自律的にツールを呼び出し、自分で判断しながら一連の作業を進めるAIエージェント（Agentic AI）を、自社のサービスや社内業務に組み込む動きが広がっています。従来の生成AIが「質問に答える」だけだったのに対し、AIエージェントは外部システムを操作し、実際に行動します。この「行動する力」は、これまでのWebアプリケーションの脆弱性診断では捉えきれない新しい攻撃の入り口を生みます。
そうしたAIエージェント特有のリスクを整理した代表的な指標の一つが、OWASP（Open Worldwide Application Security Project）が公開するAgentic AI向けのセキュリティ文書です。
ただ「owasp agentic ai」で検索すると、「Agentic AI – Threats and Mitigations」「OWASP Top 10 for Agentic Applications」「Agentic Skills Top 10」といった複数の文書が並び、どれが最新で、どれを読めばよいのか分かりにくいのが実情です。
公式ページは本体がダウンロード資料になっており、項目の中身にたどり着くまでにも手間がかかります。
目次
一括ダウンロードする
OWASPが示すAgentic AIのセキュリティ文書は3つ｜どれを軸に読むか
はじめに、検索結果に混在する文書の関係を整理します。OWASPのAgentic AI関連の文書は、大きく3つあります。結論から言うと、本記事の読者がまず押さえるべきは「OWASP Top 10 for Agentic Applications 2026（ASI01-10）」です。
これは実務で最初に見る入口として設計されており、より詳しい土台として「Agentic AI – Threats and Mitigations」があります。この2つは、いずれもOWASPのGen AI Security Project内の取り組み（Agentic Security Initiative）が公開しています。
公式文書は、両者の関係を次のように説明しています。
We map to our Agentic AI Threats and Mitigations, which remains our foundational and detailed taxonomy that this Top 10 relies upon.
出典：OWASP Top 10 for Agentic Applications 2026「Letter from The Agentic Top 10 Leaders」｜OWASP Gen AI Security Project
最重要の10項目を実務向けにまとめた「入口」がTop 10 for Agentic Applications、その土台となる詳細な脅威の一覧が「脅威と緩和策（Threats and Mitigations）」という関係です。「どれが新しいか」ではなく、「入口はTop 10、詳しく調べるときは脅威と緩和策」という読み分けが実態に合っています。
残る1つの「Agentic Skills Top 10（AST10）」は、上の2文書とは別のプロジェクト（OWASP Foundationのインキュベーター段階のプロジェクト）が公開しているもので、AIエージェントの「スキル（実行する機能）」層に特化した新興の枠組みです。扱う対象が異なるため、本記事では詳しく立ち入りません。3文書の違いを整理すると、次のとおりです。
| OWASPのAgentic AI関連3文書の整理 | OWASP Top 10 for Agentic Applications 2026 | Agentic AI – Threats and Mitigations | OWASP Agentic Skills Top 10 |
|---|---|---|---|
| 通称 | ASI01-10 | 脅威と緩和策 | AST10 |
| 位置づけ | 最重要10リスクをまとめた実務の入口（本記事の軸） | 17の脅威を詳述する土台（Top 10が依拠する詳細版） | AIエージェントの「スキル」層に特化した別系統の枠組み |
| 発行・時期 | OWASP Gen AI Security Project／2025年12月（2026年版） | OWASP Gen AI Security Project／Version 1.1・2025年12月 | OWASP Foundation（インキュベーター）／Version 1.0-2026 |
