• ホーム
  • 企業動向
  • AIの「誘導」を見抜く、純国産セキュリティ基盤「Senda-Argus」が検知エンジンを発表
企業動向

AIの「誘導」を見抜く、純国産セキュリティ基盤「Senda-Argus」が検知エンジンを発表

株式会社RainForestは、AI Agentの判断や実行を監査する純国産セキュリティ基盤「Senda-Argus」の中核となる検知エンジンを発表しました。AIの選択誘導や宣言と実行の食い違いをリアルタイムで検知し、既存のセキュリティ運用体制へ連携させます。

AI Agentへの攻撃をリアルタイム検知、SOC連携で防御を強化

株式会社RainForestは、AI Agentの判断・根拠・実行を監査する純国産Security for AI基盤「Senda-Argus」の中核となる検知エンジンを発表しました。これにより、AI Agentへの攻撃をリアルタイムで検知し、既存のセキュリティ運用体制（SOC）へ連携させることが可能となります。同社は、2026年5月の「実行証跡レイヤ」構想発表、6月のログ収集ライブラリ「Senda-Argus Hooks」技術プレビュー公開に続く第3弾として、これまでの「記録する」仕組みから、記録された証跡から攻撃を「検知し、止める」エンジンへと進化させました。

この検知エンジンは、悪意あるツールの存在を探すのではなく、「AIの判断が操られた事実」そのものを検知するという新たな監査の視点を取り入れています。Tool選択の誘導や宣言と実行の食い違いを約72種類のアラートで検知し、AIシステムへの攻撃手口を体系化したMITRE ATLASへ自動で対応付け、既存のSIEM（セキュリティ情報イベント管理）やSOCへ連携します。

AI Agent 実行環境とSenda-Argus検知エンジン、既存セキュリティ運用間の連携を示す図

AIの「実行」が新たな攻撃経路に、従来の対策では困難な脅威

近年、サイバー攻撃のリスクは「AIが何を回答したか」から「AIが実際に何を実行したか」へと移行しています。実行するAIは、攻撃者にとって新たな侵入経路となり、2026年7月には、管理された隔離環境から脱出した自律型AI Agentが外部インフラへ不正アクセスした事案も報告されています。

従来の通信やアクセスを監視する対策では観測が難しい攻撃事例として、以下の点が挙げられています。

  • 未承認のMCP（Multi-Agent Collaboration Platform）サーバーが、信頼済みツールと同じ名前の偽物を候補に紛れ込ませ、AIの選択そのものを操作する

  • プロンプトインジェクションで乗っ取られたAgentが、正常な宣言の裏で認証情報の読み出しなど別の行動を実行する

  • 侵害の事後に監査ログそのものを書き換え、痕跡を消す

このような状況において、防御側には「どのAgentが、何を選び、どの引数で何を実行したか」をAgentから独立して記録し、その場で異常を判定してSOCへ届ける仕組みが求められます。今回の検知エンジンは、この空白のレイヤを埋めるものとされています。

検知エンジンの主な特徴

1. AIの判断が「操られた事実」を検知

従来の対策が悪意あるツールや偽サーバーの排除を目指すのに対し、「Senda-Argus」は、AIの選択が未承認の偽物へ誘導されたという、AIの判断そのものへの攻撃を検知します。同社の検証環境では、CVE調査を行うAI Agentに対し、承認済みサーバーのCVE調査ツールと同名の偽ツールを未承認サーバーが提示して選択させる攻撃を「TOOL_SELECTION_STEERING」アラートとして検知することに成功しています。ツールの説明文に埋め込まれた誘導表現の検知にも対応しています。

2. 宣言と実行の食い違いを検知

Agentが「何をする」と宣言した内容と、実際にどのツールをどの引数で呼び出したかを突合し、正常な宣言の裏で認証情報の読み出しなど別の行動を取る乗っ取りを検知します。検証環境では、CVE調査を宣言したAgentが認証情報の読み出しを実行した時点で、「INTENT_EXECUTION_MISMATCH」アラートを出力しています。既知のツール名リストに依存しないため、初見のツールによる攻撃も検知できるとされています。

