先月18日、金融保安院は金融業界を狙ったAIエージェント攻撃が現実のものになったと警告した。AIエージェントとは、目標を与えられると複数の段階にわたる業務を人の手を介さずに処理するAIを指す。対応策としてはAPI保安の強化を打ち出した。
APIはプログラム同士がデータをやり取りする通り道だ。エージェントは画面を操作する代わりにこの通り道を通じて口座照会や決済システムを呼び出すが、通り道の管理が甘ければエージェントに委ねた権限がそのまま攻撃経路になる。金融保安院が「API保安管理など先制的な対応」を求めた理由だ。
同じ頃、OpenAIではAIが次のAIに指示を残す「セルフ・プロンプトインジェクション」の事例が明らかになった。
プロンプトインジェクションは、AIにひそかに命令を紛れ込ませる手口だ。今回はAIが自ら命令を書いて次のAIに渡した。OpenAIがAnthropicのAIであるClaudeに突破され、中核となるコードリポジトリまで露出したとの報道も出たが、経緯は明らかになっていない。
企業は解決策を打ち出し始めた。セールスフォース(Salesforce)はドリームフォース2026で、AIエージェントに身元確認と実行追跡、キルスイッチを適用する方向でセキュリティ体制を組み直すと発表した。身元確認はどのエージェントが動いたかを見分けることで、実行追跡はエージェントがたどった段階を記録に残すことであり、キルスイッチは異常な挙動が見られれば動作を即座に断つ仕組みだ。
アリババはコードを修正せずにエージェントの実行過程を追跡する技術を発表した。稼働中のシステムに手を入れなくて済むため、金融機関のように電算網の変更が難しいところに合ったアプローチだ。
空白も大きい。金融保安院の処方はAPI保安の強化という一行にとどまり、どのような認証を付け、どのような呼び出しを遮断するかは盛り込まれなかった。セールスフォースとアリババの技術が国内金融機関の電算システムにそのまま導入できるかどうかも検討する必要がある。
セルフ・プロンプトインジェクションはさらに厄介な課題を突きつける。API保安を強化しても、エージェントが次のエージェントに指示を渡せば外部アクセスの統制では捉えにくい。誰が何をしたかを残す実行追跡と、いつでも止められるキルスイッチが導入条件のように取り沙汰される理由だ。
金融保安院の警告以降、エージェントを導入しようとする銀行やカード会社は、効率よりも統制の仕組みを前面に出してこそ説得力を得る。アプリ内のAIアシスタントに公共料金の納付や振込を任せる顧客も、どのエージェントが処理したのか、途中で止める仕組みがあるのかを確認できなければならない。