※各文書の公式配布ページ（2025〜2026年時点）にもとづく整理です。
ここからは、本記事の軸となるTop 10 for Agentic Applications 2026（ASI01-10）の中身を見ていきます。
出典・参考資料（3件）
AIエージェントの10大リスク「OWASP ASI01-10」一覧と対策
OWASP Top 10 for Agentic Applications 2026は、AIエージェント特有のリスクを影響度の高い順に10項目（ASI01〜ASI10）で整理しています（名称は2026年版ですが、公開は2025年12月です）。
まず全体像を一覧で示し、その後に各項目を「どんな危険か」「どんな攻撃として現れるか」「どう防ぐか」の順に解説します。各項目の名称は公式の英語表記で、日本語訳は本記事で補ったものです。
| OWASP ASI01-10 一覧 | ASI01 | ASI02 | ASI03 | ASI04 | ASI05 | ASI06 | ASI07 | ASI08 | ASI09 | ASI10 |
|---|---|---|---|---|---|---|---|---|---|---|
| 正式名称（英語） | Agent Goal Hijack | Tool Misuse and Exploitation | Identity and Privilege Abuse | Agentic Supply Chain Vulnerabilities | Unexpected Code Execution (RCE) | Memory & Context Poisoning | Insecure Inter-Agent Communication | Cascading Failures | Human-Agent Trust Exploitation | Rogue Agents |
| 日本語訳 | エージェントの目標ハイジャック | ツールの悪用 | IDと権限の乱用 | エージェントのサプライチェーンの脆弱性 | 予期しないコード実行 | 記憶とコンテキストの汚染 | 安全でないエージェント間通信 | 連鎖的な障害 | 人間とエージェントの信頼の悪用 | 暴走・不正エージェント |
| どんな危険か | 攻撃者がエージェントの目標・判断を乗っ取り、本来と違う行動をとらせる | 正規のツールを不正に使わせ、情報持ち出しや処理の乗っ取りにつなげる | 委任や権限の継承を悪用し、アクセス権を広げて制御を回避する | 外部提供のツール・部品が改ざん・汚染されていて被害につながる | コード生成・実行機能を悪用され、遠隔コード実行や内部システムの悪用を招く | 記憶や文脈に偽情報を仕込まれ、以後の判断・ツール利用が歪められる | エージェント同士の通信の認証・検証不足を突かれ、傍受や改ざんを受ける | 1つの不具合が自律的なエージェント間で連鎖し、システム全体の被害に拡大する | 人がエージェントに寄せる信頼を悪用し、判断の誘導や情報詐取を行う | 本来の役割や権限から逸脱したエージェントが有害・欺瞞的に振る舞う |
※名称はOWASP Top 10 for Agentic Applications 2026の公式表記。日本語訳・概要は本記事で補足。
ASI01：Agent Goal Hijack（エージェントの目標ハイジャック）
AIエージェントは、目標に向けて一連のタスクを自律的に実行します。公式の定義では、攻撃者はプロンプトによる操作、偽装したツールの出力、不正なデータ、偽造されたエージェント間メッセージ、汚染された外部データなど、さまざまな手法でエージェントの目標・タスク選択・判断経路を操作しうるとされています。
実際の攻撃例として、公式文書は「EchoLeak」を挙げています。これは、間接的なプロンプトインジェクションと呼ばれる攻撃です。細工したメールを送るだけで（ゼロクリックで）Microsoft 365 Copilotに隠された指示を実行させ、ユーザーの操作なしに機密メールやファイル、チャット履歴を外部へ持ち出させます。
利用者が何も操作しなくても被害が成立しうる点が、従来のアプリ攻撃と大きく異なります。
対策の出発点は、エージェントに渡す自律性と権限を必要最小限に絞ること、外部から取り込むデータや指示を信頼せず検証すること、そして影響の大きい操作には人の承認を挟むことです。
