27秒で崩れる「人間が対応する時間」
RubrikのDev Rishi氏がVentureBeatで示した数字が象徴的です。AIエージェントを操る攻撃者は、初期アクセスから全システム侵害までを27秒で完了する能力を持ち始めています。従来のSOC(セキュリティ運用センター)は、アラートを人間が確認し、判断し、封じ込めるという前提で設計されてきました。この前提はもはや成立しません。
ルールベース防御が効かない理由
静的なアクセス制御、既知のシグネチャ検知、決定論的な行動ポリシー——これらは「決められた通りに動くソフトウェア」を守るために作られています。ところがAIエージェントは非決定的で、単体では許可された操作を複数アプリにまたがって連鎖させることで、結果的にデータ漏洩や破壊的操作を成立させてしまう。個別のアクセス可否は判定できても「一連の行動が攻撃に相当するか」を評価する仕組みが、既存の防御には備わっていません。
内部脅威と外部攻撃の境界が溶ける
AIエージェントが誤解や幻覚(ハルシネーション)で意図せぬデータ転送を起こしたとき、その痕跡は悪意ある内部犯行と運用上区別がつきません。さらに外部攻撃者が内部エージェントを乗っ取れば、そのエージェントが持つ全アプリケーションへのアクセス権をそのまま継承します。「誰が悪意を持っていたか」ではなく「エージェントの振る舞いをどう止めるか」が問題の中心になります。
小型モデルによる「意味理解」の防御層
RubrikはPredibaseの買収を軸に、小型言語モデル(SLM)を用いたランタイムガードレールを提示しています。フロンティアモデルで全エージェントの挙動を監視すればコストとレイテンシが跳ね上がり実装できない。SLMなら機械速度で意図を意味的に評価し、破壊的操作を検知した瞬間に停止・直近のクリーンなスナップショットを特定・復旧を単一ワークフローで自動実行できるという設計思想です。
復旧は「事後対応」から「設計要件」へ
攻撃の発生を前提に、クリーンな復旧状態を継続的に特定し、重要データとID依存関係をマッピングし、数時間で業務を復旧できる状態を常時テスト・検証する。攻撃と被害の時間差が消えた世界では、レジリエンスと復旧はアーキテクチャ要件そのものになります。
💼 事業会社視点：これは自社にどう効くか
日本のEC・SaaS・受託開発企業にとって、この論点は「AI導入投資の意思決定順序」を書き換えます。多くの企業は今、Copilot型エージェントや自律AIエージェントを業務に組み込むフェーズにありますが、27秒攻撃の現実は「導入前にランタイム監視と自動復旧の設計を先に済ませているか」を経営レベルの問いにします。
特にSaaSベンダーは、顧客テナントのエージェント誤動作と外部攻撃を運用上区別できない以上、SLA・約款・保険設計を「エージェント起因インシデント」を前提に組み直す必要があります。EC事業者は、顧客データや在庫DBへのエージェントアクセス設計を、権限単位ではなく「行動シーケンス単位」で監査できる体制へ移行すべきです。受託開発では、納品するAIエージェントに「暴走時の停止と復旧ワークフロー」を仕様として明記できるかが、今後の差別化と価格交渉力を左右します。CISOだけでなくCFO・CTOも、復旧時間目標(RTO)を「日」から「時間」に引き下げる予算枠を新設する時期です。