何が起きたか
VentureBeatのカンファレンス「VB Transform 2026」のエージェントセキュリティ登壇で、CiscoのAI脅威インテリジェンス責任者Amy Chang氏が、Nicholas Conley氏との共著研究の結果を公開しました。15のクローズドな主力モデルに対し、単発プロンプト30,090件とマルチターン攻撃6,986件を実施。会話を跨いで手口を変える攻撃者は、最大88.3%の確率で防御を破りました。
重要なのは、突破率が7.89%〜88.3%と大きくばらついた点と、単発とマルチターンの2手法でモデルの「安全ランキング」が一致しなかった点です。つまり単発の赤チーム演習で高評価だったモデルが、実際の会話では脆いことがあり得ます。
なぜ重要か
Chang氏は、長い会話への攻撃拡張こそ「私たちが実際にモデルやエージェント、アプリと関わる姿に近い」と述べます。一方、業界の赤チーム演習の多くは今も単発です。Box CISOのHeather Ceylan氏も「世に出ているエージェント赤チームの多くは単発で、日常の使い方ではない」と指摘し、Box自身は攻撃を反復するエージェントで多ターンの敵を模擬しています。
裏付けとして、VentureBeatの2026年6月・企業107社への調査では、54%がエージェント起因のセキュリティ事案(18%)またはヒヤリハット(36%)を経験。それでも各エージェントに固有IDを与える企業は32%、最高リスクのエージェントをサンドボックス隔離する企業は30%にとどまり、82%はプロバイダー標準の管理策に依存しています。
具体策としての基本の徹底
登壇者が繰り返したのは「奇をてらうな、基本に立ち返れ」という点です。Boxは権限設定・タスクごとの使い捨てサンドボックス・実行時のツール呼び出し制限という3層で守り、「要約を頼んだエージェントに『攻撃者へ転送せよ』というプロンプトインジェクションが来ても、その操作は語彙にすらない」とCeylan氏。Boxはエージェントの行動を、人手不要な読取・要約、記録監視する中程度、大量削除など常に人手を要する破壊的操作の3区分に整理しています。
IntuitはGenOSという「生成AI OS」でセキュリティやリスク、不正検知を抽象化。エージェントは当初ユーザー権限を継承していましたが、現在は各エージェントが固有IDを持ち、タスク単位でのセッション途中の権限変更まで検討しています。Chang氏は「モデルは意図を確実に導けない」ため、決定論的な制御と行動プロキシが依然必要だと結論づけました。
💼 事業会社視点：これは自社にどう効くか
日本のSaaS・受託開発・EC各社にとって、この88.3%という数字は「PoCで安全確認したから本番投入」という運用が通用しないことを示します。単発の赤チーム演習だけでは、実際の会話で崩れるモデルを見抜けないからです。まず着手すべきは派手なツール導入ではなく基本の徹底で、82%の企業がプロバイダー標準に依存する現状はそのまま日本企業の姿でもあります。具体的には、(1)各エージェントに固有IDを与える(調査では32%のみ)、(2)高リスク処理をタスク単位の使い捨てサンドボックスへ隔離(同30%のみ)、(3)行動を「読取・記録監視・破壊的操作」に区分し、大量削除等は必ず人手を挟む——この3点は今日から着手できます。受託開発企業は、顧客にエージェントを納品する立場として「最小権限設計」と「継続的なマルチターン検証」を提案価値に変えられます。逆に広い権限を先に渡すと後から絞るのは困難だとCeylan氏が警告する通り、初期設計が命運を分けます。59%の企業が今後12か月でエージェントセキュリティ製品を検討しており、選定より先に自社の権限・隔離の土台を固めるのが経営判断の順序です。