Tool選択の誘導や宣言と実行の食い違いを72種類のアラートで検知し、MITRE ATLASへ対応付けて既存SIEM / SOCへ連携する
株式会社RainForestは、AI Agentの判断・根拠・実行を監査する純国産Security for AI基盤「Senda-Argus」の中核となる検知エンジンを発表しました。2026年5月の「実行証跡レイヤ」構想発表、6月のログ収集ライブラリ「Senda-Argus Hooks」技術プレビュー公開に続く第3弾で、これまでが実行証跡を「記録する」仕組みの公開だったのに対し、今回は記録された証跡から攻撃を「検知し、止める」エンジンの発表です。検知・ATLAS対応付け・SIEM連携・遮断までがつながり、Senda-Argusは構想から動くセキュリティ基盤へ進みます。中核に据えたのは、悪意あるToolの存在を探すのではなく、「AIの判断が操られた事実」そのものを検知するという新しい監査の視点です。
■ 背景：AIの「実行」は、攻撃の入口になった
構想発表で述べたとおり、リスクの中心は「AIが何を回答したか」から「AIが実際に何を実行したか」へ移りました。そして実行するAIは、攻撃者にとって新しい入口になっています。この7月にも、管理された隔離環境から脱出した自律型AI Agentが外部インフラへ不正アクセスした事案が報告されました。
- 未承認のMCPサーバが、信頼済みToolと同じ名前の偽物を候補に紛れ込ませ、AIの選択そのものを操る
-
プロンプトインジェクションで乗っ取られたAgentが、正常な宣言の裏で認証情報の読み出しなど別の行動を実行する
- 侵害の事後に監査ログそのものを書き換え、痕跡を消す
いずれも、通信やアクセスを監視する従来の対策では観測できません。防御側に必要なのは、「どのAgentが、何を選び、どの引数で何を実行したか」をAgentから独立して記録し、その場で異常を判定してSOCへ届ける仕組みです。今回発表する検知エンジンは、この空白のレイヤを埋めます。
■ 検知エンジンの主な特徴
1. 攻撃ツールの"存在"ではなく、AIの判断が"操られた事実"を検知する
従来の対策が目指してきたのは、悪意あるToolや偽サーバの存在を見つけて排除することでした。Senda-Argusはその一歩先を監査し、同じ名前の未承認の偽物へAIの選択が誘導されたという、AIの判断そのものへの攻撃を検知します。攻撃ツールを見つけられたかではなく、AIの判断が守られたかを問える検知です。検証環境では、CVE調査を行うAI Agentに対し、承認済みサーバのCVE調査ツールと同名の偽Toolを未承認サーバが提示して選択させる攻撃を、TOOL_SELECTION_STEERINGアラートとして検知しています。Toolの説明文に埋め込まれた誘導表現の検知にも対応します。
2. 宣言と実行の食い違いを検知する
Agentが「何をする」と宣言したかと、実際にどのToolをどの引数で呼んだかを突合し、正常な宣言の裏で認証情報の読み出しなど別の行動を取る乗っ取りを検知します。技術プレビュー時に開発予定として挙げた「Agent decisionとMCP Tool Callの整合性チェック」が、本エンジンで自動検知として実装されました。検証環境では、CVE調査を宣言したAgentが認証情報の読み出しを実行した時点で、INTENT_EXECUTION_MISMATCHアラートを出力しています。既知のTool名リストとの照合に依存しないため、初見のToolによる攻撃も検知できます。
3. 約60種の検知ルールと72種類のアラート
プロンプト注入と多段注入、システムプロンプトの改変・探索、認証情報の窃取、データ持ち出し、モデル抽出、RAG汚染、モデルのすり替え、サンドボックス脱出、未登録の野良Agent、新規MCPサーバの出現、脅威インテリジェンス照合など、AI Agent固有の攻撃面を約60種の検知ルールで網羅し、72種類のアラートとして出力します。Agent横断の行動グラフ分析により、単体では閾値に達しない分散型攻撃もひとつのキャンペーンとして検知します。
4. MITRE ATLASへの自動対応付け
