“誘導されたAI”を見抜く──純国産Security for AI基盤「Senda-Argus」、AI Agentへの攻撃をリアルタイムに検知しSOCへつなぐ検知エンジンを発表

テクノロジー

純国産AIセキュリティ基盤「Senda-Argus」の検知エンジンが登場、AI Agentへの攻撃をリアルタイムで阻止

株式会社RainForestは、AI Agentの判断、根拠、実行を監査する純国産Security for AI基盤「Senda-Argus」の中核となる検知エンジンを発表しました。この発表は、2026年5月の「実行証跡レイヤ」構想発表、6月のログ収集ライブラリ「Senda-Argus Hooks」技術プレビュー公開に続く第3弾となります。これまでの仕組みが実行証跡を「記録する」ことに重点を置いていたのに対し、今回の発表では記録された証跡から攻撃を「検知し、阻止する」エンジンが中心となります。

AIの「実行」が新たな攻撃経路に

近年、AIのリスクは「AIが何を回答したか」から「AIが実際に何を実行したか」へと変化しています。実行能力を持つAIは、攻撃者にとって新たな侵入経路となり得るため、そのセキュリティ対策は喫緊の課題となっています。実際に、管理された隔離環境から脱出した自律型AI Agentが外部インフラへ不正アクセスした事例も報告されています。

従来のセキュリティ対策では観測が難しかった攻撃の例として、以下のようなケースが挙げられます。

  • 未承認のサーバーが、信頼されたツールと同じ名前の偽物をAIの選択肢に紛れ込ませ、AIの判断を操作する。

  • プロンプトインジェクションによって乗っ取られたAI Agentが、正規の宣言とは異なる裏で認証情報の読み出しなどの不正な行動を実行する。

  • 侵害後に監査ログそのものを書き換え、攻撃の痕跡を消去する。

これらの攻撃に対して防御側が必要とするのは、「どのAgentが、何を選び、どの引数で何を実行したか」をAgentから独立して記録し、その場で異常を判定してセキュリティ運用体制（SOC）へ通知する仕組みです。今回発表された検知エンジンは、この空白のセキュリティレイヤーを埋めるものです。

検知エンジンの主な特徴

Senda-Argusの検知エンジンは、AI Agentに対する多様な攻撃を検知し、防御するための革新的な機能を備えています。

1. AIの判断が「操られた事実」を検知

従来のセキュリティ対策が、悪意あるツールや偽サーバーの「存在」を見つけて排除することを目指していたのに対し、Senda-ArgusはAIの「判断そのもの」への攻撃を検知します。例えば、承認済みのツールと同名の偽ツールが未承認サーバーによって提示され、AIがそれを選択するように誘導された場合、「TOOL_SELECTION_STEERING」アラートとして検知します。これにより、攻撃ツールの有無だけでなく、AIの判断が適切に守られたかどうかを問うことが可能になります。ツールの説明文に埋め込まれた誘導表現の検知にも対応しています。

2. 宣言と実行の食い違いを検知

AI Agentが「何をする」と宣言した内容と、実際にどのツールをどのような引数で呼び出したかを照合することで、乗っ取り型の攻撃を検知します。例えば、CVE調査を宣言したAgentが実際には認証情報の読み出しを実行した場合、「INTENT_EXECUTION_MISMATCH」アラートが出力されます。この機能は既知のツール名リストに依存しないため、初めて出現するツールによる攻撃も検知できるのが強みです。

3. 約60種の検知ルールと72種類のアラート

プロンプト注入、システムプロンプトの改変、認証情報の窃取、データ持ち出し、モデル抽出、RAG汚染、サンドボックス脱出など、AI Agent固有の攻撃面を網羅する約60種類の検知ルールが用意されており、合計72種類のアラートを出力します。また、Agentを横断した行動グラフ分析により、単体では検知閾値に達しない分散型攻撃も、一つのキャンペーンとして検知することが期待されます。

