自律型AIエージェントの脅威を封じ込めるマイクロセグメンテーション戦略

• レガシーな境界防御、EDR（Endpoint Detection and Response）、およびレート制限は自律型AIエージェントには機能しない可能性があります。なぜなら、自動化されたAIエージェントは無限の忍耐力を持ち、認可されたツールを連結させて従来の制御を迂回できるからです。
• ラテラルムーブメントを排除するために、セキュリティアーキテクチャは最初から侵害を前提とし、マイクロセグメンテーションを使用して、不正なネットワーク経路がそもそも存在しないようにする必要があります。
• 高度な大規模言語モデル（LLM）の脅威を無効化するには、セキュリティポリシーをIPアドレスではなく、ワークロードの固有の暗号化されたプロセスIDに直接バインドすることで、プロセスレベルのきめ細かさを実現する必要があります。
• 自律型AIエージェントの脅威は数時間で攻撃を成立させてくるため、防御側もマシンスピードで対応しなければならず、自動化された封じ込めと即時のワークロード隔離はもはや基本的な必須要件となります。

現在AIエージェントを試験導入、または展開しているエンジニアは、それらが従来の予測可能なソフトウェアのようには動作せず、自らツールを選択し複雑な手順を実行するという現実に直面しています。AnthropicがAIエージェント向けのゼロトラストに関するガイドラインを公開したことは、まさにこの劇的な変化を示しており、人間の処理能力を凌駕するAIモデルの前では、従来の境界防御が追いつかなくなることを意味します。人間を遥かに上回るスピードで未知の脆弱性を発見し、それらを連結させてわずか数時間でエクスプロイト（悪用）してしまう自律型AIに対して、どのように防御を再構築すべきか、その要となる視点をご説明します。

ガイドラインで特に印象的なのは、セキュリティアーキテクチャにおける「不可能（impossible）」と「面倒（tedious）」の比較です。AIエージェントは無限の忍耐力を持ち、1回あたりの試行コストも実質ゼロです。そのため、レート制限やトラフィックのスロットリングなど、単に攻撃を「面倒」にするだけの障壁に依存するセキュリティは、自動化された攻撃者の前では最終的に破られてしまいます。

私たちにはより強固な障壁が必要です。単に通過するのが面倒な経路ではなく、ネットワーク経路そのものが完全に遮断される仕組みが求められています。

これこそが、現在マイクロセグメンテーションが極めて重要になっている理由です。ハイブリッドクラウド環境に分散するアセットを保護する際、不要なEast-Westトラフィックを遮断する決定的なセキュリティの壁として機能するからです。AIエージェントにとって特定のデータベースと通信する絶対的な業務上の必要性がないのであれば、その経路はそもそも存在すべきではないのです。

ガイドラインはまた、システムの影響範囲にも強く焦点を当てています。AIエージェント同士は通信してタスクを委任し合うことができるため、攻撃者は権限の低いワーカーエージェントを1つ侵害するだけで、最も機密性の高い環境へと侵入できてしまいます。

ガイドラインでは、「ツールチェーン」と呼ばれる脅威についても紹介されています。これは、攻撃者がエージェントを騙して一見すると正常なツールを2つ組み合わせる手法です。たとえば、社内のCRM（顧客関係管理）データを抽出し、その後、外部のメールツールを使ってその顧客データを気付かれないように漏えいさせるといった攻撃が該当します。

エージェントは技術的にCRM、外部のメーラー、両方のツールを使用するよう認可されているため、標準的なアイデンティティ制御ではこの悪用を検知できません。そのため、これらのツールやMCP（Model Context Protocol）サーバーが存在する実際の実行環境をリングフェンス（論理的に隔離）する必要があります。リスクの高いアウトバウンド環境をコアのデータストレージから隔離しておくことで、たとえ有効なアイデンティティが乗っ取られたとしても、ラテラルムーブメントをその場で阻止できます。

さらに、防御側はマシンスピードで動く必要があります。汚染されたプロンプト（プロンプトインジェクション）でエージェントが侵害された場合、人間がアラートを確認して対応するようでは遅すぎます。セッションの即時切断やアクセスの剥奪など、自動化された封じ込めが今や基本的な要件です。Akamai Guardicore Segmentation のようなソリューションは、ワークロード層でポリシーを自動的に変更できるため、この要件を満たすことができます。何らかの異常が発生した瞬間に侵害された環境を完全に隔離し、すべてのラテラルムーブメントをブロックします。

