HackFes2026_AIエージェントが顧客になる日_講演資料

HackFes2026_AIエージェントが顧客になる日
HackFes講演時のVLCセキュリティ登壇資料です。

Transcript

1. AIエージェントが“顧客”になる日 ― BtoAI経済圏の到来とCISOが着手すべき防衛設計 ― 2026年 7月18日 株式会社VLCセキュリティ
2. INDEX はじめに：会社紹介・登壇者紹介 ／ 本編は次の流れでお話しします 1 攻撃の8〜9割をAIが実行した日 2 第3の市場軸「toAI」の全体像⇨既存事業の組み替えが始まった 3 新しく生まれる4つの攻撃面〜国際ガイドラインなどの動向 4 守る側の変化：AIは増幅器、結局は人間の能力と教育が必要 5 BtoAI参入側：CISOの考慮事項 6 利用側：エージェント防衛設計 7 ISO 42001はヒントになりえる © VLC SECURITY CO., LTD. All rights reserved. 1
3. グループの営業・マーケティング バックオフィス機能 (グループのホールディングス会社) セキュリティ・認証 コンサルティング事業 実際の攻撃に即した 実践的トレーニング事業 ホワイトハッカーによる 高度なセキュリティ事業 Pマーク・ISO27001 コンサルティング 3,300件以上の支援実績 サイバーセキュリティ総合支援 セキュリティ人材育成事業 1,300社以上の受講実績 セキュリティ診断・調査事業 ホワイトハッカーチーム 年間1,200サイト以上の診断実績 トレーニングブランドとして継続 © VLC SECURITY CO., LTD. All rights reserved. ©VLC Security Co., Ltd. All rights reserved. 2
4. MISSION Go Beyond! JAPAN Cyber Security VLCセキュリティは、世界最先端の知見と技術を取り入れ、 日本のサイバーセキュリティの革新を牽引し、社会と産業の発展を支えます。 VISION サイバーセキュリティが 未来を加速させる “Accelerate the future with Cyber” サイバーセキュリティは経済活動を支える社会基盤であり、企業経営においても欠かせない 最重要課題です。 VLCセキュリティは、最先端の技術とグローバルな経験を活かし、安心・安全な環境を提供す るとともに、未来に向けた挑戦と成長を可能にする基盤を築いていきます。 © VLC SECURITY CO., LTD. All rights reserved. ©VLC Security Co., Ltd. All rights reserved. 3
5. 登壇者/自己紹介 テレビ朝日系列 『報道ステーション』 『グッド！モーニング』にて Qilinについて解説しました。 株式会社VLCセキュリティラボ 代表取締役 グループ内のエンジニア集団の責任者として 年間200件以上のセキュリティプロジェクトに関わる 株式会社VLCセキュリティ CISO AI診断プラットフォーム 「ImmuniWeb」 株式会社VLCセキュリティラボ 代表取締役 日本市場におけるプロダクトマネージャーとして活動 CISSP(Security Professional認定) ImmuniWeb SA アドバイザリーボードメンバー 中本 有哉 © VLC SECURITY CO., LTD. All rights reserved. 4
6. 攻撃の8〜9割をAIが実行した日 BtoAI市場の登場 © VLC SECURITY CO., LTD. All rights reserved. 5
7. 2025年9月：攻撃の8〜9割をAIが実行した事案（GTG-1002） 事 事案の概要 新 ◼ AI開発企業Anthropicが自社AI「Claude」の悪用を検知 ◼ 攻撃主体は中国の国家支援型とみられるグループ ◼ 標的は世界の防衛・エネルギー・テック企業 約30社 出典 何が新しいか ◼ 偵察→侵入→データ窃取 目的達成までの作業の8〜9割をAIが自律実行 ◼ 人間は目標設定と要所の承認のみ ―「マネージャー化」 ◼ 攻撃の速度・並列度が人間チームの制約を離れた Anthropic「Disrupting the first reported AI-orchestrated cyber espionage campaign」（2025年11月） サイバー攻撃側は既に「エージェント化」した。 ⇩ AIの自律実行が話題になり、既存ビジネスや防御はどう変わるか © VLC SECURITY CO., LTD. All rights reserved. 6
