homulaAIエージェント導入のセキュリティ実践 — 第5回
導入時の試験と運用
基盤の弱点を確かめ、統制が効くことを試験で確認する。運用では変化を見張り続け、止める手順を先に決めておく。
この回の結論：設計した統制が実際に働くかは、試験しないとわからない。導入時は基盤そのものの弱点を確かめ、6つのテストで統制の効き目を確認する。運用では脆弱性・呼び出し・棚卸しを繰り返し、異常時に止める手順を先に決めておく。
第4回では、導入前に決めることを10の手順にまとめました。この回は、構築・検証の段階（導入時）と、導入後の運用、そしてMCP接続・ブラウザ自動化・コード実行サンドボックス・ワークフロー基盤といった接続の形ごとの追加事項を扱います。
原稿：ホワイトペーパー第1.0版（2026年10月）
本記事は、homulaのホワイトペーパー「業務AI・AIエージェント導入の情報セキュリティ実践ガイド」をWeb向けに再構成したものです。事実には [ ] で出典番号を付け、記事末尾に原文へのリンクを載せています。出典番号のない手順・推奨と「本ガイドの提案」と明記した事項は、本ガイドが提案するものです。
1.導入時は、基盤の弱点を確かめ、統制が効くことを試験で確認する
導入時は、エージェント基盤そのものの堅牢性を確認し、導入前に設計した統制が実際に働くことを6つの試験で確かめます。あわせて、管理画面などの公開面を最小にします。
6.1基盤そのものの堅牢性2026年の公表事例から
確認すること
- 認証基盤（IdP：利用者の認証を担う仕組み）が未設定・未接続のとき、基盤がどう振る舞うか。Loom for AWSでは、任意のクライアントが完全な管理者権限を得られる脆弱性が公表された[C6]
- 接続設定に外部URLを指定できる箇所から、シークレットや他ユーザーのトークンが外部へ送られないか[C6]
- MCP／A2A接続からのSSRFで、内部の資格情報エンドポイントに到達できないか[C6]
- テンプレート・式・ワークフロー定義のサンドボックスから脱出できないか（GitLab AI Gateway：深刻度CVSS 9.9／10、n8n：2026年に複数回修正）[C7][C8]
- MCPプロキシ構成でのconfused deputy対策（クライアントごとのユーザー同意）[B2]
- アップロードファイルのマルウェアスキャン、検査できないファイルの遮断、実行ファイルの自動実行の禁止[A14]
6.2統制が効くことを確かめる6つのテスト
| テスト | 対応 | 合格の条件 |
|---|---|---|
| 権限テスト | 原則2 | 許可していない接続先・操作・データに到達できない |
| 注入テスト | R1・原則1 | 埋め込んだ指示で、承認なしの外向きアクションが起きない（DNS・画像読み込み経由の送出も試す） |
| 承認テスト | 原則4 | 高影響の操作が承認なしに実行されない |
| egressテスト | 原則5 | 許可外・内部アドレス・メタデータに到達できない |
| ログテスト | 原則6 | すべてが呼び出し単位で記録され、利用組織が参照できる |
| 停止テスト | kill switch | 実行中のエージェントを即時に停止できる |
テストの結果は記録し、統制の設定・接続先・ツールを変えたときに再実施します（本ガイドの提案）。
2.運用では、変化を見張り続け、止める手順を先に決めておく
導入後は、脆弱性の管理、ツール呼び出しの監視、エージェントと接続先の棚卸しを繰り返し、インシデント時の手順を事前に定めます。修正版の公開から侵入までの時間は短いことを前提にします。
7.1脆弱性・依存関係の管理R5
やること
修正版の公開から4日後に侵入された
Metabaseの脆弱性では、修正版の公開（8月6日）から4日後に侵入された組織が、アドバイザリを検知・エスカレーションできなかったと公表しました。アドバイザリを見張る仕組みと、適用の期限がなければ、修正版があっても間に合いません。
出典[C5]
7.2監視R7
7.3棚卸しR12
やること
- エージェント、エージェントID、接続先、ツール・MCPサーバー、スキル、認証情報、保持データを定期的に棚卸しし、不要なものは削除するか失効させる
- 部門・個人が導入したエージェントの把握を含める
7.4インシデント対応原則8
事前に定めること
- 即時停止、認証情報の一括失効・ローテーション、ログの保全、影響範囲（どの接続先に何をしたか）の特定手順を事前に定める
- 委託先・ベンダーからの報告義務と連携体制を契約で定める。国家サイバー統括室は被害組織に技術情報の速やかな共有を求めている[A1]
3.接続の形ごとに、固有の弱点を補う
