技術要約: AI-Infra-Guard

問題提起

OllamaやvLLMといったモデルサービングエンジン、DifyやLangFlowといったエージェントプラットフォーム、そしてModel Context Protocol (MCP) エコシステムを含む、オープンソースのAIインフラストラクチャの急速な普及は、防御的なセキュリティツールの開発を追い越してしまいました。この新しいクラスのネットワーク露出型ソフトウェアは、特有の課題を提示しています。すなわち、それらのコンポーネントはあまりに新しいために従来の脆弱性データベースにカタログ化されておらず、セマンティックバージョニングの比較ロジックを無効にする不規則なバージョニングスキームを利用しており、古典的なWebアプリケーションとは異なる脅威モデルに直面しているという点です。

決定的なことに、AIシステムにおけるリスクは、以下の4つのレイヤーに層別化されています：

1. インフラストラクチャ (Infrastructure): コンピューティングへの未認証アクセス、認証情報の漏洩、およびサーバーの設定ミス。
2. プロトコル/ツール (Protocol/Tool): MCPサーバーの欠陥、ツールのポイズニング（毒入れ）、およびコマンドインジェクション。
3. エージェントの振る舞い (Agent Behavior): プロンプトリーク、ツールの悪用、および間接的プロンプトインジェクションといったランタイムの脆弱性。
4. モデル (Model): アライメントの失敗およびジェイルブレイク（脱獄）への脆弱性。

本論文は、単一の検出パラダイム（例：静的なルールマッチングやブラックボックス・テスト）だけでは、この異種混合的な攻撃対象領域をカバーするには不十分であると主張しています。従来のツールは、新しいAIコンポーネントのシグネチャを持たず、不規則なバージョニングを処理できず、また注入型の欠陥ではなくAIエージェント固有のセマンティックおよび行動的なリスクに対して調整されていないため、失敗します。

メソドロジー：レイヤー・パラダイム・マッチング

AI-Infra-Guardの核心となるテーゼは、レイヤー・パラダイム・マッチング原則 (Layer-Paradigm Matching Principle) です。効果的なアセスメントには、発見を確立するために必要な証拠の種類に基づいて、特定の検出パラダイムをAI攻撃対象領域の各階層に適合させることが必要であるという考え方です。

本フレームワークは、セキュリティアセスメントを4つのモジュールに整理し、それぞれが異なるパラダイムを採用しています。

1. インフラストラクチャ・スキャニング (決定論的ルールマッチング)

• 対象: 既知のコンポーネント、CVE、および観測可能なシグネチャ。
• パラダイム: カスタムGoエンジンを用いた決定論的なルールベースのマッチング。
• メカニズム:
  • フィンガープリント作成: 正規表現だけでなく、ブール式言語を使用して、75のAIコンポーネントをカバーする107のフィンガープリント・ルールのコーパスに対して、レスポンスボディ、ヘッダー、アイコン、およびハッシュを照合します。
  • バージョン正規化: 不規則なAIバージョニング（例：b7824のようなビルド番号やdevタグ）に対処するため、比較前に文字列を正規化し、標準的なセマンティックバージョニングの限界を克服します。
  • 精度の層別化: 発見事項は、Verified（機密コンテンツの直接的な観察）、Version-based（CVEマッチング）、Inferred（バージョン不明時のコンポーネント・アイデンティティのみ）の信頼度によって階層化されます。
  • 範囲: 1,443以上の脆弱性ルールをカバーします。

2. MCPサーバー・オーディティング (LLM駆動型エージェンティック分析)

• 対象: コードまたはメタデータのセマンティックな理解を必要とするプロトコル/ツール層の欠陥。
• パラダイム: 「プロンプト・アズ・ルール (Prompt-as-Rule)」アプローチを用いた、LLM駆動型のエージェンティック・オーディティング。
• メカニズム:
  • エージェンティック・ハーネス: 多段階のパイプライン（情報収集 → コード監査 → レビュー）であり、LLMが推論コアとして機能し、限定された「Reason-Act」ループと特定のツール（例：read_file, grep）によって制約されます。
  • モード: 静的ホワイトボックス（ソースコードの分析）と、動的ブラックボックス（ツールメタデータと実行を通じたライブエンドポイントの分析）をサポートします。
  • プロンプト・アズ・ルール: 脆弱性の知識は、過剰な報告を防ぐための明示的な除外条件を伴う自然言語の検出基準としてエンコードされます。
  • 自己防衛: オーディターは、スキャナー自体を標的とした間接的プロンプトインジェクション攻撃を防ぐため、分析対象のアーティファクトを「信頼できないデータ」として扱います。

3. エージェント・スキル・スキャニング (サプライチェーン・オーディティング)

• 対象: エージェントによってインストールされるポータブルなスキルパッケージ（例：SKILL.md マニフェスト）。
• パラダイム: エージェンティック・パイプラインによる制御されたセマンティック・セキュリティ分析。
• メカニズム:
  • パイプライン: 前処理 → 静的リスク手がかりの検索 → AIオーディティング・エージェント → リスク分類。
  • 分析: LLMは、ターゲットコードを実行することなく、サプライチェーン・ポイズニング、隠蔽されたプロンプトインジェクション、および権限昇格を検出するために、スキルパッケージ全体に対して推論を行います。
  • 統合: 外部の脅威インテリジェンスAPIを活用して疑わしいURLや依存関係を検証し、誤検知を低減します。
  • 出力: スキルを「Normal（正常）」「Suspicious（疑わしい）」「Malicious（悪意がある）」に分類します。

