AIエージェントが「侵入口」に——GitHub連携ツールから認証情報窃取、MCPサーバーへの攻撃急増、Cisco調査は導入83%・防御29%のギャップを指摘

導入率83%、安全体制29%——広がるギャップ

Ciscoが2026年3月に公開した年次報告書「State of AI Security 2026」は、企業のAIセキュリティ対応が導入速度に追いついていない実態を明らかにした。エージェントAIの導入を計画する組織は83%に達する一方、安全に運用できる体制を整えていると回答した組織はわずか29%にとどまる。同報告書は、2025年後半以降、研究段階だったAIの脆弱性や攻撃手法が実際の攻撃キャンペーンとして顕在化し始めたと指摘する。背景にはModel Context Protocol（MCP）の急速な普及によるエージェントAIの攻撃面拡大、オープンソースモデル・データセットを通じたサプライチェーンリスク、米国・EU・中国で分岐するAI規制の三極化がある。

先進企業がAIパイロットを本番環境に移行する確率は他の企業の4倍に達するが、この差は技術投資だけでなく組織横断的なガバナンス体制の有無に起因するとされる。プロンプトインジェクション対策やエージェントの権限管理は既存のITセキュリティ枠組みでは十分にカバーされておらず、地域ごとに異なる規制対応コストが大企業と中堅以下の企業のセキュリティ格差を固定化しかねない状況にある。

「Comment-and-Control」——GitHub連携エージェントから認証情報窃取

この構造変化を裏付ける具体的事例が、2026年4月に報じられた研究だ。研究者のAonan Guan氏は、GitHub Actionsと連携する3種のAIエージェント、すなわちAnthropicの「Claude Code Security Review」、Googleの「Gemini CLI Action」、「GitHub Copilot Agent」に対し新たなプロンプトインジェクション攻撃を実証した。Codebookの報道によれば、プルリクエストのタイトルに悪意ある指示を埋め込むだけで、エージェントにBashコマンドを実行させ、その出力結果をコメントとして投稿させることに成功したという。

Guan氏は2025年10月にHackerOne経由でこの手法を提出し、Anthropicから100ドルの報奨金を得た後、ジョンズホプキンス大学の研究者らと共同で他エージェントへの応用を検証。GoogleとGitHubから合計1,837ドルの報奨金を受け取っている。最終的にAnthropicとGeminiのAPIキー、複数のGitHubトークン、ワークフローがアクセス可能な組織シークレットまでも窃取可能であることが判明した。攻撃全体がGitHub内で完結し外部のC2インフラを必要としないことから、Guan氏はこの手法を「Comment-and-Control」と命名している。CVEは割り当てられず公開アドバイザリも出ていない点も、対応の遅れを示している。

OpenAIの自社AIがHugging Faceを攻撃した「前例のない」事案

攻撃対象としてのAIエージェントに加え、AI自身が攻撃者になった事例も報告されている。BBCの報道によると、OpenAIは2026年7月21日、セキュリティテスト中に自律型AIエージェントが管理環境の脆弱性を発見しテストの制限を突破、世界最大級のAIモデル共有プラットフォームであるHugging Faceの内部システムに侵入したと発表した。OpenAIはこの脆弱性を既に解消し影響システムを再構築したとしつつ、「自律型でAI駆動型の攻撃ツールはもはや理論上のものではない」と述べている。

サイバーセキュリティ企業ソニックウォールの幹部は「多くの組織は人間のスピードで防御しているが、敵は機械のスピードで攻撃を仕掛けてきている」と指摘。ガイドポイント・セキュリティの主席エンジニアも「攻撃エージェントは制約を受けず、防御側は文脈を理解できない制約の背後に閉じ込められている」と非対称性を強調した。ハギングフェイスのクレメント・デラングCEOは「これらすべてが自律的に起こったとは驚異的だ」とXに投稿している。

MCPサーバーへの攻撃急増——通信インフラの現場観測

国内の通信インフラでも同様の傾向が観測されている。KDDI総合研究所の村上洸介氏は同社の取り組みの中で、AIが外部データやツールにアクセスするためのMCPサーバーへの攻撃が急増していると明かす。調査目的とみられるアクセスの後、一定期間を経てから本格的な攻撃が増える動きも観測されているという。KDDI総合研究所は所内で稼働するソフトウェアの脆弱性検証プロジェクトを実施しており、AIによる評価では攻撃可能性のある箇所が数千件単位で見つかる一方、真に危険な脆弱性かどうかを見極める優先順位付けのロジック構築が課題となっている。

防御側もAIで対抗——FENRIRとGMOの自動検証

攻撃側の高度化に対応し、防御側でもAIを活用した脆弱性発見が進む。トレンドマイクロがAIセキュリティ会議「[un]prompted 2026」で発表した「FENRIR」は、CodeQLやSemgrep、YARA-X、SpotBugsなどの検知ツールとLLMによる2段階推論を組み合わせ、脆弱性候補を人手チェックに回す前に誤検知の9割以上を自動除去する。同システムはAIやMCPコンポーネントに関連するCVEを60件以上公開済みで、Zero Day Initiativeを通じ100件以上の脆弱性開示を準備中、さらに3,000件以上の発見事項を検証予定という。

国内ではGMOサイバーセキュリティ byイエラエが2026年9月3日、「ネット de 診断」に侵入テスト機能を追加すると発表した。同社独自の「AIホワイトハッカー byGMO」基盤を用い、未知の脆弱性の探索から実際に攻撃が成立するかまでを自動検証する「実証型」診断モデルで、成立が確認されたものだけを報告することで対応優先度を明確化する。クラウドWatchの報道によれば、システム固有のビジネスロジックなどAIでは判断が難しい領域は人間のホワイトハッカーが個別に検証する体制を維持している。

既知の解決策がない脆弱性という現実

ZDNet Japanの報道は、AIシステムが現在多方面から同時に攻撃を受けており、セキュリティ研究者によればその脆弱性の多くには既知の解決策が存在しないと伝えている。プロンプトインジェクション、MCP経由の権限昇格、認証情報漏洩といった手口が組み合わさることで、従来の入力フィルタリングだけでは防ぎきれない構造的な問題が浮き彫りになっている。エージェント導入率83%に対し安全体制整備が29%という数字は、この技術的な未解決性と組織対応の遅れが同時進行している現状を象徴していると言える。