MCP接続、ブラウザ自動化、コード実行サンドボックス、ワークフロー基盤には、それぞれ固有の注意点があります。1.と2.の統制に加えて、次を確認します。
8.1MCP接続
8.2ブラウザ自動化R1
確認すること
- Webページの内容はすべて信頼できない入力として扱う
- 分離されたブラウザ環境、セッションの記録、ログイン済みアカウントに触れる前の明示的な確認、サイトの許可リスト、人が引き継ぐ手段を組み合わせる
- 繰り返す手順は、あらかじめ定めた手順・コードで実行する処理に置き換え、実行時のLLMの判断を減らして、注入の影響を受ける範囲を狭める（軽減であり、消滅ではない）
8.3コード実行サンドボックス原則5
8.4ワークフロー基盤（n8n等）
確認すること
- 基盤自体の脆弱性（式のサンドボックス脱出、OAuth同意のバイパス等）が2026年に複数公表されている。最低版数を定め、アドバイザリを監視する[C8]
- ワークフロー内でLLMを呼び出す処理（LLMノード）に渡るデータに、認証情報が含まれないことを確認する
- 基盤側の制限（許可HTTPリクエストドメイン等）が、LLM連携ノード経由で迂回できないかを確認する
次の回
ここまでの統制を、SaaS／PaaS型を選ぶときにベンダーへ確認する18問と、自社を点検する21項目のチェックリストにまとめたものを、第6回で掲載しています。
Summary
この記事の要点
- 1導入時は、IdP未設定時の挙動、外部URL設定からのシークレット送出、SSRF、サンドボックス脱出など、基盤そのものの弱点を2026年の公表事例に沿って確認する。
- 2権限・注入・承認・egress・ログ・停止の6つのテストで、設計した統制が実際に効くことを確かめ、結果を記録する。
- 3業務上必要のない管理画面・内部API・BIツールは公開しない。
- 4運用では、SBOMとアドバイザリの監視で適用期限を守り、ツール呼び出しログを分析し、エージェント・ID・接続先・認証情報を定期的に棚卸しする。
- 5即時停止、認証情報の一括失効、ログ保全、影響範囲の特定の手順は、異常が起きる前に定めて訓練しておく。
- 6MCPは許可リストとトークンの扱い、ブラウザ自動化はWebページを信頼しないこと、サンドボックスは中の認証情報、ワークフロー基盤は基盤自体の脆弱性とLLMノード経由の迂回に注意する。
Sources
出典
出典番号はホワイトペーパー付録A「準拠文書の一覧」と共通です。URLは原稿作成時点（2026年10月）のものです。
- [A1]
- [A2]
- [A5]
- [A6]
- [A12]
- [A13]
- [A14]
- [B2]
- [B3c]
- [C2]
- [C5]
- [C6]
- [C7]
- [C8]
FAQ
よくある質問
エージェントが読み込む文書・Webページ・フォーム入力などに指示を埋め込み、承認なしの外向きアクション（送信・投稿・外部への通信）が起きないことを確かめます。HTTPでの送信だけでなく、画像の読み込みやDNSの名前解決を経由した送出も試します。テストの結果は記録し、統制の設定を変えたときに再実施します。
エージェントは人の確認を待たずに速く大量に実行するため、異常に気づいてから止める手段を探していては被害が広がるためです。実行中のエージェントを即時に止める手段と、停止後に認証情報を一括で失効・ローテーションする手順、ログの保全と影響範囲の特定手順を、事前に定めて訓練しておきます。
基盤自体の脆弱性（式のサンドボックス脱出、OAuth同意のバイパス等）が2026年に複数公表されています。最低版数を定めてアドバイザリを監視し、ワークフロー内でLLMを呼び出す処理（LLMノード）に渡るデータに認証情報が含まれないこと、基盤側の制限（許可HTTPリクエストドメイン等）がLLM連携ノード経由で迂回できないことを確認します。
定期的な棚卸しの対象に、部門・個人が導入したエージェントと、個人が立てたMCPサーバーを含めます。エージェント、エージェントID、接続先、ツール・MCPサーバー、スキル、認証情報、保持データを一覧化し、不要なものは削除するか失効させます。作ったはずのないアカウントや、無効化したはずのアカウントがないかも点検します。
Next
シリーズの前後
PDF版（25ページ・図17点）を無料でダウンロード
社内の検討資料にそのまま使えるPDF版です。ベンダー質問票には回答の記入欄があります。
AIエージェントの統制設計を、あわせて相談したい方へ
homulaは、AIエージェントを業務に導入する企業に向けて、統制ポリシー・権限・監査ログの設計から運用までを支援しています。SaaS型の選定時の確認から、自社で構築する場合の基盤設計まで、ご相談ください。