4. AIエージェント・レッドチーミング (マルチターン・ブラックボックス相互作用)

• 対象: デプロイされたエージェントにおけるランタイムの行動的脆弱性。
• パラダイム: LLM駆動型のマルチターン・レッドチーミング。
• メカニズム:
  • 敵対的ダイアログ: エージェントは会話を通じてターゲットと相互作用し、「Reason-Act」ループを使用して、攻撃をエスカレートさせます（例：直接的なクエリからロールプレイやエンコーディングによるバイパスへ）。
  • コスト制御: 能力認識（無関係なテストのスキップ）、エスカレーション・ラダー、および停止ルールを採用することで、金銭的コストやレート制限を最小限に抑えます。
  • 目的のアンカリング: 主観的な行動判断を決定論的な検証に変換するために、「カナリアトークン」（例：SSRFトークン、仕掛けられたマーカー）を使用します。
  • 範囲: データ漏洩、ツール悪用、間接的インジェクション、および認可バイパスの4つのリスクファミリーをカバーします。

5. LLMジェイルブレイク評価 (統計的ベンチマーキング)

• 対象: モデルのアライメントの堅牢性。
• パラダイム: モデルベースの判断を伴う大規模な攻撃列挙。
• メカニズム:
  • 3つの役割: シミュレーター（攻撃を生成）、ターゲット（評価対象）、およびジャッジ（成功を判定）。
  • 攻撃ライブラリ: 16のデータセット（約7,200のプロンプト）にわたる26以上の攻撃オペレーター（エンコーディング、ロールプレイ、ツリー・オブ・アタックなど）を統合しています。
  • 出力: 攻撃成功率と安全性スコアを生成し、モデルの堅牢性の統計的な比較を可能にします。

主な貢献

1. 統一されたフレームワーク: AI-Infra-Guardは、AI攻撃対象領域の全4レイヤー（インフラストラクチャ、プロトコル/ツール、エージェントの振る舞い、モデル）を単一のアーキテクチャの下でカバーする最初のオープンソースフレームワークとして提示されています。
2. レイヤー・パラダイム・マッチング原則: 本論文は、ヘテロジニアス（異種混合）なAIシステムには、適切な証拠クラス（シグネチャ、セマンティック、行動、統計）を適切な検出パラダイムに適合させる、ヘテロジニアスなアセスメント戦略が必要であるという理論的枠組みを明確にしています。
3. スキル・サプライチェーンの監査: エージェントのスキルパッケージを監査するための新しいモジュールを導入し、これまで監視されていなかったベクトルに対処しています。
4. プロンプト・アズ・ルール・パラダイム: 検出知識を、LLMの推論能力に適応可能な、明示的な除外条件を伴う自然言語の基準としてエンコードします。
5. 自己防衛メカニズム: スキャナー自体をターゲットとして扱い、監査ツール自体を狙った間接的プロンプトインジェクション攻撃に対する防御（信頼できないデータの取り扱い、パス・サンドボックス）を明示的に実装しています。
6. オープンソースでのリリース: ルール・コーパス、攻撃オペレーター、および検出モジュールを含むフレームワークを、コミュニティの基盤として活用するためにオープンソースで公開します。

結果と評価

• スキル検出ベンチマーク: 本論文は、62,652の現実世界のスキルから派生した5,520の評価ケースを持つベンチマーク SkillTrustBench を導入しています。
  • 結果は、強力なベースモデル（例：Claude Opus 4.6）と組み合わせた場合、スキャナーが Loose F1スコア 0.9848、再現率（Recall）0.9974を達成することを示しています。
  • この研究は、検出ハーネスが監査仕様とベースモデルの能力を効果的に分離していることを実証しており、基礎となるモデルの改善が、監査ロジックを変更することなく、直接的に検出性能の向上につながることを示しています。
• システムアーキテクチャ: システムは、分散型サーバー・エージェント・アーキテクチャを介して、ヘテロジニアスなタスク（ミリ秒単位のルールマッチングから数分間のLLMレッドチーミングまで）を正常にオーケストレーションし、結果とコストメトリクスのリアルタイム・ストリーミングを提供します。

重要性と主張

本論文は、AI-Infra-Guardが、従来のツールの「ワンサイズ・フィッツ・オール（画一的）」なアプローチを超え、AIセキュリティにおける決定的なギャップを埋めるものであると主張しています。その重要性は以下の点にあります：

• 実践的な基盤: セキュリティ実務者が、多様なリスクに対して単一の手法を強制するのではなく、「適切なレイヤーに適切なツール」を適用できる、動作可能で拡張可能なプラットフォームを提供すること。
• コミュニティの基盤: AIエコシステムが進化するにつれて、コミュニティが構築を進めていけるような、共有されたオープンソースの基盤を確立すること。
• 包括的な視点: インフラストラクチャ・スキャニング、MCPオーディティング、スキル・サプライチェーン分析、エージェント・レッドチーミング、およびモデル・ジェイルブレイク評価を、単一の結束したシステムへと統合している唯一の既知のオープンソースフレームワークであること。

著者らは、本研究を単なる孤立したツールの集合体としてではなく、一つの設計原則の具現化として位置づけています。すなわち、AIの攻撃対象領域の多様性は、共通のワークフローとアーキテクチャによって統一された、多様な検出パラダイムを要求するという原則です。