間接プロンプトインジェクションでは、攻撃者は入力欄に何も打ち込みません。AIが読みにいくIssueや社内文書に指示を置いておけば、あとはエージェントが正規の権限で実行してくれます。実装のミスを探す従来の脆弱性診断では、この穴は見つかりません。仕様と権限のつなぎ方そのものが、穴になっているからです。
株式会社サイバーセキュリティクラウドは2026年7月28日、『AIアプリケーション脆弱性診断サービス』を提供開始した。
LLMやRAG、MCP、AIエージェントを用いたAIアプリケーションが対象で、「OWASP Top 10 for Large Language Model Applications」を基準に診断項目と攻撃シナリオを設計し、自動診断ツールによる検査と専門家によるAI Red Teamingを組み合わせる。同社グループのAIセキュリティ領域では『AI MONBAN』に続く第二弾となる。提供にあたり、京都市のKonoe Intelligence株式会社と業務提携した。同社チームは、OpenAIとKaggleによる「Red-Teaming Challenge – OpenAI gpt-oss-20b」でHonorable Mentionに選出されている。
From: 
『AI MONBAN』に続く第二弾！世界水準の AI Red Teaming と Web セキュリティの知見を融合した『AI アプリケーション脆弱性診断サービス』を提供開始
【編集部解説】
サイバーセキュリティクラウドがAIセキュリティ領域に足を踏み入れたのは、2026年6月9日の『AI MONBAN』が最初でした。そこから約7週間で第二弾が出てきたことになります。この間隔の短さ自体が、いま企業の現場で何が起きているかを物語っています。
『AI MONBAN』は、社内システムとAIの間に立ち、誰がどのAIに何を送ったかを見張る「門番」でした。今回はその逆方向、つまり自社が世に出すAIアプリケーションを、出す前に叩いておくためのサービスです。AIを使う側の可視化・制御に、AIを開発・提供する側の診断・評価が加わり、同社グループの守備範囲が広がりました。
AIアプリを検査するサービスは、国内でもこの2年半ほどで選択肢が増えてきました。NRIセキュアテクノロジーズは2023年12月18日に「AI Red Team」を投入し、2025年12月16日には内部状態まで踏み込む「深層型」へ拡張。GMOサイバーセキュリティ byイエラエは2026年4月27日に「AIエージェントペネトレーションテスト」を開始しています。作る側の話題が先行してきた市場に、検査する側の選択肢が並び始めました。
ここで押さえておきたいのは、AIアプリの脆弱性が従来型とかなり性質が違うという点です。SQLインジェクションのような古典的な脆弱性は実装のミスとして特定できますが、プロンプトインジェクションは、信頼された命令と外部から取り込んだ内容を、LLMが常に確実には区別できるとは限らない性質に関係します。アプリケーションの権限設計や外部接続の構成も、攻撃の成否と影響の大きさを左右します。単一のパッチで恒久的に解消できる種類の問題ではありません。
より厄介なのが、プレスリリースでも触れられている間接プロンプトインジェクションです。攻撃者は入力欄に何も打ち込みません。RAGが参照する社内文書、エージェントが読みにいくIssueやメール、Webページに指示を仕込んでおくだけです。あとはエージェントが、正規の権限を使って攻撃者の意図どおりに動いてくれます。
2025年5月に公表されたGitHub MCP Serverの事例は、その典型でした。公開リポジトリに置かれた悪意あるIssueを読んだエージェントが、ユーザーのプライベートリポジトリの内容を公開プルリクエストへ吐き出してしまう。研究者は、MCPサーバーのコード不具合というより、信頼できない公開コンテンツを読むエージェントと、非公開リポジトリへ届く権限の組み合わせが流出経路を作ったと分析しています。GitHubはその後、サーバー側にも流出を緩和する対策を追加しました。「アタックサーフェスが拡大している」という表現の中身は、おおむねこういう話です。
診断の拠り所として挙げられている「OWASP Top 10 for Large Language Model Applications」は、いまも国際的に広く参照される枠組みです。サプライチェーンや過剰な権限まで射程に入っている一方、計画し、記憶を持ち、権限を委譲しながら動くエージェントの振る舞いは、主眼には置かれていません。
そこを埋めるかたちで、OWASP GenAI Security Projectは2025年12月9日に「OWASP Top 10 for Agentic Applications 2026」を公開しました。ASI01からASI10までの10項目には、エージェントの目標乗っ取り、メモリ・コンテキストの汚染、ローグエージェントといった、モデル単体では説明できない危険が並びます。100人を超える専門家・研究者・実務者の協働によって作成されたものです。
