AI Agentへの攻撃を見抜く！純国産「Senda-Argus」のリアルタイム検知エンジンとは？

誘導されたAIを見抜く、純国産「Senda-Argus」の検知エンジンが登場
AIの「実行」が新たな攻撃経路に
検知エンジンの主な特徴
従来のAI Observabilityとの違い
想定されるユースケース
今後の展開
株式会社RainForestについて
関連リンク
- AI Workstyle Lab編集部コメント

誘導されたAIを見抜く、純国産「Senda-Argus」の検知エンジンが登場

株式会社RainForestは、AI Agentの判断、根拠、実行を監査する純国産Security for AI基盤「Senda-Argus」の中核となる検知エンジンを発表しました。これは、2026年5月の「実行証跡レイヤ」構想発表、6月のログ収集ライブラリ「Senda-Argus Hooks」技術プレビュー公開に続く第3弾です。これまでの仕組みが実行証跡を「記録する」ことに焦点を当てていたのに対し、今回の発表は記録された証跡から攻撃を「検知し、止める」エンジンに移行したことを意味します。これにより、Senda-Argusは検知、MITRE ATLAS対応付け、SIEM連携、遮断までを一貫して提供する、動くセキュリティ基盤へと進化します。

この検知エンジンの核となるのは、悪意あるツールそのものの存在を探すのではなく、「AIの判断が操られた事実」そのものを検知するという新しい監査の視点です。

AIの「実行」が新たな攻撃経路に

AIのリスクは、「AIが何を回答したか」から「AIが実際に何を実行したか」へと変化しています。実行するAIは、攻撃者にとって新たな侵入口となり、この7月には、管理された隔離環境から脱出した自律型AI Agentが外部インフラへ不正アクセスした事案も報告されています。従来の通信やアクセスを監視する対策では観測が難しい、以下のような攻撃が確認されています。

未承認のMCP（Managed Control Plane）サーバーが、信頼済みツールと同じ名前の偽物を候補に紛れ込ませ、AIの選択を誘導する
プロンプトインジェクションで乗っ取られたAgentが、正常な宣言の裏で認証情報の読み出しなど別の行動を実行する
侵害の事後に監査ログそのものを書き換え、痕跡を消す

これらの攻撃に対処するためには、「どのAgentが、何を選び、どの引数で何を実行したか」をAgentから独立して記録し、その場で異常を判定してSOC（Security Operation Center）へ届ける仕組みが必要です。今回発表された検知エンジンは、この空白のセキュリティレイヤを埋めるものです。

検知エンジンの主な特徴

AIの判断が「操られた事実」を検知

Senda-Argusは、悪意あるツールや偽サーバーの存在を見つける従来の対策を一歩進め、AIの判断そのものへの攻撃を検知します。例えば、承認済みサーバーのCVE調査ツールと同名の偽ツールへAIが選択を誘導された場合、「TOOL_SELECTION_STEERING」アラートとして検知します。ツールの説明文に埋め込まれた誘導表現の検知にも対応している点が特徴です。

宣言と実行の食い違いを検知

Agentが「何をする」と宣言した内容と、実際にどのツールをどの引数で呼び出したかを照合し、正常な宣言の裏で別の行動を取るような乗っ取りを検知します。検証環境では、CVE調査を宣言したAgentが認証情報の読み出しを実行した場合、「INTENT_EXECUTION_MISMATCH」アラートが出力されました。既知のツール名リストに依存しないため、初見のツールによる攻撃も検知可能です。

約60種の検知ルールと72種類のアラート

プロンプト注入、システムプロンプトの改変、認証情報の窃取、データ持ち出し、モデル抽出、RAG（Retrieval Augmented Generation）汚染、サンドボックス脱出など、AI Agent固有の攻撃面を約60種の検知ルールで網羅し、72種類のアラートとして出力します。Agent横断の行動グラフ分析により、単体では閾値に達しない分散型攻撃も一つのキャンペーンとして検知できるのが強みです。

MITRE ATLASへの自動対応付け

検知されたアラートは、AIシステムへの攻撃手口を体系化したナレッジベースであるMITRE ATLASの攻撃手法へ自動で対応付けられます。これにより、「いま受けている攻撃が、攻撃者の戦術のどの段階にあたるか」を標準の語彙で把握でき、報告や対応判断に活用できます。

CEF形式でSIEMへ連携

検知結果はSIEM（Security Information and Event Management）標準のCEF形式とJSON形式で出力され、既存のSOC監視プロセスにAI Agentの実行証跡とアラートを組み込むことが可能です。収集、検知、ATLAS対応付け、SIEM連携までを一貫して提供します。

監視から遮断への段階的移行

プロンプトインジェクションなどで乗っ取られたAgentが被害を広げる前に、実行の段階で停止させる機能も備えています。identity、frequency、behaviorの3軸リスクスコアに機械学習の異常検知を重ね、Agentごとのリスク状態をNORMAL、SUSPICIOUS、HIGH_RISK、BLOCKEDの4段階で管理します。監視のみのモードと、危険と判断したAgentが次に呼ぼうとしたツールをMCP Gatewayで拒否する遮断モードがあり、運用の成熟度に合わせて移行できます。

また、すべての判定にはdecision traceが付与され、同一入力からの判定再現を保証します。監査ログはSHA-256のハッシュチェーンで連結され、記録後の書き換えを検出できます。Senda-Argus Hooksが公式MCP SDKに差し込む方式のため、アプリケーションのコード変更なしで導入でき、prompt、context、resultの本文を既定で保存しないPrivacy-Safe設計も継続しています。

従来のAI Observabilityとの違い

Senda-Argusは、LLMアプリケーションの性能や品質を可視化するObservability製品とは異なり、「セキュリティ監査」を目的としています。実行証跡の収集にとどまらず、リスク判定、実行前遮断、改ざん検知、判定根拠の再現までを一体で提供します。観測点をMCPに置くため、特定のLLMやフレームワークに依存せず、クラウドLLMにもローカルLLMにも適用可能です。この技術は特許出願中とされています。

想定されるユースケース

社内に混在する未承認MCPサーバーや野良Agentの発見と遮断
AI Agentが関与したインシデントの原因究明と、監査に耐える説明責任の履行
SIEM連携による、SOC監視プロセスへのAI Agentアラートの組み込み
監査ログの長期保全が求められる規制業界やOT環境でのAI利用統制

今後の展開

株式会社RainForestは、オンプレミス提供を基本とした提供準備を進めています。今後は、検知結果の可視化、監査レポート生成、SOC/CSIRT向け運用機能の拡充に加え、Sendaシリーズの脅威インテリジェンス・資産可視化製品群との連携を進め、AI Agent時代のセキュリティ運用基盤としての発展を目指すとしています。

株式会社RainForestについて

株式会社RainForestは、AI、サイバーセキュリティ、脅威インテリジェンス、セキュリティ自動化領域における研究開発を行っています。AI Agent時代に必要となるSecurity for AI基盤の実現に向け、Senda-Argusをはじめとした各種技術開発を進めている企業です。

会社名: 株式会社RainForest
事業内容:
- AI for Security
- 脅威インテリジェンス
- AI Agent / MCP関連技術の研究開発
- サイバー脅威インテリジェンスの研究開発
- セキュリティ関連ソフトウェアおよびデータサービスの提供
- 受託開発
URL: https://www.rainforest-cs.jp/
お問い合わせ先: info@rainforest.jp