AIエージェントと実装する安全なコード

Security.any #12 月夜ばかりと思うなよセキュリティLT での登壇スライドです。
https://security-any.connpass.com/event/400816/

Transcript

1. AIエージェントと実装する 安全なコード 2026.09.10 Security.any #12 月夜ばかりと思うなよセキュリティLT
2. RYO 主にクラウドセキュリティ (AWS)、脅威モデリン グ、脆弱性管理、 OIDC/OAuthなどが得意で す。 一応、コンサルタントを名乗っているけど、最近 はずっとコードを書いている日々 ...
3. コード書いてますか？
4. AIエージェント 利用していますか？
5. GITHUB COPILOT STATISTIC 2026 ユーザが書いたコードの内、 46％が GitHub Copilotによって生成されたも のだった。 GitHub Copilotを利用していると、開 発者は 55％早くタスクを完了させて いる。 ※出典: GITHUB COPILOT STATISTICS 2026
6. AIを利用すれば開発生産性が 2倍...!?
7. AIを利用すれば開発生産性が 2倍...!? そうでもない
8. Coderabbit Report Coderabbitが発表したレポートによると、 AIが生成したプルリクエストには 1.4～1.7倍もの重大な問題が見つかってい ると報告している ※出典: Our new Report: AI code creates 1.7x more problems
9. Apiiro Report ASPMを展開する Apiiroは、AIエージェントの導入 よって、開発速度は 4倍、脆弱性は 10倍になっ ていると報告している ※出典: 4x Velocity, 10x Vulnerabilities: AI Coding Assistants Are Shipping More Risks
10. AIを利用すれば 開発生産性 が2倍...!? 脆弱性
11. なぜ多くのバグが生まれるのか？ AIのモデルはコードを統計的に推論するだけでプロダクト固有の制約やドメイン を理解しておらず、ロジックの問題が75%増加する AIが書いたコードは「見た目はきれい」だが、nullチェックやガード条件が抜けて いる場合があり、エラーハンドリングの欠落は約2倍 多い AIによってコードの生成速度は4倍以上に達しており、その分バグも多くなり、人 間によるレビューも追い付いていない
12. OWASP Top 10 for Agentic Applications AIエージェントにおける最も重大な 10のセキュリ ティリスクを定義したガイドライン ※出典: OWASP Top 10 for Agentic Applications for 2026
13. AIエージェントにおける 10のセキュリティリスク ASI01 Agent Goal Hijack (エージェントのハイジャック) ASI02 Tool Misuse and Exploitation (ツールの悪⽤と搾取) ASI03 Identity and Privilege Abuse (IDと権限の乱⽤) ASI04 Agentic Supply Chain Vulnerability (サプライチェーンの脆弱性) ASI05 Unexpected Code Execution (RCE) (予期しないコード実⾏) ASI06 Memory & Context Poisoning (メモリとコンテキストの汚染) ASI07 Insecure Inter-Agent Communication (⾮セキュアなエージェント間通信) ASI08 Cascading Failures (連鎖的な失敗) ASI09 Human-Agent Trust Expoitation (⼈間とエージェントの信頼の搾取) ASI10 Rogue Agents (悪質なエージェント)
14. AIエージェントにおける 10のセキュリティリスク ASI01 Agent Goal Hijack (エージェントのハイジャック) ASI02 ASI03 Tool Misuse and Exploitation (ツールの悪⽤と搾取) 事例を紹介 Identity and Privilege Abuse (IDと権限の乱⽤) ASI04 Agentic Supply Chain Vulnerability (サプライチェーンの脆弱性) ASI05 Unexpected Code Execution (RCE) (予期しないコード実⾏) ASI06 Memory & Context Poisoning (メモリとコンテキストの汚染) ASI07 Insecure Inter-Agent Communication (⾮セキュアなエージェント間通信) ASI08 Cascading Failures (連鎖的な失敗) ASI09 Human-Agent Trust Expoitation (⼈間とエージェントの信頼の搾取) ASI10 Rogue Agents (悪質なエージェント)