8. toC・toBに続く第3の市場軸「toAI」 toC：消費者向け toB：企業向け toAI：AIエージェント向け 90% 15兆ドル超 3,850億ドル 2028年までにB2C購買の90%が AIエージェント経由（Gartner予測） AIエージェントの取引網を 通過する企業間支出（Gartner予測） 2030年の米国EC エージェント経由取引 （Morgan Stanley試算） 「顧客は人間」という前提が外れる ― 実験ではなく、市場規模が予測される段階に ⇩ 経営者は既存事業の組み替えに動き始めている Ex:SalesForceのヘッドレスデザイン化など ⇩ CISOや技術責任者は何を考慮していくのか © VLC SECURITY CO., LTD. All rights reserved. 7
9. toAIサービスは既に動いている エージェント専用メール 記憶の保管 メールの受信・送信をエージェント名義で行う基盤 経験・文脈を蓄積する外部メモリサービス APIで即座にメールボックスが作れて、スレッド 管理も添付解析もエージェントが操作できて、 メールで届くOTP/2FAコードも取得できる 会話から文脈を自動抽出して保存し、次の セッションで関連記憶を自動注入してくれます Web操作の代行 ブラウザ操作・API実行をエージェントに提供 普段使いのWebサイトの操作手順を検証済み Skillとして渡す AI受発注マーケットプレイス 自律型AIエージェントが「フリーランサー」とし て働き、仕事の受注から報酬の受け取りまでエー ジェント間で仕事を売買する市場 人間向けに成熟しきった領域が、エージェント向けに「作り直され」ている © VLC SECURITY CO., LTD. All rights reserved. 8
10. AIエージェントの自律実行を保つための「5つの条件」 存在証明 １ 「私は誰か」を示すID・認証 5 決済 2 対価を受け取り、支払う手段 実行環境 安全に作業できる隔離された場所 toAI市場の骨格 一つでも欠けると エージェントは止まる 記憶 4 3 経験や文脈を蓄積する仕組み 操作手段 外部のWeb・システムへの接続 上記はすべて、人間向けには成熟していた領域。でもそれらがエージェント向けになった場合はまったく別のセキュリティが必要になる 「toAI」は既存市場の派生でもあり、新しいカテゴリ。 そして対人間と同じセキュリティ課題があります。 © VLC SECURITY CO., LTD. All rights reserved. 9
11. 5つの条件には、すべてセキュリティ課題が内包されている 存在証明 ID管理（Identity） 実行環境 隔離設計（Sandboxing） 操作手段 認証・認可（AuthN/AuthZ） 記憶 データ保護（Data Protection） 決済 金融セキュリティ（Payment Security） toAI市場の土台は、まるごと「セキュリティ市場」である © VLC SECURITY CO., LTD. All rights reserved. 10
12. AIエージェントの攻撃面 国際ガイドラインや標準化の動向 © VLC SECURITY CO., LTD. All rights reserved. 11
13. AIエージェントが生む「4つの新しい攻撃面」 ① エージェントなりすまし ② プロンプトインジェクション 取引相手のAIの身元を偽装。 共通の身元確認規格は未確立 Web・メールに仕込んだ「隠れた命令」 これを読んだAIが実行してしまう ③ ④ サプライチェーン汚染 エージェントが使うツール・記憶・モデルに悪 意を混入し連鎖的に拡散 決済への介入 自律的に決済するエージェントを騙し、 送金先・金額をすり替える 「理論上のリスク」ではない ― 4つすべてに観測事例・実証例が存在する © VLC SECURITY CO., LTD. All rights reserved. 12
