Docker、AIエージェントの分離とガバナンスによるセキュリティ対策を提唱
2026年11月7日 · 読了 1 分
Dockerは、AIエージェントが人間の監督を限定的に受けた状態でWeb閲覧、コード実行、ツール呼び出しを行う際に生じる5つのセキュリティリスクに関するガイドを公開した。同社は、エージェントの自律性が従来のアプリケーションセキュリティ対策を不十分なものにすると主張し、モデルの改善よりも分離とガバナンスを主要な防御策として位置づけている。
同ガイドは、プロンプトインジェクション、ツールの誤用と汚染、過度な自律性、認証情報の露出、データ漏洩を主要なリスクとして特定している。これらは、エージェントが実行時にツールを選択し、複数のアクションを連鎖させ、起動した人物の権限で動作するという共通の原因を持つとされる。
プロンプトインジェクションは、攻撃者がエージェントが読む資料に指示を埋め込むことでシステムを直接侵害するのではなく、エージェントを操作する手法として提示されている。Dockerは、リポジトリの内容に隠された指示に従い、ユーザーが要求していないアクションを実行した事例を挙げている。同社は、モデルへの指示だけでこれを排除することは困難であり、乗っ取られたエージェントが到達できる範囲を制限して影響を小さくするべきだと述べている。
ツールに関する懸念として、エージェントにタスクに必要な以上のツールを与えることは攻撃対象の範囲を広げると警告されている。また、ツールの説明に隠された指示が含まれている場合、エージェントがツールを誤用する可能性がある。過度な自律性については、すべてのアクションを自動的に承認するモードが、エージェントが触れるべきでないシステムやデータに到達するのを防ぐ境界内で使用されるべきだとされている。
認証情報の処理も重要な問題である。エージェントが開発者の個人トークンを継承すると、すべてのアクションがその人物の完全な権限を持つことになるため、Dockerは実行時に注入される短期間の個別認証情報の使用を推奨している。また、プロンプトや設定ファイル内のシークレットは、注入された指示によってエージェントのコンテキストから読み取られるリスクがある。
データ漏洩のリスクは、ネットワークアクセスと機密情報を持つエージェントが意図しない宛先に情報を送信する可能性がある点にある。マルチエージェントシステムでは、エージェント間の引き継ぎを信頼できない入力として扱い、許可されたネットワーク出口のみを許可するよう推奨されている。Dockerは、使い捨てのマイクロVMで各エージェントを分離するサンドボックスと、エージェントが使用できるアクションやツールを定義・強制するAIガバナンスを提供している。