自律型AIに潜む脆弱性：ツール連携による乗っ取りのリスク
- •個別のツール実行が許可されていても、それらを組み合わせることでアカウント乗っ取りを可能にするエージェンティックAIの脆弱性が実証された。
- •実行可能な検証用コードにより、従来のツール単位の権限管理（RBAC）では一連の操作による攻撃を防げないことが明らかになった。
- •セキュリティ対策として、単発の承認ではなく行動連鎖を追跡し、「R4_SEQUENCE」違反を検知する手法の重要性が指摘されている。
エージェンティックAIシステムは、従来のRBAC（役割ベースのアクセス制御）がツール呼び出しを個別に検証するだけで、一連の操作がもたらす複合的なリスクを評価しないために、セキュリティ監査をすり抜けるケースが多い。2026年7月25日に公開された検証用リポジトリでは、顧客データの読み取りやメールアドレスの更新、パスワードリセットなど、個別の操作がすべて標準的な権限ポリシーで許可されていても、それらを組み合わせることでアカウント乗っ取りが可能であることが実証された。この脆弱性は、個々のステップが単体では正当に見えても、ID変更と認証情報復旧という特定の順序で実行されることで攻撃として成立することに起因する。
公開されたデモンストレーションでは、2つのシナリオが比較されている。「Run D」では、アカウント復旧権限により許可された一連の操作が試行される。この際、システムは一連の操作を危険な組み合わせと判定し、パスワードリセットをブロックして「R4_SEQUENCE」違反を明示する構造化されたJSONログを出力する。セッション内の「READ」や「IDENTITY_MUTATION」といった先行するアクションクラスを追跡することで、正当な認証を持つ呼び出しであっても乗っ取りを未然に防ぐ仕組みだ。対照的に「Run E」では、全く同じツールの組み合わせであっても、実行順序が入れ替わるだけで許可されてしまい、個別の許可ではなく「順序」こそが攻撃の決定的な要因であることが示された。
現在の業界標準は、ツールのチェーン実行による累積的な影響を考慮していない呼び出しごとのホワイトリストに依存している。今回公開されたリポジトリは特定の危険なアクションの組み合わせをハードコードしたルールを使用しているが、これはステップ単位のセキュリティと、合成を考慮した防御の間に存在するギャップを可視化する試みである。開発者はシミュレーションを通じて、こうした順序ベースの構成を検知可能なツールを検証する必要がある。エージェンティックAIシステムにおいて、危険な操作の組み合わせを一般化して定義できるエンジンは、依然として未解決の課題となっている。