15. ASI01: Agent Goal Hijack (エージェントのハイジャック ) AIエージェントに与えられた制約や命令、目標が無視されたり別のものに置き 換えられてしまうこと AIエージェントには自然言語で書かれた「ユーザからの指示」と「外部のデー タ」を明確に区別できない、という構造上の弱点がある 結果として、本来の意図とは異なる行動を取ったり、人間を欺くような報告をし たりする
16. 本番環境のデータベースを削除 2025/07、AIエージェントの Replitが、ユーザ の本番データベースを削除してしまうインシ デントが発生 AIは「何も修正しないで（ modify nothing）」 というユーザから明示的に繰り返し行われて いた指示を無視 データベースを削除後、 AIは「復元は不可能 である」と虚偽の報告も行った
17. ASI04: Agentic Supply Chain Vulnerability (サプライチェーンの脆弱性 ) AIエージェントが利用するサードパーティ製のツールや情報が、悪意を持って 作成されていたり侵害されていたりする場合に発生するリスクのこと 従来のサプライチェーンリスクはライブラリをインストールする前にスキャンして 侵害を防ぐことが可能ですが、AIエージェントの場合は実行時に動的に侵害の 被害に遭う可能性がある
18. AIエージェントトラップ 攻撃者 AIエージェントそのものではなく、 AIエージェ ントが参照する情報や環境（ツール・リポジト リ・検索結果など）を汚染して攻撃する手法 攻撃者が不正な命令を含んだ ファイルをプルリクエスト OSS AIエージェントが外部で汚染された情報を 「正しい材料」として拾ってしまう 開発者がチェックアウト or ダウンロード 開発者 脆弱性（CVE-2026-22708）として採番され ている AIコードエージェントが参照 AIコードエージェント 攻撃者の命令に従った アウトプット
19. もうAI利用しない方がいいの ...!?
20. もうAI利用しない方がいい の...!? 対策はあります！
21. Lethal Trifecta（致命的な 3要素）を避ける OWASP TOP 10 for Agentic ApplicationsではAIエージェントに次の 3つが揃った構成 を「Lethal Trifecta（致命的な3要素）」と表現している AIエージェントを使ってコーディングする際は、この 3つを避ける or 対策を講じることが重 要 機密データへのアクセス 信頼できないコンテンツの読込 外部への通信
22. Lethal Trifecta を避ける方法 機密データへのアクセス 信頼できないコンテンツの読込 外部への通信 ▪ タスク限定・短命トークン ▪ CDR（Content Disarm and ▪ 決定論的フック ▪ 最小権限の原則の徹底 Reconstruction） ▪ インテント・ゲート ▪ アイデンティティ・チェイニング ▪ 意味的ファイアウォール ▪ 人間の承認（Human-in-the-loop） ▪ データのセグメンテーション ▪ 真正性の確認 ▪ Rule of two の適用 ▪ サンドボックス環境での実行
23. Lethal Trifecta を避ける方法 機密データへのアクセス 信頼できないコンテンツの読込 外部への通信 ▪ タスク限定・短命トークン ▪ CDR（Content Disarm and ▪ 決定論的フック ▪ 最小権限の原則の徹底 Reconstruction） ▪ インテント・ゲート ▪ アイデンティティ・チェイニング ▪ 意味的ファイアウォール ▪ 人間の承認（Human-in-the-loop） ▪ データのセグメンテーション ▪ 真正性の確認 ▪ Rule of two の適用 コードで解説！ ▪ サンドボックス環境での実行
24. 「機密データへのアクセス」対策 タスク限定・短命トークンの発行 たとえAIエージェントが乗っ取られても被害を最小限に抑える（爆発半径を小さ くする）ことが効果的 特定のタスクに必要な最小限のスコープに絞り、実行直後に失効する短命な トークンを発行する
25. 短命トークンを発行するコード例 RFC 8693に従ってIDトークン（長命）を短命なアクセストークンに交換する // tokenExchange.ts // aiAgent.ts
26. 短命トークンを発行するコード例 RFC 8693に従ってIDトークン（長命）を短命なアクセストークンに交換する // tokenExchange.ts // aiAgent.ts grant_typeとsubject_token_typeにそれぞれ以下を設定し て認可サーバ側のトークンエンドポイントを実行 ・"urn:ietf:params:oauth:grant-type:token-exchange" ・"urn:ietf:params:oauth:token-type:id_token"
