8月12日、CSO Onlineが「The AI harness is the new attack surface」と題した記事を公開した。この記事では、AIエージェントにおける「ハーネス」（harness）こそが新たな攻撃対象面であり、モデル自体よりもその周辺コードや設定が実際のセキュリティリスクになっているという実態について詳しく論じられている。
「AIの安全性」を問う対象が間違っている
AIエージェントのセキュリティ評価で多くの組織が見落としているのは、攻撃者がモデルそのものを侵害する必要はないという点だ。
ここで言う「ハーネス」とは、AIモデルを実際のシステムに接続するための周辺コード全体を指す。ツール呼び出しの仕組み、プラグイン、外部APIとの連携、権限設定、プロンプトの構造——これらすべてがハーネスに含まれる。LangChain（LLMを中心に複数のツールや外部データソースを連鎖的に呼び出すオーケストレーションフレームワーク）やAutoGen（Microsoftが開発した複数エージェントの協調動作を実現するフレームワーク）、各種MCP（Model Context Protocol）サーバーといった実装基盤がその典型だ。MCPはAnthropicが策定したオープン仕様で、LLMが外部ツールやデータソースと標準化された方法でやり取りするためのプロトコルである。
セキュリティ研究者のMichael Bargury氏（セキュリティ企業Zenity共同創業者兼CTO）はこの構造を端的に表現している。
「あなたはエージェントとラップトップを共有している。そのラップトップにはすべてが入っている——あなたのID、ファイル、シークレット」
攻撃者は、ハーネスが信頼するものを何かひとつ侵害できれば十分だ。エージェントに渡るWebページ、CRMのオブジェクト、MCPサーバーからのレスポンス、スキル定義ファイル——そのどれもが潜在的な注入経路になる。
AIセキュリティ研究者のMeged氏は実際に複数のベンダーの公式オートメーションを破ることに成功し、こう結論づけた。
「ドキュメントではなく、デフォルト設定を読め。製品は安全だと言っていた。そこから始めた」
モデルを固定しても、ハーネスが変われば結果が変わる
記事で紹介されたLassoの調査結果は特に重要だ。LassoはAIシステムのセキュリティ評価・レッドチーミングを専門とするセキュリティ企業で、実環境に近い条件下でエージェントの脆弱性を検証している。その調査では、モデル・プロンプト・ツールをすべて同一に保ち、ハーネスだけを変えると、セキュリティ上の結果が劇的に変化することが示された。
つまり「どのモデルが最も安全か」という問いの立て方自体がずれている。正しい問いは「モデル・ハーネス・ツール・権限・外部入力の組み合わせが、実際のデプロイ環境で安全か」だ。
ベンダーが「プロンプトインジェクションの99%をブロックする」と主張していても、それは実環境とかけ離れたベンチマーク上の数字に過ぎない可能性がある、とBargury氏は指摘する。ハーネスの構成次第で同じモデルでも攻撃の成否が変わるという事実は、従来の「モデル単体で評価する」アプローチの限界を示している。
ソフトウェアのサプライチェーンとは次元が違う
従来のソフトウェア依存関係管理との比較でBargury氏が述べた点は鋭い。
「ソフトウェアのサプライチェーンはパッケージレジストリが10〜15個だ。エージェントのサプライチェーンはあらゆるコンテンツ、画像、テキスト、Webサイト、CRMオブジェクト、スキル、MCPサーバー、インターネット上のあらゆるコンテンツだ」
npmやPyPIのようなパッケージレジストリを監視対象にすれば足りた従来のサプライチェーンリスク管理は、エージェント時代には通用しない。エージェントはツール、プラグイン、スキル、MCPサーバー、Webサイトなど多様な外部ソースから命令やコンテンツを取り込む。その全域がサプライチェーンリスクの対象になり、実質的に「インターネット全体」がリスク面に含まれうる。
実践的な対策：完璧な可視性を待つな
AIセキュリティ戦略を専門とするコンサルタントのSantos氏の提言は現実的だ。まず本番システムから着手し、60〜70%の可視性を迅速に確保することを優先する。プロトタイプやシャドーAIへの対応は第二フェーズでよい。
具体的なアクションとして記事が示しているのは以下の通りだ。
- 本番稼働中のすべてのエージェントのライブインベントリを構築する
- 各エージェントのハーネスを特定し、アクセスできるツールとリソースをマップする
- 権限を必要最小限に削減する
- 専用のAIセキュリティ予算がない組織では、最低限、オープンソースのコンテナ化ツールでエージェントを隔離して実行する
ハーネスの認識そのものが組織内でまだ整っていないケースも多い。Santos氏が指摘するように、同じ仕組みを「エージェント」「コパイロット」「ワークフローアシスタント」「プラグインベースの自動化」と呼ぶチームが社内に混在し、それがセキュリティインベントリへの計上漏れにつながっている。名称の統一とカタログ化が、最初の実務的な一歩となる。
AIエージェントの本番導入が加速する中、セキュリティの焦点をモデルからハーネス全体へ移すことが、今まさに求められている。
詳細はThe AI harness is the new attack surfaceを参照していただきたい。