14. 深掘り①：プロンプトインジェクション ―「教育できない従業員」 人間の従業員 人 AI 「怪しいメールは開かない」という教育が成立する ◼ 違和感や文脈から異常に気付ける ◼ ◼ 判断の責任と権限が明確 参考 AIエージェント 読んだものを素直に処理する性質そのものが弱点 ◼ データと命令の区別が構造的に曖昧 ◼ ◼ 決定的な対策は現時点で存在しない OWASP LLM Top10（2025）でも第1位はプロンプトインジェクション 社内に「読んだ命令を信じる読み手」が常駐する ― 防御前提の再設計が必要 © VLC SECURITY CO., LTD. All rights reserved. 13
15. 深掘り②：MCP ― 便利さの標準化は、攻撃面の標準化 40件超 2026年1〜4月に報告されたMCP関連の脆弱性 国 国家レベルの関心事へ ◼ NSA・CISAが「MCP: Security Design Considerations」を公表（2026年6月） ◼ エージェントとツールを接続する標準規格そのものが攻撃面に ◼ ツール導入時のセキュリティ評価と権限設計が前提になった 1.5億DL 影響が及んだコンポーネントの累計ダウンロード 「MCPを使うか」ではなく「どう統制して使うか」を設計する段階にある © VLC SECURITY CO., LTD. All rights reserved. 14
16. 深掘り③：供給網の汚染と「財布」を狙う攻撃 ③ サプライチェーン汚染 ④ ◼ 公開AIモデルへの悪意あるコード混入が実証済み ◼ 人間には見えない文字で書いた「隠し命令」 ◼ エージェントの記憶・ツール経由で連鎖的に拡散 決済への介入 ◼ AIに5,000ドルの送金を指示する「プロンプトインジェク ション入りページ」が実際のWebで発見 ◼ Visa・Mastercard・Stripeがエージェント決済を商用化 ◼ 送金先・金額のすり替えは人間の目に映らない エージェントの「記憶」と「財布」が、新しい標的資産になる © VLC SECURITY CO., LTD. All rights reserved. 15
17. 標準化の動き ― 各国・各団体の要求は一致している OWASP 「Top 10 for Agentic Applications 2026」公開（2025年12月）― エージェント脅威の共通言語に NIST 「AI Agent Standards Initiative」発足（2026年2月）― 身元確認と権限管理を国家標準へ 決済業界 GoogleがAP2をFIDOアライアンスへ寄贈、60社超が共通規格に合流（2026年4月） 共通する要求は「ID・最小権限・ログ」の3点 ― 人間の従業員管理と同型！ © VLC SECURITY CO., LTD. All rights reserved. 16
18. 守る側の変化：脆弱性発見はAIの得意分野になった XBOW Microsoft Firefox AI自動ペネトレーションテスト。 HackerOneのランキングで人間の研 究者を抑え首位に 月例セキュリティ更新に、XBOWの AIが発見した深刻な脆弱性を正式 クレジット（2026年3月） 修正一覧（MFSA 2026-30）に世界 初の「AIが発見」明記（2026年4月） 参考 Anthropicの先端モデルは主要OS・ブラウザから数千件規模の脆弱性を自律的に発見（2026年4月） 「コードの欠陥を探す」業務の速度と単価 ― 従来の前提が崩れた © VLC SECURITY CO., LTD. All rights reserved. 17
19. ただし、AIは「代替」ではなく「増幅器」である AI AIが得意な領域 人 既知パターンのコード欠陥の大量・高速な探索 ◼ 24時間止まらない継続的な検査 ◼ ◼ 網羅性とスピード 人間が優位な領域 ◼ 「文脈の理解」が要る欠陥（業務ロジック・権限管理） ◼ 同種の報告は2024〜25年に2〜3割増（HackerOne分析） ◼ AIの大量誤報告のトリアージと最終判断 amplifier, not substitute ― 人間の判断を増幅する分業設計が現実解 © VLC SECURITY CO., LTD. All rights reserved. 18