検知したアラートは、AIシステムへの攻撃手口を体系化したナレッジベースMITRE ATLASの攻撃手法へ自動で対応付けられます。Tool選択誘導の検知は Publish Poisoned AI Agent Tool AML.T0104、AI Agent Tool Data Poisoning AML.T0099、AI Agent Clickbait AML.T0100 へ、宣言と実行の食い違いは LLM Prompt Injection: Indirect AML.T0051.001 へ対応付けられます。「いま受けている攻撃が、攻撃者の戦術のどの段階にあたるか」を標準の語彙で把握でき、報告や対応判断にそのまま使えます。
5. CEF形式でSIEMへ連携し、SOCの監視対象にする
検知結果はSIEM標準のCEF形式とJSON形式で出力でき、既存のSOC監視プロセスにAI Agentの実行証跡とアラートを組み込めます。収集・検知・ATLAS対応付け・SIEM連携までを一貫して提供します。
6. 監視から遮断へ、段階的に移行できる
プロンプトインジェクション等で乗っ取られたAgentが被害を広げる前に、実行の段階で止めるための機能です。identity / frequency / behavior の3軸リスクスコアに機械学習の異常検知を重ね、Agentごとのリスク状態を NORMAL / SUSPICIOUS / HIGH_RISK / BLOCKED の4段階で管理します。検知して監視するだけのモードと、危険と判断したAgentが次に呼ぼうとしたToolをMCP Gatewayで拒否する遮断モードを備え、運用の成熟に合わせて移行できます。
構想発表で掲げた説明可能性と改ざん耐性も、本リリースで実装になりました。すべての判定にはdecision traceが付与され、同一入力からの判定再現を保証します。監査ログはSHA-256のハッシュチェーンで連結され、記録後の書き換えを検出できます。収集はSenda-Argus Hooksが公式MCP SDKに差し込む方式のため、アプリケーションのコードを変えずに導入でき、prompt / context / result の本文を既定で保存しないPrivacy-Safe設計も技術プレビュー版から継続しています。
■ 従来のAI Observabilityとの違い
LLMアプリケーションの性能や品質を可視化するObservability製品と異なり、Senda-Argusは「セキュリティ監査」を目的とします。実行証跡の収集にとどまらず、リスク判定・実行前遮断・改ざん検知・判定根拠の再現までを一体で提供します。観測点をMCPに置くため、特定のLLMやフレームワークに依存せず、クラウドLLMにもローカルLLMにも適用できます。本技術は特許出願中です。
■ 想定ユースケース
- 社内に混在する未承認MCPサーバ・野良Agentの発見と遮断
-
AI Agentが関与したインシデントの原因究明と、監査に耐える説明責任の履行
-
SIEM連携による、SOC監視プロセスへのAI Agentアラートの組み込み
-
監査ログの長期保全が求められる規制業界・OT環境でのAI利用統制
■ 今後の展開
オンプレミス提供を基本とした提供準備を進めています。今後は検知結果の可視化、監査レポート生成、SOC / CSIRT向け運用機能の拡充に加え、Sendaシリーズの脅威インテリジェンス・資産可視化製品群との連携を進め、AI Agent時代のセキュリティ運用基盤としての発展を目指します。
■ RainForestについて
株式会社RainForestは、AI、サイバーセキュリティ、脅威インテリジェンス、セキュリティ自動化領域における研究開発を行っています。AI Agent時代に必要となるSecurity for AI基盤の実現に向け、Senda-Argusをはじめとした各種技術開発を進めています。
【会社概要】
会社名：株式会社RainForest
事業内容：
- AI for Security
- 脅威インテリジェンス
- AI Agent / MCP関連技術の研究開発
- サイバー脅威インテリジェンスの研究開発
- セキュリティ関連ソフトウェアおよびデータサービスの提供
- 受託開発
URL：https://www.rainforest-cs.jp/
お問い合わせ先：info@rainforest.jp