RainForest、AI Agentの判断誘導を検知する純国産Security for AI基盤「Senda-Argus」を発表

AI Agentが実際に何を実行したかという点が、新たな攻撃の入口になっています。2026年7月には、隔離環境から脱出したAI Agentが外部へ不正アクセスした事例も報告されました。未承認のMCPサーバが正規のツールと同じ名前の偽物を提示してAIの選択を誘導したり、プロンプトインジェクションで乗っ取られたAgentが宣言とは異なる行動を取ったりするケースが生じています。こうした攻撃は、従来の通信監視では検知できません。

Senda-Argusの検知エンジンは、悪意あるツールの存在を探すのではなく、AIの判断が操られた事実そのものを検知します。例えば、正規のツールと同じ名前の偽ツールへ誘導される攻撃を「TOOL_SELECTION_STEERING」アラートとして検知します。また、Agentが宣言した内容と実際のツール呼び出しを突合し、不一致があれば「INTENT_EXECUTION_MISMATCH」アラートを出力します。これにより、初見のツールによる攻撃も捉えられます。

検知エンジンは、プロンプト注入や認証情報の窃取、モデル抽出、サンドボックス脱出など、AI Agent固有の攻撃面を約60種のルールでカバーし、72種類のアラートを出力します。さらに、これらのアラートはMITRE ATLASの攻撃手法に自動で対応付けられます。これにより、攻撃が攻撃者の戦術のどの段階に当たるかを標準の語彙で把握でき、報告や対応判断に役立ちます。

検知結果はCEF形式やJSON形式で出力でき、既存のSIEMやSOCの監視プロセスに組み込めます。また、Agentのリスク状態を4段階で管理し、危険度に応じてツールの呼び出しを拒否する遮断モードも備えています。監視から遮断へ段階的に移行できるため、運用の成熟度に合わせた導入が可能です。

A. AI Agentの判断や実行を監査し、攻撃をリアルタイムで検知する純国産のセキュリティ基盤です。

A. パフォーマンス監視ではなく、セキュリティ監査に特化し、攻撃検知から遮断、改ざん検知までを一体で提供する点が異なります。

• https://www.rainforest-cs.jp/
• https://github.com/rainforest-tokyo/senda_argus_hooks

O!Productニュース編集部からのコメント

AIが宣言と違う動きをした瞬間を検知するのは新しいですね。プロンプトインジェクション対策に頭を悩ませる情シス担当に刺さりそうです。

引用元：PR TIMES