20. それでも、大型被害は「コードの欠陥」で起きていない 鍵 Ronin Network ― 約6.2億ドル 北朝鮮系グループが偽の求人話で担当者を欺く ◼ システムの「鍵」を人間経由で窃取 ◼ ◼ 破られたのは採用・信頼のプロセス 委 DMM Bitcoin ― 約482億円 委託先社員がSNS経由の偽求人で接触を受ける ◼ 端末の乗っ取りから不正送金へ ◼ ◼ 破られたのは委託管理と運用 主戦場は「人間の心理/日々の運用のスキマ/侵害後の迅速復旧」に移っている © VLC SECURITY CO., LTD. All rights reserved. 19
21. BtoAIへの参入、AIエージェントの導入 CISO/技術責任者は何を考慮すべきか © VLC SECURITY CO., LTD. All rights reserved. 20
22. CISO/技術責任者は「二つの立場」で設計する 供 提供者として ― toAIに参入する AIエージェントを「顧客」として迎える ◼ 信頼を売る設計：ID検証・監査応答・決済対応 ◼ ◼ → 次の2枚で考慮事項を整理 利 利用者として ― エージェントを使う エージェントは新しい「デジタル従業員」 ◼ 統制する防衛設計：ID・最小権限・ログ ◼ ◼ → 後半の2枚で防衛設計を整理 同じ技術が、事業機会と攻撃面の両方を運んでくる ― 両面を一体で設計する © VLC SECURITY CO., LTD. All rights reserved. 21
23. 参入側①：AIエージェントを「顧客」にする際の考慮事項 身元検証 エージェント顧客のID確認。なりすまし対策が信頼の基盤 悪用対応 自社サービスが攻撃基盤として使われるリスクの監視と遮断 決済対応 AP2等のエージェント決済規格への対応と、監査可能な取引記録 監査応答性 エージェントの行動ログを利用企業へ提供できる設計 「AIに安全に使われる」こと自体が、商品価値になる © VLC SECURITY CO., LTD. All rights reserved. 22
24. 参入側②：日本の制度動向はBtoAIに追い風 2025年9月 2025年 AI推進法 施行 サイバー対処能力強化法 成立 ― 法制度の土台整備 2025年12月 「人工知能基本計画」閣議決定 ― AIエージェント同士が取引する「AI経済圏」の調査・分析を明記 2026年3月 「AI事業者ガイドライン」第1.2版 ― AIエージェントを正式に対象へ追加 「toAI」は既に国策のキーワード ― 制度整備が市場の立ち上がりを加速する © VLC SECURITY CO., LTD. All rights reserved. 23
25. 利用側①：防衛設計の「3つのポイント」 検査を「点」から「線」へ 1 年次診断だけに頼らず、AIを活用した継続的テストへ。 攻撃側が24時間動くなら、防御側の検証も常時回す 「侵入されない」から「壊滅しない」へ 2 侵害を前提に被害を封じ込める設計へ（NIST SP 800-160 Vol.2）。 証明すべきは「事業が止まらないこと AIエージェントにも「人事管理」を 3 台帳・ID・権限・ログを整備。管理外の「野良エージェント（シャドーAI）」の放置が現時点で最大のリスク AIシステムのサイバーセキュリティ対策に完了はない © VLC SECURITY CO., LTD. All rights reserved. 24
26. 利用側②：今四半期に着手する5項目 1 社内のAIエージェント・AIツールの棚卸し（シャドーAIの把握） 2 権限の最小化と、重要操作への「人間の承認」の義務付け 3 行動ログが「消せない形」で残っているかの確認 4 外部AIツール導入時の評価基準の策定（OWASP Agentic Top 10 を参照） 5 侵害時の封じ込め手順の明文化（誰が止めるか・どこで切り離すか） 完璧な統制より先に、台帳・権限・ログ ― 今四半期に始められることから © VLC SECURITY CO., LTD. All rights reserved. 25
27. 対AIエージェントの防衛設計/事業推進 ISO42001[AIMS]はヒントになり得るか © VLC SECURITY CO., LTD. All rights reserved. 26
