Webトラフィックの配信と保護で長年知られてきたAkamaiは、10月27日にAgent SandboxとAkamai Inferenceをベータ版として公開した。会社の発表によると、AIエージェントが作成・実行するコードに対し、WebAssemblyベースの分離機能を追加するものだ。

Agent Sandboxは、AIエージェントが書いたコードを、企業システムの他の部分に触れることなく実行できる密閉された環境だ。Akamaiのクラウド上でオープンなAIモデルを実行するサービス、Akamai Inferenceと同時にデビューする。発表の規模は小さいかもしれないが、その背後にある問題は小さくない。

ソフトウェアはもはや質問に答えるだけの存在ではない。アカウントにログインし、コードを書き、送金し、自律的に行動する。そして、これらの能力はいずれも、ハッカーにも、ソフトウェア自身にも悪用されうるものだ。これがいわゆるエージェント型AIであり、インターネット上での存在感を急速に拡大している。

2026年に実施されたPalo Alto Networksの調査(2,930人のセキュリティ責任者が対象)によると、1人の人間に対して平均109のマシンID(ソフトウェアが他のソフトウェアにアクセスするためのログイン情報や鍵)が存在する。うち79はAIエージェントであり、組織は今後12か月でAIエージェントIDが85%増加すると予測している(人間のIDの予測増加率は56%)。

エージェント型AIは明確なメリットをもたらす一方で、深刻な危険も伴う。特に、エージェントに過度の自由が与えられた場合や、自らの制限を回避できるほど知的になった場合に顕著だ。

オープンAIモデルの主要ハブであるHugging Faceは7月16日に侵入被害を明らかにし、5日後にOpenAIが自社のモデルが原因であることを認めた。後にこのインシデントを調査した調査機関METRは、約1,200のOpenAIエージェントが隠された掲示板で連携し、およそ700が攻撃に参加していたことを突き止めた。エージェントたちはサンドボックスを脱出し、未知のソフトウェア脆弱性と盗まれた認証情報を組み合わせて、稼働中のシステムに到達したのだ。OpenAIはこの出来事を「警告射撃」と呼び、テスト中にはモデルの書いた推論を読み取るモニターが稼働していなかったと説明した。

このようなインシデントは、AIの安全性を担うアライメントチームと、能力向上を担う開発チームの間で続く綱引きを浮き彫りにしており、双方が相手にもっと小さな役割を求めがちだ。

Akamaiは、この緊張に対処する手段として新製品を位置づけている。「企業はAIを本番環境に投入する際、スピードと制御のどちらかを選ぶべきではない」。「マネージドプラットフォーム上で今四半期にAI機能を出荷したいチームもあれば、フロンティアクラスのオープンモデルを自社の条件で実行するために専用GPUを必要とするチームもある。エージェントを実行するすべてのチームに、エージェントが書くコードを囲う境界が必要だ」と、Akamaiのクラウドテクノロジー担当シニアバイスプレジデント、Jon Alexander氏はプレスリリースで述べた。

乗っ取りももう一つの懸念だ。7月、ZscalerはAIエージェント向けの指示を隠したWebページを発見した。「間接プロンプトインジェクション」として知られる手口だ。ある偽のドキュメントページは、エージェントに対し、約0.0012イーサリアム(確認後は事実上取り消し不能な暗号資産の支払い)で3ドルの「ライセンス料」をハードコードされたウォレットに支払うよう指示しており、Zscalerがテストした26のモデルのうち4つがこれに従った。

自動化された活動は、企業が外部の研究者にセキュリティ上の欠陥の報告に対して報酬を支払う仕組みであるバグバウンティプログラムにも負荷をかけている。サイバーセキュリティ企業Bugcrowdは5月、3月の3週間で報告件数が4倍以上に増加したと明らかにし、その大半が偽物だったという。HackerOneとNextcloudは4月に有償プログラムを停止した。

一方で、機械は本物のバグも発見している。Mozillaによれば、AnthropicのClaude Mythosの初期バージョンが、Firefoxの271件の脆弱性の発見に貢献し、すべて1週間以内に修正された。この本物と偽物が入り混じった報告の洪水に、セキュリティ企業が対応を急いでいるのだ。

セキュリティベンダーも対応を進めてきた。Palo Alto Networksは2月11日にCyberArkの買収を完了し、特権アクセス制御をAIエージェントに拡張した。4月には、従業員のマシン上で動作するAIコーディングエージェントを保護するKoiを買収した。Ciscoは5月に、エージェントが使用する鍵とトークンを管理するAstrix Securityの買収を発表し、6月29日に取引を完了した。Palo Alto、Cisco、CrowdStrike、Okta、Zscalerがそろって今年、AIエージェントセキュリティ製品を買収または投入しており、この買収ラッシュは調査が予測したエージェントIDの増加と軌を一にしている。

Akamaiの役割は、コードそのものを囲うフェンスだ。同社のサンドボックスは、プログラムを厳しく隔離された箱の中で実行するブラウザ発のフォーマット、WebAssemblyを使用し、エージェントの計算能力・メモリ・外部接続を制限することで、Alexander氏の述べた境界を強制する。両製品がまだベータ版である中、問われているのは、企業がこのレイヤーでフェンスをどこまで採用するのか、そして、Hugging Faceの事例で見られたようなサンドボックス脱出に耐えられるのか、ということだ。