エージェントの「自律化」がセキュリティ脅威に変わる理由
2026年に入り、AIによる作業の自動化の可能性が広がりました。
特にAnthropic社のClaude codeがブームになり、AIによる業務支援の幅も大きくなって、「意思決定」と「ツール実行」を自律的に担う段階へ進みました。
これに伴い、セキュリティ上の脅威は「不適切な回答」から、システムの直接的な乗っ取りや情報の自動窃取へと重心が移っています。
直近1カ月の動きを整理してみます。
まずインシデントの質が変わりました。
2026年1月末、オープンソースのAIエージェントフレームワーク「OpenClaw」において、「1クリックでエージェントが乗っ取られる」脆弱性（CVE-2026-25253）が発見されました。
これは、細工リンクのクリックだけでエージェントが持つ実行権限を奪われ、外部から任意コード実行に至るというものです。
さらに、OpenClawのマーケットプレイス（ClawHub）では悪意あるスキルが大量配布され、実用ツールを装ってキーロガーや窃取系マルウェアを導入させます。
n8nでもAIチャットボット経由で設定ファイルを読ませ、最終的にサーバー権限を奪取する手口が確認されています（CVE-2026-21858）。
いずれも「エージェントが行動できる」こと自体が攻撃面を拡張しています。
脅威トレンドも変化しています。従来のプロンプトインジェクションに加えて、エージェントの「自律性」を狙う「Agency Hijacking」が一般化しました。
ツール、メモリ、意思決定プロセスを直接操作し、永続的な情報窃取や誤作動を引き起こします。
MCPの普及に伴い、認証設定の甘いエンドポイントが露出し、APIキーや資格情報の漏えいが目立つ点も見逃せません。
さらに、開発環境のAI拡張機能を装った悪意ある拡張機能の流通が続き、開発者のソースや機密が外部へ送信されるケースも報告されています。
こうした背景で、OWASP Agentic AI Top 10（2026版）が注目されています。
https://genai.owasp.org/resource/owasp-top-10-for-agentic-applications-for-2026/
「Goal Hijacking」や「Tool Misuse」、「Identity Abuse」、「Memory Injection」といった新しいリスク項目は、エージェントが「権限を持つ主体」になったことを前提に定義されています。
従来の「LLM Top 10」の延長では守れない領域が顕在化したと言えます。
現在のAIエージェントセキュリティは、「AIが人間のように権限を持って行動する」ことを前提とした対策が急務です。
第一に、「最小権限の原則（Least Agency）」を徹底し、エージェントに不要なツール実行権限を与えません。
第二に、送金や削除など高リスク行為は人間の承認を挟むことを必須化します。
第三に、ツールからの返り値をそのままプロンプトに戻さず、サニタイズや検証を挟みます。
これらは派手ではありませんが、エージェント時代の基礎体力になります。
AIエージェントの導入は生産性を引き上げる観点から無視できない一方で、権限と自律性が新たな攻撃面になります。
権限設計と運用設計の見直しから始めたいものです。
