AIエージェントは「すでに侵害されている」─TrendAIとPwCが13モデル2,600テストで示した構造的欠陥とAI-CAL

正しく設計されたはずのシステムから、認証トークンが顧客の見えるコメント欄に流れ出しました。しかも警報は一つも鳴りません。手を下したのは侵入者ではなく、真面目に働く自社のAIエージェント自身です。攻撃コードもマルウェアもない。ならば、いったい何を「防げば」よかったのでしょうか。

「あなたのAIエージェントは、すでに侵害されている」。この一文で始まる実証研究が、いま日本のセキュリティ担当者の間で注目を集めています。トレンドマイクロの法人向けブランドTrendAIは2026年7月17日、PwCコンサルティングとの共同レポート「自律するAIの時代：AIエージェントのサイバーリスクと実践的ガバナンス」を公開しました。

TrendAIは概念実証（PoC）環境を構築し、Anthropic・OpenAI・Google・DeepSeekの4ベンダー・13のAIモデルに対し、200種類の攻撃用プロンプトで合計2,600件のテストを実施。その結果、業務データに不正な命令を紛れ込ませる「保存型プロンプトインジェクション」が複数のベンダーのモデルで成立し、特定のモデルに依存しない構造的な課題であることを実証しました。

実証はWebフォームとKYC（本人確認）システムの2シナリオで行われ、PwCコンサルティングは統制指標「AI-CAL」を提唱しています。

From: 文献リンク TrendAI™、AIエージェントの構造的なサイバーリスクを実証 | トレンドマイクロ

【編集部解説】

「あなたのAIエージェントは、すでに侵害されている」。この一文は、トレンドマイクロの研究者が今回のレポートの元になった論文につけた見出しです。ずいぶん挑発的だと感じるかもしれません。けれど、そこに書かれている実験の中身を追っていくと、これは煽りではなく、むしろ淡々とした事実の記述に近いことがわかってきます。

私が今回この記事を書こうと思ったのは、この話が「AIの怖い話」で終わってほしくなかったからです。ここには、私たちがこれから何年もかけて向き合うことになる、AIエージェントという技術の根っこの問題が、とても具体的な形で示されています。

攻撃の正体は「データと命令の見分けがつかない」こと

まず、今回実証された攻撃の仕組みを、できるだけかみ砕いてみます。

私たちが普段使っている普通のソフトウェアは、「データ（処理される中身）」と「命令（何をするかの指示）」を、きっちり分けて扱います。顧客がフォームに書いた苦情の文章は、あくまで文章であって、システムを操作する命令にはなりません。この区別が、これまでのセキュリティの大前提でした。

ところが、AIエージェントはこの前提を崩してしまいます。言語モデルは、読み込んだ文章のなかに「このデータベースを操作せよ」という指示が紛れ込んでいると、それを命令として実行してしまう場合があるのです。トレンドマイクロはこれを、AIが内在的に抱える構造的な性質だと説明しています。

今回の主役である「保存型プロンプトインジェクション」は、この弱点を突いています。攻撃者は、正規の業務データ（サポートへの問い合わせや、アップロードする書類）のなかに、こっそり不正な指示を埋め込んでおく。AIエージェントが後からそれを読み込んだ瞬間、指示が発動する。人間が悪意ある操作をするのではなく、真面目に働いているAIエージェント自身が、攻撃者の手足になってしまう、という筋書きです。

「正しく設計したはずのシステム」が破られる

私がこのレポートでもっとも重く受け止めたのは、被害に遭う側が何もミスをしていない、という点でした。

元になった論文では、こんな情景から話が始まります。データベースはDockerというコンテナのなかにきちんと隔離した。ファイアウォールの設定も厳格にした。本番環境の認証情報は金庫から一歩も外に出していない。監査担当者もお墨付きを出した。つまり、教科書どおりに「正しく」守りを固めたシステムです。

それでも、土曜の朝に一通のメッセージが届く。「これ、こうなってるのは正常ですか？」。添付されたスクリーンショットには、本番データベースのあらゆる認証トークンが、AIエージェント自身の手で、顧客の目に触れる公開コメント欄に貼り出されている──。しかも、アラートは一つも鳴っていない。

なぜ既存の防御が効かないのか。理由はシンプルで、これらの防御が「別の問題」を解くために作られているからです。

外部からの不審な通信を止めるファイアウォールにとって、攻撃者が送り込むのは、一見なんの変哲もない普通の文章です。ブロックすべき攻撃コードの文字列など、どこにもありません。その文章が「命令」に化けるのは、データベースに保存され、AIエージェントに読み込まれた後のこと。防ぐべき瞬間に、防ぐべきものが存在しないのです。

