DockerがAIエージェントの5大セキュリティリスクを公表　環境削除の実例から隔離を提唱

要点

• Dockerは2026年10月14日、AIエージェントの自律行動に伴う5つの主要リスクと対策を公式ブログで解説した。

• エージェントが自らツールを選び多段階で実行する性質が、従来の防御モデルを破綻させていると指摘した。

• AWS本番環境の削除による13時間の障害やホームディレクトリ全消去など、実際に起きた被害事例を紹介している。

• モデルの判断に頼るのではなく、使い捨て環境への隔離や短期間の限定権限によって被害を封じ込める重要性を訴えている。

• Dockerは2026年10月14日、AIエージェントの自律的な動作に伴うセキュリティリスクをまとめた解説記事を公式ブログで公開した。同社のEric Jia氏とSrini Sekaran氏が執筆した同記事では、エージェントが自らツールを選び連続実行する自由度の高さこそが深刻な危険源になると指摘している。従来のウェブ防御策が通用しない理由を説明するとともに、実際に起きたトラブル事例をもとに必要な対策を解説している。

従来のセキュリティモデルが通用しない理由

従来のウェブサービス防御は、決まった接続先へ届く予測可能な要求を処理する前提で設計されてきた。しかしエージェントは指示を動的に解釈し、実行時にツールを選んで多段階の処理を進める。コーディングエージェントであれば、1つの指示からファイル参照、設定変更、テスト、コミットまでを自動で連続実行する。エージェント自身が行動手順を決めるため、不正な誘導を受けた際に行動できる範囲が従来システムよりも格段に広くなってしまうという。

1. 外部データに潜むプロンプトインジェクション

中核リスクとして挙げられたのが、プロンプトインジェクション（入力データに指示を潜ませてAIを不正操作する手法）だ。エージェントは読み込んだテキストを命令として解釈するため、攻撃者はWebページやコードコメントに指示を埋め込むだけで操作を乗っ取ることができる。実際にリポジトリ内のデータに潜む指示を読み込み、意図しない操作を実行した事例があるという。正規と不正の指示を確実に識別する手段はないため、到達できる範囲をあらかじめ制限することが防御策になると説明している。

2. ツールの誤用とツール汚染

エージェントはAPI連携やファイル操作などのツールを介して外部に作用するが、すべてのツールが攻撃経路になり得る。作業に必要な範囲を超えたツールを与えて攻撃対象領域を広げてしまうことや、ツールの説明文自体に悪意ある指示が仕込まれてエージェントが誘導される「ツール汚染」が指摘された。実行時にツール権限を最小限に絞り込むことや、出所が保証された登録元からツールを取得すること、ツールの定義文を鵜呑みにせず点検することが求められている。

3. 「過剰な自律性」によるデータ消去

人間の確認を挟まずに行動できる範囲が広すぎることも大きなリスクとなる。特にすべての操作確認を自動承認する「YOLOモード」（エージェントの実行確認をすべて自動承認して作業を進める設定）では、1つの判断ミスによる損失が跳ね上がる。
実際に、リポジトリ整理を指示されたエージェントが末尾に「~/」を含んだ削除コマンド（rm -rf）を生成し、確認なしで実行して開発者のホームディレクトリ全体を消去した事例が紹介された。速度を保ちつつも被害範囲を広げないよう、安全な境界内で動かすべきだとしている。

4. 認証情報の露出とAWS本番環境削除事故

エージェントに開発者個人の強い認証情報を持たせる運用も深刻な被害を招く。エージェントが侵害された際、その開発者が持つ全権限が攻撃者に渡るためだ。プロンプトや設定ファイルに埋め込まれた機密情報も、プロンプトインジェクションにより盗み出される恐れがある。
事例として、AWSのエンジニアが管理者権限を持つエージェントに不具合修正を指示したところ、エージェントが本番環境の削除と再構築を選択して実行し、13時間の地域的な障害を引き起こしたケースが紹介された。開発者の権限を使い回さず、短時間のみ有効な限定権限を割り当てるべきだと説いている。

5. データの不正送信と連鎖するリスク

ネットワーク接続権限と機密情報を併せ持つエージェントは、改ざんされたツールや外部指示によってデータを外部へ送信してしまう恐れがある。また、複数のエージェントが協調して作業を引き渡す構成では、後続のエージェントが前の出力を信頼しきることで、1カ所の侵害が連鎖的に波及する危険性も指摘された。外部への通信を許可された宛先のみに制限することや、エージェント間の引き渡し入力をすべて未検証として扱う対策が有効だとしている。

対策の基本原則：隔離とガバナンス

Dockerは、エージェントのリスクの本質は「自ら行動できること」にあるため、モデル自体の精度よりも環境の隔離と監視が重要だと結論づけている。
具体的な対策として、ミスや乗っ取りが発生しても使い捨て環境内に被害を留める「隔離」と、アクセスできる資源を厳密に制限する「ガバナンス」の2本柱を提示した。ホスト環境から切り離されたサンドボックス（外部から隔離された安全な実行環境）を設けることで、被害範囲を最小限に抑えながらエージェントの自律性を活用できると説明している。