ソフトウェア開発にエージェント型AIを今すぐ導入すべき？（ネタバレ：やめておいたほうがいいかもしれません。）

サイバーセキュリティの専門家として、今まさに誰もがエージェント型AIに過剰なほど突き進んでいると感じることはありませんか？今は少し立ち止まって考えるべき時かもしれません。私たちがAIセキュリティの未来を予測する中で懸念していたことが、今まさに現実のものとなっています。

11月14日（金）、Anthropic社（人気の「Claude Code」ツールで知られる、世界で最も著名なLLMベンダーの一つ）が、画期的なレポートを発表しました。これは2025年9月に観測されたサイバーインシデントに関するもので、大手テック企業、金融機関、化学メーカーから政府機関に至るまで、あらゆる組織が標的となりました。

では、なぜこれほど騒がれているのでしょうか。何がそれほど懸念されているのでしょうか。簡単に言えば、高度な脅威アクター（国家レベルの関与が疑われる）が、Claude Codeと開発環境内の様々なツール、そしてModel Context Protocol（MCP）システムを悪用し、無害なオープンソースのハッキングツールを大規模かつ半自律的に使用して、慎重に選定された企業を標的にしたのです。30件以上の攻撃が試みられ、そのうちいくつかは成功しました。これは、AIエージェントが人間の介入をほとんど必要とせずに壊滅的な侵害を実行できることを証明しています。

先月、GlassWormと呼ばれる、VS Code拡張機能を標的とした初の自己増殖型ワームがKoi Securityによって特定されました。後者は新しい攻撃ベクトルではありませんが、一見すると無害な機能を持つコーディング拡張機能（MCPサーバーを含む）の新たな波が押し寄せており、その裏側では開発者のエンドポイントを迅速に侵害し得る様々な悪意ある活動が潜んでいる可能性があります。

今こそ立ち止まり、深呼吸をして、この新たな脅威プロファイルに対してどのように防御するのが最善か、知恵を出し合うべき時ではないでしょうか。

高速なAIエージェントに対するシステムの保護

Anthropicによる最近のレポートは、強力な新たな脅威を浮き彫りにしました。これは、AIが分散型リスクを劇的に加速・増幅させ得るという、セキュリティコミュニティの多くの人々が長年抱いてきた懸念を裏付けるものです。この事態は悪意ある攻撃者にさらなる優位性を与えるものであり、平均的な企業における技術の乱立を管理し、疲弊しきったセキュリティ担当者がすでに後手に回っている現状を考えると、非常に苛立たしい状況です。

本質的に、国家が支援する攻撃者はClaude Codeモデルの「脱獄（ジェイルブレイク）」に成功しました。彼らはAIを巧みに操り、高度なセキュリティプロトコルを回避させて敵対的な操作を実行させたのです。侵害された不正なAIエージェントは、MCPアクセスを利用して企業の様々なシステムやツールに急速に侵入しました。そして、最も高度な人間のハッカー集団であっても不可能な短時間で、標的組織内の極めて機密性の高いデータベースを特定しました。

この侵害は、脆弱性の包括的なテスト、悪意あるコードの自動生成、さらにはシステムスキャンログや盗み出した個人情報（PII）を含む攻撃の自己ドキュメント化といった、恐ろしい一連の行動を引き起こしました。

セキュリティのベテランにとって、これはまさに悪夢のようなシナリオです。人間によるチームが、このようなAIを駆使した攻撃ベクトルの圧倒的なスピードと破壊力に対抗することなど、果たして可能なのでしょうか。

開発者のエンドポイントと新たなAIエコシステムがもたらす新たな攻撃ベクトル

開発者はそれぞれ好みのIDEを持っています。従来のVSCode、JetBrainsのIntelliJやEclipse、あるいは新しいCline、Windsurf、Cursorなど様々ですが、そのほとんどには拡張機能をダウンロードしてインストールできるアプリマーケットプレイスが存在します。これらの拡張機能が悪意ある活動について精査されることは稀であり、通常は過剰な権限が付与された状態で提供され、ファイルにアクセス可能なサンドボックス環境で動作します。

現在、これらの環境にはすべてAI機能、AIエージェント、そしてそれらのエージェントが使用できる様々な新しいツール（MCPサーバーなど）が統合されています。多くの場合、これらは開発者が誰でも新しいツールを公開できるマーケットプレイスを通じて提供されています。そしてお察しの通り、これらのMCPサーバーは、プロンプトインジェクションに対して脆弱である可能性が高いAI環境を通じて、システム上のコマンドを読み取り、書き込み、実行できてしまうのです。何が起こるか、想像に難くありません。

AIツールのトレーサビリティと可観測性の不可欠性

すべては複雑であると同時に単純です。CISOが、どの開発者がどのAIツールを使用しているのか、どのようなコードがコミットされているのか、あるいはどのリポジトリが人間とAIのコラボレーションによって拡張されているのかを把握できていなければ、膨大なデータが欠落していることになります。可観測性の向上は、一刻を争う課題です。

現在、大多数の開発者が活用しているAIコーディングアシスタントとMCPサーバーの急速な統合は、SDLC（ソフトウェア開発ライフサイクル）内に重大なセキュリティの死角を生み出しました。データは憂慮すべきものです。機能的に正しいLLM生成コードの最大50%にセキュリティバグが含まれていることが判明していますが、適切な可観測性がなければ、CISOやAppSecチームは、導入されているこの高リスクなコードの量やソースについて、実効性のある洞察を得ることができません。このトレーサビリティの決定的な欠如により、ポリシーの強制やリスク軽減といった効果的なAIガバナンスは事実上不可能となっています。

AIがもたらす莫大な生産性を安全に最大化するために、組織はAIの攻撃対象領域に対する完全かつ詳細な可視性を提供するソリューションを導入しなければなりません。Secure Code Warriorは、一部のお客様向けにクローズドベータ版としてSCW Trust Agent: AIを提供しています。この機能は、開発者のローカルマシン上でAI生成コードのトラフィック（MCPサーバーを含む）をリアルタイムで能動的に監視し、IDEからプルリクエスト、そして実際のソフトウェアリポジトリへのコミットに至るまでを追跡することで、詳細な可観測性を提供します。正確なセキュリティのトレーサビリティは、使用された特定のAIコーディングツールとLLMモデル、対象となるコードリポジトリ、そして最も重要な要素である、貢献した開発者のセキュアコーディング習熟度という3つの重要なシグナルを相関させることによってのみ達成されます。

この検証可能な相関チェーンを確立して初めて、組織は導入されている実際のセキュリティリスクを正確にベンチマークし、堅牢なポリシー強制を自動化し、AIを活用する開発者が既存のガードレールを回避する前に、必須のセキュアコーディング基準を満たしていることを保証できるようになります。

詳細を知りたい方や、AIガバナンスのデモンストレーションをご希望の方は、お気軽にお問い合わせください。ベータプログラムへの参加をご希望の方も、こちらからメッセージをお送りいただけます。ベータプログラムに参加する。