権限管理（RBAC）も同じ壁にぶつかります。AIエージェントは、あくまで自分に与えられた正規の権限の範囲で、許可されたツールを使って動いています。監査ログに残るのは「AIが通常業務をこなした記録」だけ。何が起きているのか見えなければ、すでに侵害されていても気づけない、というわけです。

「特定のAIが悪い」という話ではない

ここが、今回のレポートの核心だと私は考えています。

「どのAIモデルが危ないのか」「安全なベンダーに乗り換えれば済むのか」──そう問いたくなるのが人情です。でも、実証実験の答えははっきりしています。トレンドマイクロは、Anthropic、OpenAI、Google、DeepSeekという主要4ベンダーの13モデルに対し、自動生成した200種類の攻撃を、合計2,600通りの組み合わせで並行して試しました。その結果、複数のベンダーのモデルで攻撃が成立したのです。

これは「たまたま出来の悪いAIがあった」という話ではありません。AIエージェントという仕組みそのもの、そのアーキテクチャに根ざした問題だ、というのが実証の結論です。だからこそ、対策も「モデルを変える」ことではなく、権限を最小限に絞る、ツールの呼び出しを制限する、AIの行動を観測・制御できるようにするといった、システムの設計と運用のほうに向かうべきだと、レポートは指摘しています。

パスポートが「実行」される、という不気味さ

実証された2つのシナリオのうち、私がとくに読者のみなさんと共有したいのは、KYC（本人確認）を狙った攻撃です。

銀行や金融機関で当たり前に行われている、パスポート画像をアップロードして本人確認する、あの仕組みが舞台です。攻撃者は、パスポート画像のなかに「監査メモ（AUDIT NOTE）」を装った不正な指示を、OCR（文字読み取り）を通り抜けるように仕込んでおく。すると、本人確認を処理するAIエージェントが誤って誘導され、まったく無関係な他の顧客のパスポート情報（氏名、旅券番号、生年月日、有効期限、国籍）を引き出して、攻撃者の記録欄へと書き込んでしまう。

「ただ書類から文字を読み取るだけ」だと思われていた工程が、攻撃の入り口になる。データと命令の境界が溶けるとは、こういうことかと、私は背筋が寒くなりました。しかもこの攻撃、埋め込んだ指示のなかで「どのツールを使え」と具体的に指定していないのに成立しているのです。賢くなったAIが、文脈から「こうすればいいんだな」と自分で補って動いてしまう。AIの能力が上がることが、そのまま攻撃の通用しやすさにつながっている、という皮肉がここにあります。

なお念のために添えておくと、これらはすべて検証用に構築した実験環境での実証であり、実在するシステムが攻撃されたわけではありません。パスポートの画像も架空のものです。

実証を「実践」へつなぐPwCの枠組み

このレポートが優れているのは、危険性を示して終わりにしていないところです。共同で取り組んだPwCコンサルティングが、実証されたリスクを、企業が管理できる形に落とし込む枠組みを用意しています。

その中心が、「AI統制保証水準（AI-CAL：AI Control Assurance Level）」という考え方です。これは、自社のAIエージェントが今どの統制レベルにあり、次に何を満たせば安全に本番環境へ投入できるのかを、経営層とセキュリティ部門が同じ言葉で話し合うための、いわば共通のものさしです。技術の細部に立ち入らなくても議論できる、という設計思想が、現場にとってありがたいところだと感じます。

ひとつ、解釈の補助線として触れておきます。この共同レポートを報じたZDNET Japanの記事では、PwCコンサルティングの村上純一氏の説明として、AIの自律性は「レベル0からレベル5までの6段階」、機能ドメインは「6つ」と紹介されています。一方、トレンドマイクロの公式発表は「L1～L5の5段階」「5つの機能ドメイン」と記しています。どちらかが誤りというより、人間が全てを操作する「レベル0」や監督機能を数に含めるかどうかで、区切り方が変わっているものと私は見ています。細かな数え方の違いはあれ、「自律性が上がるほどリスクの質が変わる」という骨格は共通しています。関心のある方は、ぜひ一次資料にあたってみてください。

なぜ、今なのか

最後に、私がこの記事を「未来を報じるメディア」として書く理由を、正直に書いておきます。

AIエージェントは、これから間違いなく、私たちの仕事や暮らしの中心に入ってきます。問い合わせ対応も、書類の処理も、社内データの検索も、どんどんAIに任されていくでしょう。その流れ自体は、生産性を大きく押し上げる、歓迎すべき変化だと私は思っています。