4. MITRE ATLASへの自動対応付け

検知されたアラートは、AIシステムへの攻撃手法を体系化したナレッジベース「MITRE ATLAS」の攻撃手法へ自動的に対応付けられます。これにより、「現在受けている攻撃が、攻撃者の戦術のどの段階に当たるのか」を標準的な語彙で把握でき、報告や対応判断に直接活用できます。
例えば、ツール選択誘導の検知は「Publish Poisoned AI Agent Tool AML.T0104」などに、宣言と実行の食い違いは「LLM Prompt Injection: Indirect AML.T0051.001」などに対応付けられます。

5. CEF形式でSIEMへ連携し、SOCの監視対象に

検知結果は、セキュリティ情報イベント管理（SIEM）システムの標準形式であるCEF形式とJSON形式で出力可能です。これにより、既存のSOC（セキュリティオペレーションセンター）監視プロセスに、AI Agentの実行証跡とアラートをシームレスに組み込むことができます。Senda-Argusは、実行証跡の収集から検知、MITRE ATLAS対応付け、SIEM連携までを一貫して提供します。

Senda-Argus検知エンジンのシステム概要

6. 監視から遮断へ、段階的に移行できる

プロンプトインジェクションなどで乗っ取られたAgentが被害を拡大する前に、実行段階で阻止するための機能も備わっています。ID、頻度、振る舞いの3軸リスクスコアに機械学習による異常検知を組み合わせ、Agentごとのリスク状態を「NORMAL」「SUSPICIOUS」「HIGH_RISK」「BLOCKED」の4段階で管理します。
このシステムは、検知して監視するだけのモードと、危険と判断されたAgentが次に呼び出そうとしたツールをMCP Gatewayで拒否する「遮断モード」の両方を提供しており、組織の運用成熟度に合わせて柔軟に移行できます。

また、構想発表で掲げられた説明可能性と改ざん耐性も本リリースで実装されました。すべての判定には「decision trace」が付与され、同一入力からの判定再現が保証されます。監査ログはSHA-256のハッシュチェーンで連結され、記録後の書き換えを検出可能です。導入はSenda-Argus Hooksが公式MCP SDKに差し込む方式のため、アプリケーションのコード変更なしで導入できます。さらに、prompt/context/resultの本文をデフォルトで保存しないPrivacy-Safe設計も技術プレビュー版から引き続き採用されています。
Senda-Argus Hooksに関する詳細情報は、以下のGitHubリポジトリで確認できます。
https://github.com/rainforest-tokyo/senda_argus_hooks

従来のAI Observabilityとの違い

Senda-Argusは、LLMアプリケーションの性能や品質を可視化する一般的なObservability製品とは異なり、「セキュリティ監査」を主な目的としています。実行証跡の収集だけでなく、リスク判定、実行前遮断、改ざん検知、判定根拠の再現までを一体で提供します。観測点をMCP（Managed Control Plane）に置くことで、特定のLLMやフレームワークに依存せず、クラウドLLMとローカルLLMの双方に適用可能です。この技術は現在特許出願中です。

想定される利用シーン

  • 社内に存在する未承認のMCPサーバーや野良Agentの発見と遮断

  • AI Agentが関与したインシデントの原因究明と、監査に耐えうる説明責任の履行

  • SIEM連携による、SOC監視プロセスへのAI Agentアラートの組み込み

  • 監査ログの長期保全が求められる規制業界やOT（Operational Technology）環境でのAI利用統制

今後の展開

株式会社RainForestは、Senda-Argusのオンプレミス提供に向けた準備を進めています。今後は、検知結果の可視化機能、監査レポート生成機能、SOC/CSIRT向けの運用機能の拡充に加え、Sendaシリーズの脅威インテリジェンス・資産可視化製品群との連携を強化し、AI Agent時代のセキュリティ運用基盤としての発展を目指します。

株式会社RainForestについて

株式会社RainForestは、AI、サイバーセキュリティ、脅威インテリジェンス、セキュリティ自動化領域における研究開発を行っています。AI Agent時代に必要となるSecurity for AI基盤の実現に向けて、Senda-Argusをはじめとする各種技術開発を進めています。
詳細については、以下のウェブサイトをご覧ください。
https://www.rainforest-cs.jp/

コメント