地元暮らしをちょっぴり楽しくするようなオリジナル情報なら、地域情報サイト「まいぷれ」！
文字サイズ
暮らしと仕事の「？」を調べてみた
（更新）
Zenityの研究を検証
図：公開資料をもとに編集部作成（生成AIを使用）
AWSのAIエージェント基盤で実証された権限管理の問題
企業でAIを使う場面が増えています。
問い合わせへの回答、資料の整理、顧客情報の管理、請求書の処理。こうした仕事をAIに任せるとき、もし1つのAIが外部から不正に操作されたら、ほかのAIや社内情報まで危険にさらされるのでしょうか。
2026年10月8日、AIセキュリティ企業Zenity Labsが、この疑問に関係する研究結果を公開しました。
研究対象は、Amazon Web Services（AWS）が提供するAIエージェント運用基盤「Amazon Bedrock AgentCore」です。
研究者らは、一定の条件下で、外部公開された1つのAIエージェントを入口に、同じAWSアカウント・リージョン内の別のエージェントや非公開情報にアクセスできることを示しました。
ただし、これは実際の企業で大規模な被害が確認された事件ではありません。また、AWSは研究者による脆弱性との評価に異議を唱えています。
今回は、研究で何が実証され、何がまだ分かっていないのかを、公開資料から調べました。
AIエージェントとは、質問に答えるだけでなく、外部のシステムやツールを利用して仕事を進めるAIの仕組みです。
例えば、企業では次のような使い方が考えられます。
それぞれ異なる仕事を担当していても、同じクラウド環境で運用される場合があります。
本来、問い合わせ対応AIが経理部門の機密情報を自由に閲覧できる必要はありません。
そこで重要になるのが、AIごとに設定される「アクセス権限」です。
Zenity Labsは今回の研究を「AgentCorruption」と名付けました。
研究者らが示したのは、1つのAIへの不正な指示が、クラウド側の権限設定と組み合わさることで、ほかのAIにまで影響を及ぼす可能性です。
ここで問題となったのは、AIが自分の役割を超えて行動したことだけではありません。
研究対象の設定では、取得された認証情報に、別のAIを呼び出したり、保存された会話を読み取ったりするための広い権限が付与されていました。
AIへの不正な指示と、クラウド側の過大な権限が組み合わさったことが、被害の広がる原因となったのです。
研究者らは、取得した認証情報を使って、別のAIエージェントにアクセスする検証を行いました。
その結果、研究環境では以下の操作が可能だったと報告しています。
重要なのは、これらが最初に操作したAIだけに限られなかったことです。
ただし、対象は研究で検証されたAWSアカウントとリージョン内のリソースです。AWS全体や、他社のAWSアカウントを無条件に操作できたという意味ではありません。
今回の研究で、もう1つ注目したいのがAIの長期記憶です。
AIエージェントには、過去の会話から利用者の好みや仕事の進め方などを記憶し、次の会話で活用する仕組みがあります。
研究者らは、この記憶を生成する仕組みを悪用できることも検証しました。
不正な内容を会話の記録に追加し、それが長期記憶として取り込まれると、次の会話以降にもAIの行動へ影響を与えられる可能性があります。
研究では、会話イベントとして追加された内容が長期記憶に取り込まれ、その後のAIの応答に影響することを確認しました。長期記憶のデータを直接自由に上書きしたという意味ではありません。
さらに研究では、AIが攻撃者の管理する外部サイトから指示を取得し、会話内容を外部へ送信する動作も示されています。
ただし、これは対象AIの記憶設定や利用可能なツールなどの条件に依存します。
AIの記憶は便利な機能である一方、そこに保存される情報を誰が操作できるかも、安全性に関わる問題なのです。
今回の研究は、2026年10月8日に突然発見された問題ではありません。
Zenity Labsの公表資料によると、研究者らは2025年末からAWSに報告を行っていました。
| 日付 | 主な経緯 |
|---|---|
| 2025年12月25日 | 認証情報へのアクセスに関する問題を報告 |
| 2026年1月12日 | 広範なアクセス権限の問題を追加報告 |
| 2026年2月14日 | 新規エージェントでIMDSv2を使用するようAWSが変更 |
| 2026年9月29日 | 研究者が初期設定の権限縮小を確認 |
| 2026年10月8日 | 詳細な研究結果を公開 |
Zenityによると、9月29日時点で、別のエージェントの呼び出し、非公開会話の閲覧、秘密情報へのアクセスなどを可能にしていた初期設定の権限が削除・制限されていました。
一方、AWSは報道機関The Next Webへの回答で、研究者が脆弱性と呼ぶ動作は、想定され文書化された動作であるとの見解を示しました。
また、エージェントには必要な権限だけを与えることを推奨しています。
研究者が示したリスクと、AWSによる脆弱性評価は区別する必要があります。
初期設定の改善が確認された一方で、既存の利用環境や開発者が独自に設定した権限まで、すべて安全になったと判断することもできません。
今回の研究は、大企業のクラウドシステムだけの話ではありません。
中小企業や自治体でも、今後、複数のAIを組み合わせて業務を進める機会が増えると考えられます。
例えば、店舗の問い合わせ対応AIと、顧客情報を管理するAIを連携させる場面です。
問い合わせ対応AIは、お客様の質問に答えるために必要な情報だけを扱えれば十分かもしれません。
それなのに、顧客名簿全体の閲覧や請求情報の変更までできる設定になっていたら、外部から不正な操作を受けたときの影響は大きくなります。
AIの回答内容だけでなく、AIが何を閲覧し、何を変更できるのかまで考えることが必要です。
特定の条件下では、1つのAIエージェントを入口として、別のAIや非公開情報にアクセスできることが研究で実証されました。
AWSの初期設定の権限が縮小されたことを、研究者らが公表前に確認しています。
実際の企業での被害規模や、現在も同様の条件を持つ環境がどの程度存在するかは確認できていません。
AIを使うとき、私たちはつい「正しい回答をしてくれるか」「指示どおりに動いてくれるか」に注目しがちです。
しかし、AIが外部サービスを操作できるようになると、それだけでは十分ではありません。
たとえAIが不正な指示に従ってしまっても、システム側で権限が適切に制限されていれば、影響を小さくできる可能性があります。
今回の研究は、AIの安全性がAIモデルの性能だけで決まるものではないことを示しています。
AIに何を任せるかだけでなく、何をさせないようにするか。
企業や自治体がAIエージェントを導入する際には、この視点も重要になるのではないでしょうか。
※本記事は2026年10月9日時点で確認できる公開資料をもとに作成しています。研究者による検証結果と実際の被害発生は区別して記載しています。
※取材時点の情報です。掲載している情報が変更になっている場合がありますので、詳しくは電話等で事前にご確認ください。
まいぷれ[東村山市・小平市・東大和市] 公式SNSアカウント
