最近、「マルチエージェント攻撃」をキーワードにした、セキュリティの記事を見かけることが多くなっています。しかし、その言葉の意味は、文脈によって異なることをご存じでしょうか。

「エージェント」とはAIのエージェントを指しているのですが、攻撃側が使用するのか、防御側(標的側)が使用するのかで大きく意味が異なります。そこで今回は、攻撃側、防御側の両方の側面からマルチエージェント攻撃の脅威について説明します。

AIエージェントとは

AIエージェントとは、タスクや目的を与えることで、さまざまな環境から情報を取得し、自律的に意思決定し、何らかのアクションを実行するプログラムです。また、複数のAIエージェントを相互接続し、役割を分担しながら連携してタスクを処理する仕組みのことをマルチエージェントと呼びます。

ここ数年のAI技術の発展により、AIエージェントの性能も飛躍的に向上しています。LLM（大規模言語モデル）をコアに、計画（planning）、ツール利用（tool use）、外部とのインタラクションなど組み合わせる構成が主流です。

その有用性から、マルチエージェントの仕組みを導入する企業も増えています。たとえば、書類作業では、「請求書データ抽出エージェントがPDFから数値を取り出す」「フォーマット変換エージェントがExcelに整形する」「チェックエージェント」が計算ミスや重複を検証する」などのタスクを自動的に実行し、人の手が必要なのは最終チェックのみといった使い方が可能です。他にもスケジュール調整、社内の問い合わせ管理など幅広い業務でマルチエージェントは有効なビジネスツールとなり得ます。

攻撃側のマルチエージェント

マルチエージェントは、複数の専門家が連携する業務をAIで実現する仕組みであるとも言えます。こうしたマルチエージェントの利便性はサイバー攻撃者にも有用で、これまで複数の攻撃者が連携することで実現していた高度で巧妙な攻撃が、少人数でも容易に実現できるようになっています。

しかも、人間と違って24時間365日、休むことなくタスクを実行し続けることができます。人が数日かけていた作業も、AIエージェントを用いれば数分で終わるかもしれません。

攻撃側のマルチエージェント攻撃として、想定できるいくつかの利用法を挙げてみましょう。

●フィッシングキャンペーン

LLMで最適化されたフィッシングメールを生成し、数百万通規模のメールを送信。内容を24時間休みなく最適化し続ける。

攻撃キャンペーンのテストと最適化（どの文言が効果的かを自動で学習）

●脆弱性探索+試行

自動化された脆弱性探索＋エクスプロイト生成（探索→試行を高速で回す）によって、世界中の公開サービスをスキャンし、新しい攻撃パターンを試し続ける。

多段攻撃のオーケストレーション（Recon（偵察） → 初期侵入 → 横展開 → データ流出をAIで連携）を効果的に展開。

●ソーシャルエンジニアリング/ディープフェイク

人間だと消耗する「だまし会話」を、AIは疲労なく無限にこなす。

最適化によってフェイクの精度が向上し続ける。

これらの例からわかるように、攻撃側のマルチエージェントは、何度も繰り返して膨大な数の攻撃を試行しつつ、その結果を解析し、より高度で巧妙な攻撃へと進化していく仕組みです。また、効果的な攻撃手法が確立された後は、その仕組みを他の攻撃者でも利用できるSaaSとして提供することもあり、驚くほどの勢いで被害は拡大していきます。

攻撃者がマルチエージェントの仕組みを利用していても、防御側でできる対策は同じです。ただし、フィッシングメールやフェイクサイトなど“人”を狙った攻撃が巧妙化しているため、従業員に対するセキュリティ教育の充実や新たな手口への警告は必須です。

セキュアプラクティスについて

現在、多くのお客様より評価をいただいている、ハイパーのセキュアプラクティス。セキュリティ教育でお悩みのお客様は、お気軽にお問合せ下さい。

詳細はこちら
https://www.securitier.jp/security/ciso/cisosp/

%3Ciframe%20width%3D%22560%22%20height%3D%22315%22%20src%3D%22https%3A%2F%2Fwww.youtube.com%2Fembed%2FQxluIilm5uc%3Fsi%3DYiaN6dYvNDOW2Yl7%22%20title%3D%22YouTube%20video%20player%22%20frameborder%3D%220%22%20allow%3D%22accelerometer%3B%20autoplay%3B%20clipboard-write%3B%20encrypted-media%3B%20gyroscope%3B%20picture-in-picture%3B%20web-share%22%20referrerpolicy%3D%22strict-origin-when-cross-origin%22%20allowfullscreen%3D%22%22%3E%3C%2Fiframe%3E

© Copyright 2024 HYPER Inc.
記載されている情報は取材におけるものであり、閲覧されている時点で変更されている可能性があります。ご了承下さい。
本書に記載されている技術情報は、予告なく変更されることがあります。
記載されている会社名および商品名は、各社の商標または登録商標です。
記事事項は 2024 年 9月現在のものです。

防御側のマルチエージェント

業務効率の向上や業務改善に大きな効果が期待できることから、企業がマルチエージェントを導入する動きは、今後ますます加速していくことになるでしょう。その一方で、マルチエージェントを狙ったサイバー攻撃も増加していくことは間違いありません。