27. 短命トークンを発行するコード例 RFC 8693に従ってIDトークン（長命）を短命なアクセストークンに交換する // tokenExchange.ts // aiAgent.ts 返却値として短命なアクセストークンを取得 →アクセストークンの実際の有効期限は認可サーバ側で設 定に従う（Okta、Auth0）
28. 短命トークンを発行するコード例 RFC 8693に従ってIDトークン（長命）を短命なアクセストークンに交換する // tokenExchange.ts // aiAgent.ts 短命なアクセストークンを使って AIエージェントに処理を実 行させる
29. 「信頼できないコンテンツの読込」対策 CDR（Content Disarm and Reconstruction ） コンテンツを一度解体して安全な要素のみで再構築する手法 外部のHTMLやドキュメントからテキストとしての意味は維持しつつ、AIエージェ ントを誤誘導する可能性のあるタグ・命令文・難読化された文字列などを排除 して無害化する
30. CDRのコード例 職務経歴書(docx)を安全に分解して、テキストのみを AIに読み込ませる // sanitizeDocx.ts // aiAgent.ts ※ officeParser https://officeparser.harshankur.com/
31. CDRのコード例 職務経歴書(docx)を安全に分解して、テキストのみを AIに読み込ませる // sanitizeDocx.ts // aiAgent.ts 読み取った docxからゼロ幅スペースや BIDI制御文字など の特殊文字を正規表現で一括削除 ※ officeParser https://officeparser.harshankur.com/
32. CDRのコード例 職務経歴書(docx)を安全に分解して、テキストのみを AIに読み込ませる // sanitizeDocx.ts // aiAgent.ts Unicode正規化をして特殊文字を標準的な文字（ ASCII/半 角など）に変換する 例：① → 1 , Ａ → A ※ officeParser https://officeparser.harshankur.com/
33. CDRのコード例 職務経歴書(docx)を安全に分解して、テキストのみを AIに読み込ませる // sanitizeDocx.ts // aiAgent.ts ※ officeParser https://officeparser.harshankur.com/ 安全な文字列を AIに読み込ませる
34. 「外部への通信」対策 決定論的フック（ Deterministic Hooks ） 送信先がパラメータなど事前に定義したルールと合致するか判定し、NGであ ればAIエージェントのアクションを中断させる仕組み 従来の自然言語による指示（プロンプト）では、AIエージェントが指示を無視す るリスクが残るが、決定論的フックでは指示を「強制」させる
35. 決定論的フックのコード例 Claudeがツールを使う直前にガードを実行させる // CLAUDE.json // .claude/hooks/network-guard.ts
36. 決定論的フックのコード例 Claudeがツールを使う直前にガードを実行させる // CLAUDE.json // .claude/hooks/network-guard.ts PreToolUseによってAIエージェントがツールを実行する直 前に割り込んで処理を行う
37. 決定論的フックのコード例 Claudeがツールを使う直前にガードを実行させる // CLAUDE.json 渡されたパラメータをチェック 適切な値でなければ異常終了 →ツールを実行しない // .claude/hooks/network-guard.ts
38. 決定論的フックのコード例 Claudeがツールを使う直前にガードを実行させる // CLAUDE.json チェックロジックを突破した場合だけ、 Claudeがツー ルを実行する // .claude/hooks/network-guard.ts
39. まとめ AIエージェントによって開発スピードも脆弱性も増加 AIエージェントのおかげで以前よりも短期間でより多くのコードを実装可能となった 同時に、コードに含まれる脆弱性の数も増加した AIエージェントを安全に利用可能な環境構築や構造を作ることが重要 AIエージェントに「機密データへのアクセス」「信頼できないコンテンツの読込」「外部 への通信」の3つの能力を持たせるとリスクが増える 対策はあるので、ガードレールを引いた上で AIエージェントを利用する
40. HAPPY CODING 👋
41. Thanks !
42. Presentation template by http://pptmon.com/ Click to follow link
43. Poppins Font download by https://fonts.google.com/specimen/Poppins Click to follow link