企業におけるAIエージェントの安全な活用とセキュリティ対策の両立

要点

• エージェント型AIの企業導入が急速に進む中、開発者による無承認の利用がもたらすセキュリティ脆弱性への対処がCISOの大きな課題となっている。

• 開発プラットフォームを提供するWarpはクラウド上の管理プラットフォーム「Oz」を、DockerはMicroVM技術を応用したローカルの隔離環境「Docker Sandboxes」を安全な実行環境として提示した。

• AIエージェントが自律的にライブラリ等を選択してビルドを行う環境では、開発後に脆弱性をスキャンする従来のセキュリティ対策が難しくなる。

• 対策として、安全なイメージの選定に人間を介入させる仕組みや、最小権限の徹底、SBOM（ソフトウェア部品表）の導入などが挙げられている。

• Dockerは2026年7月24日、同社の公式ブログにおいて、企業におけるエージェント型AI（人間が細かく指示をしなくても自律的に判断してタスクを実行するAIシステム）の安全な開発利用をテーマにしたパネルディスカッションのレポートを公開した。討論には、ターミナルソフト開発を手がけるWarpの創業者兼CEOであるZach Lloyd氏、軽量AIエージェント「NanoClaw」の開発元であるNanoCoの共同創業者兼CEOのGavriel Cohen氏、そして3000人以上のCISO（最高情報セキュリティ責任者：企業のセキュリティ対策を統括する責任者）からなるコミュニティの創設者であるMoriah Hara氏らが参加し、セキュリティと開発スピードを両立するための具体的な対策を議論した。

企業とCISOが直面するAI導入のジレンマ

現在、多くの企業においてAIエージェントの導入に対する需要が高まっており、開発現場では正式な承認や十分なセキュリティ対策がないままツールが利用されるケースが珍しくない。モデレーターを務めたHara氏は、多くのCISOが「ビジネス側はあらゆる場所にAIエージェントを導入したがっているが、開発者はセキュリティが不十分なまま勝手に使っている」と話し、「CISOは、何かが壊れないことを祈りながら、ガバナンス体制を整えるまでの時間を稼ぐために、一部のツールを黙認している不安定な立場にある」と指摘した。

このような現状に対し、パネリストらは開発のスピードを損なわずに安全性を担保するためには、「隔離された環境」と「信頼できる制御境界」の構築が極めて重要であるとの見解で一致した。

監視と隔離：二つの異なるアプローチ

安全な実行環境の具体的な仕組みについて、登壇者からはそれぞれの立場から異なるアプローチが提示された。

WarpのLloyd氏が推進するのは、同社の「Oz（オズ）」と呼ばれるクラウドベースのエージェント管理プラットフォームである。Ozを利用することで、企業内のあらゆるAIエージェントの稼働状況を一元化されたウェブアプリケーション上で可視化し、アクセス制御や管理を行うことができる。これにより、異なる部署のメンバーがそれぞれ独自のAIツール（GoogleのCloud CodeやOpenAIのCodexなど）を無断でインストールし、何をさせているか把握できないといった「シャドーIT」のリスクを低減できるという。

一方でDockerは、ローカル環境における使い捨て可能な隔離環境の利用を提唱している。具体的には、MicroVM（マイクロ仮想マシン：軽量で高速に動作する仮想環境技術）をベースにした「Docker Sandboxes（ドッカー・サンドボックス）」の中でAIエージェントを実行する手法である。NanoCoが開発したオープンソースの軽量パーソナルAIエージェント「NanoClaw」とDocker Sandboxesを統合することで、強力なOSレベルの隔離を実現し、安全かつ迅速な開発を可能にしている。

ラップトップ環境の本番化と移植性の課題

開発者がAIを活用して直感的に開発を進める「Vibe coding（バイブコーディング：詳細な設計を行わずにAIに指示を出しながら直感的に開発を進める手法）」の広まりに伴い、社員のノートパソコン（ラップトップ）が最も強力で影響力のある環境へと変化している。しかし、それは同時に最も外部の攻撃にさらされやすい環境でもある。

WarpのLloyd氏は、ノートPC上でAIエージェントを実行させるのをやめ、CISOが常時監視できる安全なクラウド環境へと移行させるべきだと主張した。これに対し、DockerのMark Lechner氏は、サンドボックスによって境界が正しく制御されていれば実行場所はローカルであっても構わないと反論した。Dockerは開発環境の移植性（ポータビリティ）を重視しており、将来的にはエージェントが人間の手を離れ、クラウドやKubernetes（コンテナ化されたアプリの稼働管理システム）といった分散環境の間を自律的に移動して動作するようになるとの見通しを示した。

自律的なサプライチェーンと脆弱性のリスク

AIエージェントの自律化は、セキュリティにおけるサプライチェーン攻撃（ソフトウェアの開発や流通プロセスにおける脆弱性を狙ったサイバー攻撃）への対策をより困難にする。

従来のセキュリティ管理では、ソフトウェアをビルドした後に脆弱性のスキャンやパッチ適用を行っていた。しかし、AIエージェントが自動的にベースイメージをダウンロードし、ライブラリの依存関係を選択してビルドを組み立てるようになると、こうした事後的なチェックは機能しなくなる。TeamPCPやShinyHuntersといった攻撃グループが、一時的な依存関係の隙を狙って資格情報を盗み出すリスクに対して、新たな対策が必要となっている。

推奨される具体的なセキュリティ対策

ディスカッションでは、AIエージェントによる開発環境を守るためのいくつかの実践的なアプローチが共有された。

まず、安全なライブラリや依存関係の選定においては、完全にAIに任せるのではなく、人間が承認した「推奨イメージ」の中から選択させるなど、人間をプロセスに関与させる（Human-in-the-loop）手法が提案された。また、リリースされてから7日以上が経過した信頼性の高いイメージのみを使用することや、不要な依存関係を極力排除することが推奨された。さらに、機密性のないデータを用いた「補助輪付き（Training-wheels）」のテスト環境で実験を重ね、AIエージェントの扱いに習熟していくことも重要であるとされた。

DockerのLechner氏は、開発者自身が攻撃を前提とした対策をとるべきだとして、付与する権限を最小限に抑えることや、サードパーティへのアクセス制限をかけることを強調した。その上で、SBOM（Software Bill of Materials：ソフトウェアを構成する部品や依存関係をリスト化した部品表）や不変タグを用いて構成をロックし、異常が発生した際に迅速に検知できる体制を整えること、そして検証済みのクリーンなイメージを提供するDockerのような信頼できる構築環境を利用して、脅威の拡散を抑え込むことが必要であると説明した。