28. ISO42001[AIマネジメントシステム]とは 組織の環境及び社会的影響 (ESG) に焦点を当てた、AIのガバナンス構築に寄与する国際規格です 正式名称 ISO/IEC 42001:2023 Information technology — Artificial intelligence — Management system 【情報技術－人工知能－マネジメントシステム】 規格番号 JIS Q 42001:2025 (2025年8月20日制定) (ISO/IEC 42001:2023) 目的 背景 AIシステムの責任ある 開発・提供・利用の確保 国際的な 規制要求への対応 AIを安全・倫理的に運用するための マネジメントシステム (AIMS) 構築を支援 • AIの急速な普及 (例 : ChatGPT) • バイアス・誤判断・プライバシー侵害などの リスク顕在化 • EU AI Actなどの規制強化 ISO 42001の 導入目的 組織のAIガバナンス体制 の標準化 ステークホルダーへの 信頼性証明 © VLC SECURITY CO., LTD. All rights reserved. 27
29. ISO42001[AIMS]の適用する組織の範囲とは 1 適用する組織の範囲 AIを利用する製品やサービスを提供する組織 AIを利用する製品やサービスを使用する組織 AIを開発する組織 国際規格 / 世界各国のAI規制に対応する必要がある組織 が対象です 2 単独認証 対応可能対象 アドオン認証ではなく単独認証のため、単独での審査 既存のISOマネジメントシステムとの統合を図る © VLC SECURITY CO., LTD. All rights reserved. 28
30. ISO42001[AIマネジメントシステム] 導入メリット 経営面のメリット 運用面のメリット リスク軽減 体系的なAIリスク管理による 事故・訴訟リスク低減 品質向上 体系的な品質管理による AIシステム品質向上 競争優位 信頼できるAI企業としての ブランド価値向上 効率化 標準化されたプロセスに よる開発・運用効率化 規制対応 各国AI規制への効率的な対応 ナレッジ蓄積 AI関連知識・ 経験の組織的蓄積 ステークホルダー信頼 投資家・顧客・パートナー からの信頼獲得 人材育成 体系的なAI人材育成 プログラムの構築 © VLC SECURITY CO., LTD. All rights reserved. 29
31. ISO42001 AIマネジメントシステム構築とリスク評価 マネジメントシステム構築 ISO42001では、AIシステムを開発、提供又は利用する組織を対象とし、組織がAIシステムを適切に開発・提供・ 利用するために必要なマネジメントシステムを構築する際の要求事項が規定されています PLAN (計画) ACT (改善) DO (実行) 第4章 第5章 第6章 組織の状況 内外の課題、利害関係者、AIの利用範囲を把握 リーダーシップ トップマネジメントによるAI方針策定、責任・権限の明確化 計画 AIリスクアセスメント、対応策、目標設定 第7章 支援 資源確保、人材教育、コミュニケーション、文書管理 第8章 運用 AIライフサイクル管理 (設計、開発、運用、廃棄)、品質保証、リスク管理 第9章 パフォーマンス評価 第10章 改善 モニタリング、測定、内部監査、マネジメントレビュー CHECK (評価) リスク評価 ISO42001では、AIシステムを開発、提供又は利用する際のリスク評価を 行い、その対策を講じる、そのリスク対策の指標「管理策」が提示 されています。実施したリスク評価と対策を比較し、その十分性や 妥当性の検証をすることが求められています 不適合是正、是正処置、継続的改善 付属書Aに示されている管理策 9つのカテゴリ A.9 AIシステムのライフサイクル AIシステムのためのデータ AIシステムに関心を持つ当事者の情報 AIシステムの使用 A.10 第三者および顧客との関係 A.2 AIに関連する方針 A.6 A.3 内部組織 A.7 A.4 AIシステムのためのリソース A.5 AIシステムの影響評価 © VLC SECURITY CO., LTD. All rights reserved. A.8 30
32. まとめ toAI市場は動き出した エージェントの「5つの条件」は、すべてセキュリティ課題である。 攻撃面は4分類で備える：なりすまし・注入・供給網・決済。 共通解は「ID・最小権限・ログ」。 CISOは二つの立場で設計する 提供者としての信頼設計と、利用者としての防衛設計。 ご清聴ありがとうございました。 © VLC SECURITY CO., LTD. All rights reserved. 31
33. ◼ Thank you！