AIセキュリティエンジニアの基礎と認定資格

エージェント型AIアプリケーションによって新たに生じる主要なセキュリティリスクを実践的に理解します。このモジュールでは、AIシステムが推論、計画、ツールの使用、メモリへのアクセス、他のエージェントとの相互作用、業務ワークフロー全体にわたるアクションの実行を行えるようになったとき、リスクがどのように変化するかを説明します。

このモジュールを修了すると、次のことができるようになります。

• OWASP Top 10 for Agentic Applicationsが策定された理由と、OWASP Top 10 for Web ApplicationsおよびOWASP Top 10 for LLM Applicationsとの違いを説明する。

• 目標、ツール、メモリ、アイデンティティ、権限、オーケストレーション、下流でのアクションによって、エージェント型AIがセキュリティモデルをどのように変えるかを説明する。

• 10種類のエージェント型リスクを定義する：Agent Goal Hijacking、Tool Misuse、Identity and Privilege Abuse、Agentic Supply Chain Vulnerabilities、Unexpected Code Execution、Memory and Context Poisoning、Insecure Inter-Agent Communication、Cascading Failures、Human-Agent Trust Exploitation、Rogue Agents。

• モデルレベルのリスク、アプリケーションレベルのリスク、ツール層のリスク、アイデンティティリスク、メモリ／コンテキストリスク、下流システムのリスクを区別する。

• 各リスクを、最小権限、スコープを限定したアイデンティティ、ツールの許可リスト、承認ゲート、メモリ分離、コンテキスト検証、サプライチェーンレビュー、ランタイム監視、監査ログなどの実践的な制御に対応付ける。

• 1つのエージェント型の弱点が、目標の乗っ取りからツールの悪用、権限の悪用、データ漏えい、安全でない自動化へとつながるような、より大規模な攻撃チェーンにどのように発展し得るかを説明する。

• アクションを推奨するだけのAIシステムと、アクションを実行できるエージェント型システムを区別し、実行機能によってガバナンスと説明責任が変わる理由を説明する。

• OWASP Top 10 for Agentic Applicationsを、脅威モデリング、レッドチーム演習、アーキテクチャレビュー、セキュア設計、制御の対応付け、インシデント対応計画のための共通分類体系として活用する。

• エージェントが安全な境界内で動作しているかを評価する：何ができるのか、誰の権限を使用するのか、どのデータにアクセスできるのか、どのツールを呼び出せるのか、そしてアクションがどのように記録され、承認されるのか。

AIのセキュリティ体制を深く掘り下げたときに浮かび上がる「予期せぬ事態」に対処するため、AIセキュリティエンジニアの立場になって考えてみましょう。

• AIセキュリティエンジニアがどのように業務を開始し、プラットフォームセキュリティ、MLエンジニアリング、脅威インテリジェンスが交差する領域でどのように活動するのかを理解します。

• 「シャドーAI」を明らかにするために必要なツールと、組織内のセキュリティに関する議論がどのように変化しているのかを学びます。

• イノベーションを減速させることなく、自律型AIにインテリジェンスとポリシー適用を提供する方法を学びます。

このモジュールを修了すると、次のことができるようになります。

• シャドーAIを定義し、シャドーITと区別する特徴を説明する。

• シャドーAIの普及状況とコストに関する、2025～2026年の主要なデータポイントを引用する。

• シャドーAIを従来のシャドーITよりも構造的にガバナンスしにくくしている4つの特性を認識する。

• エンタープライズ環境で最も一般的なシャドーAIの4つのリスクシナリオを特定する。

• AIBOMを定義し、AIガバナンスプログラムにおいてAIBOMが果たす3つの機能を説明する。

• 対象範囲、動作、リスククラス、更新頻度、標準、サプライチェーンの観点から、AIBOMとSBOMを比較する。

• シャドーAIプログラムで最も一般的に見られる4つのアンチパターンを特定し、それぞれがなぜ機能しないのかを説明する。

• Snyk CLIを使用してサンプルプロジェクトのAIBOMを生成し、Evoプラットフォーム内で結果を確認する。

このモジュールでは、AI脅威モデリングについて学びます。これは、AIを搭載したシステムに固有の脅威を特定、分析、優先順位付け、軽減するための体系的な手法です。従来の脅威モデリングの基礎（STRIDE、DREAD、攻撃ツリー）を土台に、確率的で非決定論的なAIシステムに従来のアプローチを適用した場合に不十分となる理由を探り、データ取り込みから推論、エージェントによるツール呼び出しに至るAI/MLライフサイクル全体で脅威をモデル化するための実践的なワークフローを解説します。

このモジュールを修了すると、次のことができるようになります。

• 脅威モデリングを定義し、最新のDevSecOpsパイプラインにおけるその役割を説明できる。

• 従来の脅威モデリングフレームワーク（STRIDE、DREAD、攻撃ツリー）をシステムアーキテクチャに適用できる。

• エージェント型AIを含む、AI/MLシステムによって生じる固有の脅威サーフェスを特定できる。

• AIシステムに固有の新たなアセットクラスと信頼境界を認識できる。

• 発見、列挙、優先順位付け、軽減を網羅する実践的なAI脅威モデリングワークフローを実行できる。

• 継続的かつ適応型のDevSecOpsパイプラインにAI脅威モデリングを統合できる。

SKILL.mdがマルウェアを持ち込んだ経緯

このセッションの前半では、「ToxicSkills」研究を掘り下げ、AIエージェントエコシステムを標的とする最初の重大なサプライチェーン脅威について詳しく分析します。