診断を発注する側としては、「どのリストの、いつの版に基づくのか」を見積もり段階で確認しておくと、後から話が噛み合いやすくなるはずです。これは編集部としての実務的な解釈です。
提携先のKonoe Intelligenceについても、少し補助線を引いておきます。同社が現在の社名になったのは2026年7月21日付、このリリースのわずか1週間前です。設立は2025年2月。当初は中東・バーレーンで事業を始めたことから、現地で通りやすい社名としてAladdin Securityを名乗っていたと同社は説明しています。日本での本格展開にあたり、社名が資本関係の誤解を招きうると判断したことが、改称の理由として挙げられています。
実績として挙げられているコンペティションは、OpenAIがgpt-oss-20bの公開に合わせてKaggle上で開いたもので、賞金基金は50万ドル（1ドル＝163.6円換算で約8200万円、2026年7月28日時点のレート）。参加者や受賞企業の記録では提出は600件を超え、関係団体の発表では参加者は5200人以上だったとされています。結果として賞金対象の10チームが選ばれ、それに続くHonorable Mention（優秀賞にあたる区分）にも10チームが名を連ねました。勘佐圭吾氏のチームは当時のAladdin Security名義でこのHonorable Mentionに選出されており、同社は日本人を含むチームとして唯一の選出だったと説明しています。国際的な評価の場で結果を残したチームであることが、今回の提携の裏づけになっています。
制度面の追い風もあります。EU AI Actは2026年8月2日から第50条の透明性義務が本格的に効き始めます。ただし、同日より前に市場投入された生成AIシステムについては、AI生成コンテンツのマーキング・検出を求める第50条2項への適合期限が2026年12月2日まで猶予されます。同じ日に、欧州委員会がGPAIモデルの提供者へ制裁金を科せる執行権限も動き出します。高リスクAIの義務そのものは、Digital Omnibusに含まれるAI Act改正によって附属書IIIが2027年12月2日、附属書Iが2028年8月2日へと後ろ倒しになりましたが、規制が消えたわけではありません。
日本にはAI法や分野別の既存法がありますが、すべてのAI提供者に一律のレッドチーミングや脆弱性診断を義務づける一般規定は、現時点ではありません。代わりに、AIセーフティ・インスティテュートが公開した「AIセーフティに関するレッドチーミング手法ガイド（第1.10版）」が、実務上の共通言語になりつつあります。発足から改善後のフォローアップまで15ステップで整理され、RAGを組み込んだシステムの実施例も付いています。今後、取引先から「レッドチーミングの記録はありますか」と聞かれる場面は増えていくでしょう。診断報告書は、そのときに差し出せる数少ない資産になります。
同時に、限界も直視しておく必要があります。診断はあくまである時点のスナップショットです。モデルを差し替えれば挙動は変わり、システムプロンプトを一行足しただけで防御が崩れることもあり、MCPサーバーをひとつ追加すれば攻撃面が広がる可能性もあります。AISIのガイド自身が、改善後のフォローアップと必要に応じた再実施を手順に組み込んでいます。
だからこそ、出す前の「診断」と、動かしている最中の「可視化・制御」を組み合わせることで、リリース前から運用中まで守備範囲を広げられます。同社が『AI MONBAN』と本サービスを第一弾・第二弾として並べているのは、そういう設計思想の表れだと編集部は受け取っています。なお今回のリリースに価格の記載はなく、診断範囲は個別設計とされているため、費用感は問い合わせベースになります。
AIに権限を渡す社会は、もう始まっています。人間が一つひとつ承認していた操作を、エージェントが代わりに実行する。そこで信頼の足場になるのは、性能でも速度でもなく、「壊そうとした人がいて、その記録が残っている」という事実のほうではないでしょうか。攻撃者の視点が専門職として市場に組み込まれていくことは、AIが社会インフラになるための、地味で不可欠な工程だと考えています。
【関連記事】
ChatGPTの脆弱性「AgentForger」、リンク1本でAIエージェントが社内の内通者になる（内部）
本記事で触れた間接プロンプトインジェクションが、実際にどう成立するのかを追った一本。
AIエージェントは「すでに侵害されている」─TrendAIとPwCが13モデル2,600テストで示した構造的欠陥とAI-CAL（内部）
公開前の診断がなぜ要るのか。13モデル2600テストの結果が、その前提を数字で示す。