ASI02：Tool Misuse and Exploitation（ツールの悪用）
エージェントは、外部ツールを呼び出して作業を進めます。プロンプトインジェクションや、あいまいな指示、安全でない委任によって、正規のツールが不正に使われると、データの持ち出しやツール出力の改ざん、処理の乗っ取りにつながります。
公式文書が挙げる例の1つが「ツール汚染（Tool Poisoning）」です。MCP（Model Context Protocol）のツール記述やスキーマ、メタデータといったツールの接続情報を攻撃者が改ざんし、エージェントに偽りの機能にもとづいてツールを呼び出させる手口です。ツールそのものではなく、ツールとやり取りする「入口」を実行時に汚染する点が特徴です。
対策としては、ツールごとに最小権限のプロファイル（操作できる範囲・呼び出し回数の上限・通信先の許可リスト）を定め、できればID・権限管理の仕組み（IAM）や認可ポリシーとして付与します。そのうえでツールの呼び出しと結果を記録・監視し、想定外の使われ方を早期に検知します。
ASI03：Identity and Privilege Abuse（IDと権限の乱用）
エージェントは、役割の継承や権限の委任といった仕組みで動きます。公式の定義では、この委任の連鎖や役割の継承、キャッシュされた認証情報や会話履歴といった文脈を操作して、アクセス権を広げたり制御を回避したりする攻撃がIDと権限の乱用です。
例として、財務処理を担うエージェントが「データベース照会」エージェントに自分の権限をすべて渡してしまい、照会内容を誘導した攻撃者がその継承された権限で人事・法務データを持ち出すケースが示されています。
委任のたびに権限を絞り込み（必要な範囲だけを渡す）、認証情報を使い回さず、アクセスの連鎖を追跡できるようにしておくことが対策になります。
ASI04：Agentic Supply Chain Vulnerabilities（エージェントのサプライチェーンの脆弱性）
エージェントやツール、そこで扱う部品の多くは外部から提供されます。これらが悪意をもって作られていたり、どこかで改ざん・汚染されていたりすると、それを取り込んだエージェントが被害を受けます。
公式文書は、npm上で確認されたという、正規のMCPサーバー（postmark-mcp）になりすまし、ひそかにメールを攻撃者へBCC送信していた不正なMCPサーバーの例などを挙げています。開発者が気づかないうちに、信頼したつもりの部品から情報が漏れる構図です。
導入するツールや拡張機能の出所を確認し、提供元・バージョン・改ざんの有無を管理すること、信頼できる範囲を明確にしておくことが重要です。
ASI05：Unexpected Code Execution (RCE)（予期しないコード実行）
エージェント型のシステムは、コードを生成して実行する機能を持つことが少なくありません。公式の定義では、こうしたコード生成機能や組み込まれたツールへのアクセスを悪用され、遠隔コード実行（RCE）や内部システムの悪用へと発展する危険が指摘されています。
例として、いわゆる「バイブコーディング」や自己修復の作業中に、エージェントが未確認のインストールコマンドやシェルコマンドを自分の作業環境で生成・実行し、本番データを削除・上書きしてしまった事例が報告されています。
コードの生成・実行は隔離された環境（サンドボックス）に限定し、実行前に検証の工程を挟むこと、実行できる操作の範囲をあらかじめ絞ることが対策になります。
ASI06：Memory & Context Poisoning（記憶とコンテキストの汚染）
エージェントは、過去のやり取りや外部データを「記憶・文脈」として参照し、次の判断に使います。公式の定義では、この文脈に悪意ある情報や誤情報を仕込まれると、その後の推論・計画・ツール利用が偏ったり、安全でなくなったり、情報の持ち出しに加担したりすると説明しています。
公式文書は、攻撃者が偽の航空券価格を繰り返し刷り込み、エージェントがそれを事実として記憶した結果、その価格での予約を承認し、支払いチェックを回避してしまう例などを挙げています。
対策としては、記憶へ書き込む前に内容を検証し（認証済み・精査済みのソースだけを許可）、書き込みの出所を記録して、不審な更新や頻度の異常を検知します。利用者やドメインごとに記憶を分離し、変更の監査証跡を残しておくことも、記憶の汚染に特に効きます。
