピックの利用、さらには最新のエージェンティックな脅威まで、AI特有の幅広いリスクを防御します。

AIトラフィックに直接セキュリティ制御を適用することで、組織は不審な振る舞いを検知し、危険なインタラクションが進行する前にポリシーを適用できます。同時に、自社のAIアプリケーションが実際どのように使われ、どのような攻撃を受けているのかについて深い可視性を得ることができます。

AIシステムが独立したチャットインターフェースの枠を超え、内部情報の取得、コンテキストの維持、ツールの呼び出し、さらにはユーザーに代わって自律的にアクションを実行するアプリケーションへと進化するにつれ、このインライン保護の重要性はますます高まっていきます。

加えてAkamaiでは、企業がAI主導の環境下で安全に事業を展開し、組織内外のデジタルインタラクションを保護するための包括的なAIセキュリティソリューションを提供しています。その中核となるのが、Akamai Guardicore Segmentation、Akamai Workforce Protector、および Akamai Application Protection Platform などのソリューション群です。

Akamai のAIセキュリティ対策ソリューションについてご興味をお持ちの方はぜひ一度お問い合わせください。