【解説】EU AI Act発効からまもなく2年｜「AIを規制する」から「規制を実装する」へ（内部）
2026年8月2日に何が始まり、何が2027年以降へ動いたのか。制度面の詳細版。
【編集部後記】
社内でAIエージェントに権限を渡すとき、私たちはたいてい「便利かどうか」から考え始めます。ファイルを読ませる、チケットを起票させる、社内検索をつながせる。ひとつずつは小さな判断で、承認のハードルも高くありません。
ただ、GitHub MCP Serverの事例が示したのは、その小さな判断が積み上がった先に、誰も設計していない経路ができあがるということでした。問われたのはコードの正しさだけでなく、何を読ませ、どこまで届く権限を渡すかという組み立てのほうでした。
AISIのガイドが15ステップの冒頭に「実施の決定とレッドチーム発足」を置いているのは、たぶん偶然ではありません。攻撃を試す前に、誰が責任を持って試すのかを決める。その順番が、案外いちばん難しいところなのだと思います。
みなさんの組織では、AIに渡した権限の一覧を、いま何分で出せる状態でしょうか。
【用語解説】
LLM（大規模言語モデル）
膨大なテキストを学習し、文章の生成や理解を行うAIモデル。役割ごとの区分は持つものの、信頼された命令と外部から取り込んだ内容を常に確実には切り分けられない点が、後述の攻撃の背景にある。
RAG（検索拡張生成）
社内文書やデータベースを検索し、その内容を根拠としてLLMに回答させる仕組み。参照先の文書が汚染されると、AIの回答が攻撃者に操られる経路になり得る。
MCP（Model Context Protocol）
AIエージェントと外部ツール・データソースをつなぐためのオープン規格。2024年11月にAnthropicが公開し、接続の標準化が進んだ一方で、認証や権限の設計不備が新たな攻撃面になっている。
AIエージェント
指示を受けて自律的に計画を立て、ツールを呼び出し、複数の手順を連鎖させて処理を完了させるAI。都度の承認を挟まずに動ける設計もあり、その場合は誤動作の影響が実行結果として外部に及ぶ。
プロンプトインジェクション
悪意ある指示を入力に混ぜ込み、AIに本来の制約を逸脱した動作をさせる攻撃。LLMの性質とアプリケーション側の権限設計・接続構成の双方が関係するため、単一の修正では解消しにくい。
間接プロンプトインジェクション
攻撃者が直接AIに入力するのではなく、AIが読みにいく文書・Issue・メール・Webページなどに指示を仕込む手法。エージェントが正規の権限で命令を実行してしまう点が本質的な危険である。
AI Red Teaming（レッドチーミング）
攻撃者の視点からAIシステムを意図的に攻撃し、対策の不備を洗い出す評価手法。自動ツールでは再現しにくい、仕様・権限・業務フローに起因する問題の発見を目的とする。
Honorable Mention
コンペティションで、賞金対象の入賞に続いて選出される区分。gpt-oss-20bの競技では、賞金対象10チームとは別に10チームがこの区分で公表された。
アタックサーフェス（攻撃面）
攻撃者が侵入や悪用を試みられる接点の総体。AIアプリでは外部API、業務システム、MCPサーバー、参照データなどが加わり、外部接続が増えるほど広がる傾向にある。
ASI01〜ASI10
エージェント固有のリスクに付された識別子。ASI01が目標の乗っ取り、ASI06がメモリ・コンテキストの汚染、ASI10がローグエージェントにあたる。
gpt-oss-20b
OpenAIが2025年8月に公開したオープンウェイトモデル。16GB程度のメモリを持つ端末でも動かせるとされ、公開に合わせて国際的なレッドチーミング競技の題材となった。
GPAI（汎用AIモデル）
特定の用途に限定されず、幅広いタスクをこなし、さまざまな下流システムに組み込める一般性の高いモデル。EU AI Actでは、リスク分類とは別枠で独自の義務が課される。
EU AI Act
EUのAI規制法。リスクの大きさに応じて義務を課す構造を持ち、EU市場への投入や出力の利用場所によっては日本企業も対象になり得る。第50条は、AIとのやり取りやAI生成コンテンツに関する透明性義務を定める。
Digital Omnibus
EUのデジタル関連法をまとめて簡素化するパッケージ。このうちAI Actを改正する規則により、高リスクAI義務の適用時期が見直され、附属書IIIは2027年12月2日、附属書Iは2028年8月2日へと後ろ倒しされた。
【参考リンク】
AIアプリケーション脆弱性診断サービス（サイバーセキュリティクラウド）（外部）
本記事で取り上げたサービスの公式ページ。診断対象と診断観点、報告書の内容を掲載。診断範囲は個別設計で、費用は問い合わせベースとなる。
株式会社サイバーセキュリティクラウド（外部）