AIの展開は、最初から侵害を前提とする形で設計しなければなりません。最もセキュアな企業とは、最も賢いAIを持つ企業ではなく、侵害が発生した際にそれを確実に封じ込める、最強の基盤となるネットワークアーキテクチャを持つ企業なのです。

こうした動的なリスクに対抗するためには、防御側も適応しなければなりません。ここからは実際の修復メカニズムと、LLMが引き起こす脅威を無効化する上で、Akamai Guardicore Segmentation がいかに理想的な制御として機能するかを見ていきましょう。

ゼロトラストのガイドラインが示す核心は、ネットワーク上の場所がもはや何の意味も持たないということです。攻撃者が間接的なプロンプトインジェクションを通じてエージェントを侵害した場合、そのエージェントはすでにネットワークの境界内に位置しています。

従来の境界型ファイアウォールは、それが正規の信頼された内部トラフィックに見えるため、エージェントが横方向へ移動するのを難なく許可してしまいます。

また、EDRソリューションもこの脅威を見逃す可能性が高いでしょう。操作されたエージェントは信頼されたバイナリと有効なクレデンシャルを通じてコマンドを実行するため、ホストベースのEDR監視ではアクティブなマルウェアとして検知できず、悪用が完全に検出されないまま進行してしまいます。

私たちは、攻撃を面倒にすることに依存したレガシーな防御戦略への依存もやめなければなりません。少し検証してみれば、近いうちに通用しなくなる従来型の手法としては、トラフィックの制限だけではないことが分かります。レート制限、非標準ポート、余分なピボットホップを経由するルーティング、あるいは基本的なプロンプトレベルの指示に依存するセキュリティ制御は、自律型システムに対しては完全に無力です。自動化されたAIの攻撃者が無限の忍耐力を持ち、1回あたりの試行に対する金銭的コストがほぼゼロだからです。エクスプロイトを面倒にしたところで数分の遅延を生むだけであり、完全に阻止することはできません。

私たちに必要なのは、不正なネットワーク経路がそもそも存在しなくなる「絶対的な壁」です。Akamai Guardicore Segmentation は、以下の手法でこれを実現します。

• リクエストの「送信元」だけに焦点を当てるのではなく、「何が」リクエストを行っているかに基づいて制御を実施する

• セキュリティポリシーを、偽装可能なIPアドレスではなく、ワークロードの固有の暗号化されたプロセスIDに直接バインドする

このプロセスレベルのきめ細かな可視性こそが、ツールチェーンなどのLLMの脅威に対する特効薬となります。このソリューションは、深いプロセスレベルでネットワーク接続を可視化するため、認可されたデータベースクライアントと、全く同じポートを使用しようとする未認可の不正プロセスを瞬時に区別します。

Akamai Guardicore Segmentation を使用すれば、明示的なプロセスIDがアクティブなポリシーに指定されていない限り、その通信経路は単に存在しません。

私たちはこのセキュリティ態勢を、現実世界の企業の複雑さをマシンスピードで処理するために特別に設計された、4段階のライフサイクルを通じて運用します。

1. Discovery（検出）
2. Intelligence（インテリジェンス）
3. Action（アクション）
4. Assurance（保証）

AIを活用したマッピングにより、アプリケーションの依存関係を自動検出し、未知のアセットに自動ラベル付けを行います。これにより、セキュリティチームはIT、クラウド、OT、およびAIのワークロード全体をリアルタイムで可視化するできます。

ソリューションはトラフィックパターンと露出リスクを継続的に分析し、段階的な展開を開始する前に、信頼度スコアと根拠を伴う正確なポリシーの推奨事項を生成します。

きめ細かいプロセスレベルの制御が本番環境に適用され、未認可のEast-West通信をリアルタイムで阻止し、極めて高い精度で脅威を封じ込めます。

継続的な検証ループにより、基盤となるモデルやインフラストラクチャが進化しても、認証され検証済みのトラフィックのみが重要なアプリケーションに到達することを保証します。

人間のスピードの防御では、自律型AIエージェントの脅威を封じ込めることはできません。自動化された脅威の進行を遅らせようとするのではなく、彼らの能力を完全に奪うことにシフトする必要があります。AIのトレーニングノード、モデルリポジトリ、そして推論APIをプロセスレイヤーでリングフェンスすることにより、エクスプロイトが始まる前に影響範囲を封じ込めることができます。