セッション後半では、MCPデプロイメントに対する実際のエクスプロイト手法を実演します。悪意のあるツールの説明を1つ仕込むだけで認証情報を流出させる方法や、攻撃者が安全でないMCPサーバーを悪用して任意のコードを実行する方法を取り上げます。

このモジュールを終える頃には、次のことができるようになります。

• Model Context Protocolとは何か、なぜ必要になったのか、そしてセキュリティの観点からMCPサーバーとは根本的に何なのかを説明できる。

• 2026年にMCPセキュリティが急務となっている3つの構造的な理由、すなわちSDKのダウンロード規模、エージェント型IDEの普及、そして開発者にとって最も特権性の高いコンテキストにMCPが位置していることを説明できる。

• ツールポイズニングを定義し、ツールの説明に隠された指示によってエージェントが安全でないアクションへ誘導される仕組みを認識できる。

• 性質が大きく異なる2種類のMCP障害モード、すなわち悪意のあるMCPサーバー（プロトコル層）と脆弱なMCPサーバーコード（実装層）を区別し、それぞれに対応する防御制御を特定できる。

• 代表的なMCP攻撃パターンであるツールポイズニング、コマンドインジェクション、パストラバーサルをコードの形状から認識し、それぞれに標準的な修正パターンを適用できる。

• ローカルMCP設定に対してMCP-Scanを実行し、W001/E001のツール説明に関する警告やTF001/TF002の有害フローアラートを含む検出結果を解釈できる。

• MCPサーバーのソースに対してSnyk Codeを実行し、AIが生成した修正案を含む、コマンドインジェクションおよびパストラバーサルに関するCWEの検出結果を解釈できる。

• 成熟したMCPセキュリティプログラムにおいて、MCP-ScanとSnyk Codeの両方を実行する多層防御の意義を説明できる。

このセッションでは、Vibe Codingがもたらすセキュリティ上の影響を分析し、AI生成コードを大規模にセキュアにするための実践的な戦略を紹介します。

• Vibe Codingが開発をどのように変革しているのか、そしてそれに伴うリスクを学びます

• AI生成コードを大規模にセキュアにするための実践的な戦略を身につけます

• SnykがSnyk Studioを使用して、コードからデプロイまでAI搭載SDLCをどのようにセキュアにするのかをご覧ください

このモジュールを修了すると、次のことができるようになります。

• Vibe Codingを定義し、その起源を説明する

• エージェント型AIツール、エージェントスキルレジストリ、オープンソース自動化フレームワークの集合体である「Lobster Ecosystem」について説明し、エージェントスキルポイズニングやスロップスクワッティングを参照しながら、それがもたらすサプライチェーン攻撃対象領域について説明する

• 5層のSecure-by-Design PlaybookをVibe Codingで作成したプロジェクトに適用する

• AI生成コードで最も一般的な脆弱性パターン（無効化された行レベルセキュリティ、ハードコードされたシークレット、認証の欠如、クライアントサイドのセキュリティロジック、スロップスクワッティング、ルールファイルポイズニング）を特定し、それぞれをLLMアプリケーション向けOWASP Top 10に対応付ける

• Vibe CodingとVibe Hackingの違いを見分ける

AI搭載アプリケーションやエージェント型アプリケーションのセキュリティ上の弱点をテストする方法を、実践的に理解できます。このモジュールでは、AIペネトレーションテストが従来のWebおよびAPIテストをどのように超えるのかを解説します。具体的には、プロンプト、モデルの挙動、コンテキスト処理、ツールへのアクセス、メモリ、権限、後続アクションを検証します。

このモジュールを修了すると、受講者は次のことができるようになります。

• AIペネトレーションテストが、従来のアプリケーション、API、インフラストラクチャのテストとどのように異なるかを説明する。

• プロンプト、システム命令、RAGパイプライン、埋め込み、ツール、エージェント、メモリ、プラグイン、MCP接続サービスなど、AIに固有の攻撃対象領域を特定する。

• プロンプトインジェクション、機密情報の漏えい、システムプロンプトの漏えい、過剰な自律性、安全でない出力処理、コンテキストポイズニング、ツールの不正利用など、AIに共通するセキュリティ上の弱点をテストする。

• 有害で制御不能な手法や、本番環境に影響を及ぼす手法に頼ることなく、AIアプリケーション向けの安全で再現性の高いテストケースを作成する。

• AIシステムが、信頼できる命令と、信頼できないユーザー入力、取得コンテンツ、ドキュメント、チケット、ログ、Webページを適切に分離しているかを評価する。

• AIエージェントによるツールの選択、引数の受け渡し、権限の処理、安全でないアクションや認証されていないアクションの防止方法を評価する。

• モデルの応答、ログ、トレース、メモリ、ベクトル検索、ツール出力、連携したエージェントワークフローを通じて、機密データが漏えいする可能性があるかをテストする。

• AIペネトレーションテストの結果を、入力・出力の検証、ツールの許可リスト化、スコープを限定したトークン、人による承認ゲート、メモリの分離、コンテキストのフィルタリング、監査ログなど、実践的な修正措置に結び付ける。

• AI固有のテストを、API、認証、認可、SSRF、インジェクション、アクセス制御、依存関係のリスク、安全でない設定に対する標準的なセキュリティテストと組み合わせる。

• EVO COS（継続的なオフェンシブセキュリティ）についての理解を深める