AIエージェントのサプライチェーンセキュリティに重大な脆弱性 — 偽スキルが26,000のエージェントに到達

2026年6月24日、Aviatrix Threat Research Center（TRC）が公開した分析結果がAI業界に衝撃を与えている。偽のAIエージェントスキルが既存のセキュリティスキャナを全て回避し、26,000以上のエージェントに到達したという実験結果だ。このスキルは一見無害なランディングページビルダーを装いながら、実際には企業アカウントを含む利用者のメールアドレスを収集する仕組みだった。本記事ではこの攻撃の仕組み、AIサプライチェーンセキュリティの現状の課題、そして防御策を解説する。

実験の全容：偽スキルが26,000のエージェントに到達した経路

Aviatrix TRCの研究者は、AIエージェントのスキルマーケットプレイスに偽のスキルをアップロードする実験を行った。このスキルはランディングページビルダーとして登録され、一見すると完全に正当なツールに見えるよう設計されていた。外見上の機能は実際に動作し、初期のセキュリティレビューを通過した。

問題はその裏側にあった。スキルが実行されると、利用者のメールアドレスを収集して外部サーバーに送信するコードが仕込まれていた。この悪意のあるペイロードは、スキルの主要機能の中に巧妙に隠蔽されていたため、自動スキャナでは検出できなかった。

実験開始から短期間で、この偽スキルは26,000以上のエージェントにインストールされた。その中には企業の公式アカウントで運用されているエージェントも含まれており、被害の拡大範囲は極めて広い。収集されたメールアドレスは、さらなるフィッシング攻撃や標的型攻撃の足がかりとして悪用される可能性がある。

なぜセキュリティスキャナを突破できたのか

この実験が示す最も深刻な問題は、既存のセキュリティ対策がAIエージェントのスキルエコシステムに適応できていない点だ。従来のアプリケーションセキュリティは、スタンドアロンのソフトウェアやWebアプリケーションを前提に設計されている。しかしAIエージェントのスキルは、LLMのプロンプトと実行コードが複雑に絡み合った新しい攻撃面を持つ。

第一に、スキルの機能説明と実際の動作の間に乖離があっても、自動レビューでは検出が困難だ。ランディングページビルダーとしての表向きの機能は正常に動作するため、一見問題がないように見える。第二に、AIエージェントのスキルは実行時に動的にコードを生成・実行できるため、静的分析では悪意のある動作を特定しづらい。第三に、スキルマーケットプレイスの運営者自身も、アップロードされるスキルを十分に検証する仕組みを持っていないケースが多い。

AIサプライチェーンセキュリティの3つの脆弱点

この事件は、AIエージェントのサプライチェーン全体に3つの根本的な脆弱性があることを露呈した。

1つ目はスキルの検証プロセスだ。現状のスキルマーケットプレイスでは、アップロード時の自動スキャンが主流で、人間によるコードレビューは一部の主要スキルに限られる。攻撃者は表向きの機能を正常に動作させることで自動スキャンを通過できる。

2つ目は実行時の監視の欠如だ。スキルがインストールされた後、どのようなデータにアクセスし、どこに送信しているかを監視する仕組みが不十分である。特にエージェントが自律的に動作する環境では、悪意のあるデータ収集が発見されにくい。

3つ目は権限管理の甘さだ。多くのAIエージェントプラットフォームでは、スキルに対して必要以上に広い権限が付与される傾向がある。ランディングページビルダーという表向きの機能には不要なネットワークアクセスやデータ収集が、デフォルトで許可されているケースが多い。

企業が今すぐ取るべき防御策

Aviatrix TRCの分析は、AIエージェントを導入している企業に対して具体的な防御策を提示している。

第一に、スキルのインストールポリシーを厳格化する。信頼できるベンダーが公開したスキルに限定し、無名の開発者によるスキルは原則禁止とする。スキルのソースコードが公開されている場合は、自社でセキュリティレビューを実施してから導入する。

第二に、エージェントのネットワーク通信を監視する。スキルがどの外部サーバーと通信しているかを可視化し、許可リストにないエンドポイントへの通信をブロックする。特にメールアドレスや顧客データを外部に送信する動作は、厳重に監視する必要がある。

第三に、最小権限の原則を適用する。エージェントに付... [truncated]