しかしながら、この利便性は「複数のAIエージェントの協調」に依存しています。そのため、偽のデータを1つのエージェントに注入されてしまうと、連携先にも誤情報が伝播してしまうという問題があります。つまり「業務は効率化するが、エージェント同士の連携部分が新しい攻撃対象になる」というリスクもあるということです。

マルチエージェント環境を狙った攻撃は、「Agent Communication Poisoning (ACP)」と呼ばれています。直訳すれば「エージェント通信の毒化」ですが、従来のデータ汚染（training data poisoning）やプロンプトインジェクションと親和性が高い攻撃と言えるでしょう。AIエージェント間の「通信経路／プロトコル／メッセージの信頼性」に直接働きかけ、悪意ある形で改竄、注入、偽装することでシステムの判断や行動を誤らせます。

APCとして想定できるいくつかのパターンを挙げてみましょう。

協調して意思決定するエージェント群に、偽の観測値や誤ったアドバイスを送ることで誤った合意を作らせる。
評価や投票メカニズムに介入し、特定の行動が優先されるよう操作する。
仲介エージェント（ブローカー、ディスパッチャ）を乗っ取り、正常なメッセージを意図的に遅延・改変する。

ACPの危険性は「波及効果の大きさ」にあります。たとえば、工場のラインや物流倉庫において、自律ロボット群の協調ミッションが失敗すれば、その物理的損害は計り知れません。下手をすれば多くの人命が危険に晒されるかもしれません。金融業界で自動取引アルゴリズムが攻撃されれば、誤注文などによって多大な経済的損失を被る可能性もあります。あるいは、特定の企業の信頼性を失わせるため、データパイプラインを攻撃して不正な集約結果を生成する、顧客対応チャットボットで不正回答を大量発生させるなどの手口が考えられます。マルチエージェント環境が信頼できないと判断されれば、ビジネス継続性に直結してしまいます。

この問題をさらに深刻化させているのは、AIエージェント間の通信から正常な合意の多様性と悪意ある改変の違いを統計的に切り分けるのが難しいことにあります。複数のノードや断続的なパターンで攻撃された場合、個々のログからは疑わしさが見えにくい上に、攻撃者が正規のメッセージ形式を模倣すれば、バリデーションをすり抜けてしまうかもしれません。また、外部からの侵入だけでなく、サードパーティのエージェントやアップデート経路が踏み台にされるケースも報告されています。

防御側の対策

マルチエージェント環境の防御は、「認証・整合性・分散的合意・挙動検知・人間の監査」の組合せで成り立ちます。マルチエージェントを採用する組織は、導入前にこれらのリスクを洗い出し、層的な防御設計を適用することを強く推奨します。単一施策で防ぐことが難しいため、「層を重ねた防御（defense-in-depth）」が重要です。

防御手法(層)として効果的な例をいくつか挙げてみます。

● 認証とメッセージの整合性

強いエージェント認証（相互TLS、証明書ピンニング、署名付きメッセージ）を採用し、メッセージの送信者と改変の有無を検証する。メッセージにタイムスタンプとノンス(ワンタイムの数値)を含め、リプレイ攻撃や遅延改変を検出する。

●プロトコル設計の堅牢化

明確なスキーマを定義し、不正なフィールドや異常値をはじく。重要な意思決定は、単一情報源に依存しない設計が有効。複数エージェントの多様なソースに基づく合意アルゴリズム（多数決＋信頼度重み付け）を採用する。

●分散的な信頼評価とプロビナンス

各エージェントの挙動履歴に基づく信頼スコアを算出し、信頼度の低い情報影響力を自動的に下げる。メッセージのプロビナンス（出所）追跡を保存して、経路を遡れるようにする。

●異常検知（Behavioral/Statistical）

通信パターン、応答時間、内容の語彙・意味の逸脱を検出する振る舞い検知器を導入する。協調合意の結果分布が通常と異なる場合にアラートを出す仕組み（ベースライン比較）を整備する。

●サンドボックス化と最小権限

外部から受け取ったメッセージで即座に重要操作を実行せず。検証用のサンドボックスで検査した後に採用する。エージェントに与える権限は最小限に限定し、横展開を防ぐ。

●安全なアップデート・サードパーティ管理

サードパーティのエージェントやライブラリは厳格に検証・署名し、サプライチェーン攻撃（SBOMやコード署名）対策を実施する。アップデートは段階的にロールアウトして監視する。

ACPは、マルチエージェントの利便性と同じ構造によって生まれた脅威です。単なるモデル改竄やデータ汚染とは異なり、通信の信頼性そのものを攻撃対象にするため、設計段階からの対策と実運用での監視・対応体制の両方が求められます。そのため、マルチエージェント環境の設計、構築、そしてセキュリティ運用までカバーできる専門家への相談が有効です。

関連記事：IPAが提供！セキュリティ対策に便利なコンテンツ＆ツール5選
https://hypervoice.jp/IPAContentsTools

情報セキュリティ対策のことなら、ハイパーのセキュリティア推進部へ

企業における情報セキュリティ対策をトータルサポートいたします。
https://www.securitier.jp/solution/

まとめ

「マルチエージェント攻撃」には、攻撃側と防御側の2つの意味がある
攻撃側はマルチエージェントによって手口が高度化・巧妙化している
企業のマルチエージェントは、設計段階からセキュリティ対策を見据えることが重要