だからこそ、その土台にある「まだ解けていない問題」を、期待とセットで知っておくことに意味があります。今回明らかになったのは、パッチひとつで塞げるような単純なバグではなく、AIエージェントという仕組みに構造的に埋め込まれた課題です。これは「AIを使うな」という話では、まったくありません。むしろ、この弱点を正しく理解している人ほど、AIを安心して使いこなせる側に立てる。そう考えています。

期待に胸を躍らせながら、足元の危うさからも目をそらさない。その両方を持って新しい一歩を踏み出すために、この実証は、格好の道しるべになってくれるはずです。

【関連記事】

CrowdStrike、AIエージェントを狙う新プロンプトインジェクション5手法を公表
本記事と同じ「業務データに指示を潜ませAIに実行させる」間接型攻撃を、CrowdStrikeの分類体系から解説。攻撃手法の広がりを補完できる。

トレンドマイクロが警鐘、2026年はAIエージェントによる自律型サイバー攻撃の時代へ
同社レポート「VibeCrime」の解説。攻撃側がAIエージェントを使う脅威を扱っており、本記事の「守る側」の議論と表裏をなす。

「Jadepuffer」―AIエージェントが“攻撃実行”を担った初の文書化ランサムウェア
本記事の実証（PoC）に対し、こちらは実際に観測された事例。Langflowの脆弱性を突いたDB恐喝で、脅威が現実化していることがわかる。

【編集部後記】

引っかかりが残るのは、対策の答えが「モデルを変える」ではなかった点です。より賢いAIに乗り換えれば安全になる、という直感は、今回の実証できれいに裏切られました。むしろ賢いAIほど、指示されていないツールまで文脈から補って動いてしまう。

すると奇妙なねじれが生まれます。AIの性能競争が進むほど、この種の攻撃は通しやすくなる。私たちが「進化」と呼んでいるものと、この構造的な弱点は、同じ方向を向いているのかもしれません。AI-CALのような統制の枠組みは、その進化のどこに歯止めの線を引くつもりなのでしょうか。

【用語解説】

AIエージェント
指示された目標に向かって、AI（言語モデル）が自ら判断し、外部のツールやデータベースを呼び出しながら一連の作業を実行する仕組みを指す。単に質問へ回答するだけの対話型AIとは異なり、実際に業務システムを操作できる点が特徴だ。

プロンプトインジェクション
AIに対して不正な入力（プロンプト）を与え、開発者が意図しない動作や情報の引き出しを引き起こす攻撃手法である。

保存型プロンプトインジェクション
不正な命令をあらかじめ正規の業務データ（問い合わせ文やアップロード書類など）に紛れ込ませておき、AIエージェントが後からそのデータを読み込む際に命令を実行させる手法だ。攻撃の仕込みと発動のタイミングがずれる点が特徴となる。

リターン・トゥ・ツール（RTT：Return-to-Tool）
プロンプトインジェクションの一種で、埋め込まれた命令によって、AIエージェントが自らに認可された正規のツールを、攻撃者の意図する方向へ呼び出してしまう攻撃パターンを指す。トレンドマイクロが名付けた概念である。

「データ」と「命令」の区別
現在の言語モデルは、処理する対象である「データ」と、実行すべき指示である「命令」を厳密に区別できない。この性質が、今回の一連の攻撃が成立する根本的な原因とされている。

KYC（Know Your Customer／本人確認）
銀行や金融機関が、口座開設などの際に顧客の身元を確認する手続きを指す。パスポートなどの本人確認書類の画像を用いて行われることが多い。

最小権限
システムやプログラムに対し、業務に必要な最低限の権限だけを与えるという、セキュリティ設計の基本原則を指す。今回のレポートでは、本質的な対策の柱の一つとして挙げられている。

AI統制保証水準（AI-CAL：AI Control Assurance Level）
PwCコンサルティングが提唱する指標。自社のAIエージェントが現在どの統制水準にあり、安全に本番環境へ投入するには次に何を満たすべきかを、経営層とセキュリティ部門が技術的詳細に立ち入らず共通の言葉で議論するための実務的フレームワークだ。

CISO（最高情報セキュリティ責任者）
Chief Information Security Officerの略で、企業の情報セキュリティ戦略を統括する経営層の役職を指す。本レポートが主な読者として想定している立場の一つである。