3. 約60種の検知ルールと72種類のアラート

プロンプト注入や多段注入、システムプロンプトの改変・探索、認証情報の窃取、データ持ち出し、モデル抽出、RAG（Retrieval Augmented Generation）汚染、モデルのすり替え、サンドボックス脱出、未登録の野良Agent、新規MCPサーバーの出現、脅威インテリジェンス照合など、AI Agent固有の攻撃面を約60種の検知ルールで網羅し、72種類のアラートとして出力します。Agent横断の行動グラフ分析により、単体では閾値に達しない分散型攻撃も一つのキャンペーンとして検知します。

4. MITRE ATLASへの自動対応付け

検知されたアラートは、AIシステムへの攻撃手口を体系化したナレッジベースであるMITRE ATLASの攻撃手法へ自動で対応付けられます。これにより、「いま受けている攻撃が、攻撃者の戦術のどの段階にあたるか」を標準の語彙で把握でき、報告や対応判断に活用できます。

5. CEF形式でSIEMへ連携、SOCの監視対象に

検知結果はSIEM標準のCEF形式およびJSON形式で出力できるため、既存のSOC監視プロセスにAI Agentの実行証跡とアラートを組み込むことが可能です。収集・検知・ATLAS対応付け・SIEM連携までを一貫して提供します。

6. 監視から遮断へ、段階的に移行可能

プロンプトインジェクションなどで乗っ取られたAgentが被害を広げる前に、実行段階で停止させる機能も備わっています。Identity、frequency、behaviorの3軸リスクスコアに機械学習の異常検知を重ね、Agentごとのリスク状態をNORMAL / SUSPICIOUS / HIGH_RISK / BLOCKEDの4段階で管理します。監視のみのモードと、危険と判断したAgentが次に呼ぼうとしたツールをMCP Gatewayで拒否する遮断モードがあり、運用の成熟度に合わせて移行できます。

この基盤では、すべての判定にdecision traceが付与され、同一入力からの判定再現性を保証します。監査ログはSHA-256のハッシュチェーンで連結され、記録後の書き換えを検出可能です。導入はSenda-Argus Hooksが公式MCP SDKに差し込む方式のため、アプリケーションのコード変更なしに導入できます。また、prompt / context / resultの本文を既定で保存しないPrivacy-Safe設計も継続しています。

従来のAI Observabilityとの違いと想定ユースケース

「Senda-Argus」は、LLMアプリケーションの性能や品質を可視化するObservability製品とは異なり、「セキュリティ監査」を目的としています。実行証跡の収集にとどまらず、リスク判定・実行前遮断・改ざん検知・判定根拠の再現までを一体で提供します。観測点をMCPに置くため、特定のLLMやフレームワークに依存せず、クラウドLLMにもローカルLLMにも適用可能です。この技術は特許出願中とされています。

想定されるユースケースには、以下の点が挙げられています。

  • 社内に混在する未承認MCPサーバー・野良Agentの発見と遮断

  • AI Agentが関与したインシデントの原因究明と、監査に耐える説明責任の履行

  • SIEM連携による、SOC監視プロセスへのAI Agentアラートの組み込み

  • 監査ログの長期保全が求められる規制業界・OT環境でのAI利用統制

今後の展開とRainForestについて

株式会社RainForestは、オンプレミス提供を基本とした提供準備を進めています。今後は、検知結果の可視化、監査レポート生成、SOC / CSIRT向け運用機能の拡充に加え、「Senda」シリーズの脅威インテリジェンス・資産可視化製品群との連携を進め、AI Agent時代のセキュリティ運用基盤としての発展を目指すとしています。

株式会社RainForestは、AI、サイバーセキュリティ、脅威インテリジェンス、セキュリティ自動化領域における研究開発を行っています。AI Agent時代に必要となるSecurity for AI基盤の実現に向け、「Senda-Argus」をはじめとした各種技術開発を進めています。同社の詳細については、株式会社RainForestのウェブサイトをご覧ください。また、ログ収集ライブラリ「Senda-Argus Hooks」に関する情報は、GitHubで確認できます。

ソース元

ページタイトル: “誘導されたAI”を見抜く──純国産Security for AI基盤「Senda-Argus」、AI Agentへの攻撃をリアルタイムに検知しSOCへつなぐ検知エンジンを発表
URL: https://prtimes.jp/main/html/rd/p/000000026.000089968.html

ページトップへ戻る
×