WAF「攻撃遮断くん」「WafCharm」を展開する東証グロース上場企業（証券コード4493）。2010年8月設立、本社は東京都品川区上大崎。
脆弱性診断（セキュリティ診断）サービス（外部）
今回のAI診断の土台となった既存サービス。Webアプリケーション、プラットフォーム、APIの3ラインアップで構成され、ツールと手動を併用する。
AI MONBAN（外部）
グループ会社DataSignが開発したAIガバナンス基盤の公式サイト。MCP接続の管理、入力・応答のマスキング、アクセス制御、監査ログなどを提供する。
Konoe Intelligence株式会社（外部）
今回の提携先。「AIを理解する（Understand）」「AIを評価する（Evaluate）」「AIを守る（Secure）」の3本柱を掲げる。内部可視化をUnderstand、AEGISとRed TeamをEvaluate、ガードレール・LLM診断・ガバナンス支援をSecureに位置付けている。
Aladdin Security株式会社、Konoe Intelligence株式会社へ社名変更（外部）
2026年7月21日付の社名変更リリース。バーレーンでの創業経緯と、社名を改めるに至った理由が同社自身の言葉で説明されている。
OWASP Gen AI Security Project（外部）
生成AI・LLM・エージェントのセキュリティリスクを整理する国際的なオープンソース活動。各種ガイドやレポートを無償で公開している。
OWASP Top 10 for Agentic Applications for 2026（外部）
自律的に動くAIエージェント固有のリスクを10項目に整理した文書。100人を超える専門家らの協働により2025年12月に公開された。
AIセーフティに関するレッドチーミング手法ガイド（第1.10版）（外部）
体制の立ち上げからフォローアップまでを15ステップで解説した日本語ガイド。RAGを実装したシステムへの実施例も収録されている（PDF）。
AI Red Team（NRIセキュアテクノロジーズ）（外部）
国内で先行するAIセキュリティ診断サービス。AISIやOWASPのガイドラインに沿った評価を掲げており、比較検討の材料になる。
GMOサイバーセキュリティ byイエラエ「AIエージェントペネトレーションテスト」（外部）
2026年4月27日発表のリリース。AISIのレッドチーミング手法ガイド第1.10版に基づく検証にも対応するとしている。
実例で読み解くAIエージェントの脆弱性（外部）
GitHub MCP Serverを悪用した間接プロンプトインジェクションの手口を、攻撃の流れに沿って図解した解説記事である。
Red-Teaming Challenge – OpenAI gpt-oss-20b（外部）
本文で触れた競技の公式ページ。課題設定とルールのほか、公式の結果発表と公開されたWriteupを確認できる。
【参考記事】
Holistic AI Named Top 10 Winner in OpenAI’s GPT-OSS-20B Red Teaming Hackathon（外部）
賞金基金50万ドル、提出600件超、上位10チームに5万ドルという競技の規模が記された入賞企業のリリース。
Safety evaluation competition on OpenAI gpt-oss concluded（外部）
参加者本人による記録。提出が600件を超え、本人によれば入賞とHonorable Mentionから15チームが成果発表を行ったという。
OWASP GenAI Security Project Releases Top 10 Risks and Mitigations for Agentic AI Security（外部）
2025年12月9日の公式発表。モデル単体を扱う従来のリストと、エージェントを扱う新リストの違いを整理している。
OWASP Top 10 for Agentic Applications 2026 Explained（外部）
ASI01からASI10までの10分類が、100人以上の専門家の協働で組み立てられた経緯と実例への対応を解説する。
AI Act：2026年8月2日を前に、企業に迫るカウントダウン（外部）
高リスクAIの延期先と、第50条の透明性義務が2026年8月2日から効き始める点を対比して整理した記事。
NRIセキュア、生成AIを活用したシステム向けのセキュリティ診断サービス「AI Red Team」を提供開始（外部）
2023年12月18日の公式リリース。国内でAI特化の診断サービスが立ち上がった時期を示す一次情報である。
【今日のドル円】昨日の振り返りと今日のドル円相場見通し 2026年7月28日（外部）
同日のドル円が163.331円から163.767円で推移した記録。本文の円換算はこの水準に基づいている。