ASI07：Insecure Inter-Agent Communication（安全でないエージェント間通信）
複数のエージェントが連携する構成では、エージェント同士がメッセージをやり取りします。公式の定義では、このやり取りに適切な認証・完全性・意味の検証が欠けていると、メッセージの傍受・なりすまし・改ざんを許してしまうと説明しています。
例として、暗号化されていない通信路に割り込んだ攻撃者（中間者）が隠れた指示を注入し、エージェントが正常に見えるまま偏った結果や悪意ある結果を出すシナリオが挙げられています。公式文書は、境界を守るだけの従来型のセキュリティでは効かない領域だと指摘しています。
対策としては、エージェント間の通信を端末間（エンドツーエンド）で暗号化し、エージェントごとの資格情報で相互に認証します。メッセージには電子署名を施して内容と意図を検証し、ノンスやタイムスタンプで使い回し（リプレイ）を防ぐことが、この通信の脆弱性に特に効きます。
ASI08：Cascading Failures（連鎖的な障害）
公式の定義では、1つの不具合（ハルシネーション、悪意ある入力、汚染されたツール、汚染された記憶など）が自律的なエージェント間で伝播し、積み重なってシステム全体の被害へと拡大するのが連鎖的な障害です。
公式文書は、金融取引での連鎖を例に挙げています。プロンプトインジェクションで市場分析エージェントが汚染されてリスク上限が引き上げられると、ポジション管理と約定のエージェントが自動でより大きな取引を行う一方、コンプライアンス側は「範囲内の活動」として見逃してしまいます。
エージェント間に境界（チェックポイント）を設けて不具合の伝播を止めること、異常を検知したら連鎖を遮断する仕組みを備えることが重要です。
ASI09：Human-Agent Trust Exploitation（人間とエージェントの信頼の悪用）
エージェントは、自然な言葉づかいや、人のように見える受け答えによって、利用者から強い信頼を得やすいとされています。公式の定義では、攻撃者や設計のずれがこの信頼を悪用し、利用者の判断を誘導したり、機微な情報を引き出したり、悪意ある結果へ導いたりする危険があると説明しています。
例として、汚染された請求書を経理担当のエージェントが取り込み、攻撃者の口座への緊急支払いを提案、担当者がそれを承認して会社が詐欺被害に遭うケースが紹介されています。
エージェントの出力を人がそのまま信頼しすぎない運用を徹底し、金銭や権限に関わる操作には独立した確認を挟むことが対策になります。
ASI10：Rogue Agents（暴走・不正エージェント）
公式の定義では、本来の機能や認められた範囲から逸脱し、有害・欺瞞的・寄生的に振る舞う、悪意ある、または侵害されたエージェントが暴走・不正エージェントです。複数エージェントの環境や、人とエージェントが混在する環境で問題になります。
例として、間接的なプロンプトインジェクションを受けたエージェントがその挙動を学習し、攻撃元が取り除かれた後も、独自に機微なファイルを走査して外部へ送り続ける（意図した範囲を超えて不正な挙動が持続する）例が示されています。
エージェントの挙動を継続的に監視し、逸脱を検知したら即座に停止・権限剥奪できる仕組み（緊急停止）を備えておくことが、最後の歯止めになります。
出典・参考資料（1件）
ASI01-10と他の枠組みとの関係
ASI01-10を理解したら、検索結果に混在する他の枠組みとの関係も押さえておくと、「結局どれを見ればよいのか」という迷いがなくなります。ここでは、詳細版である「脅威と緩和策」と、従来の「OWASP Top 10 for LLM Applications」との関係を整理します。
「脅威と緩和策（17脅威）」とASI01-10の対応
「Agentic AI – Threats and Mitigations」は、ASI01-10の土台となる詳細な脅威の一覧です。現行の公式文書はVersion 1.1（2025年12月）で、脅威はT1からT17までの17項目にまとめられています。
初版（Version 1.0・2025年2月）は15項目でしたが、現在の公式版は17項目（T16・T17が追加）に拡張されています。検索結果で「15脅威」と「17脅威」の表記が混在するのは、この版の違いによるものです。17の脅威は次のとおりです。
- T1 Memory Poisoning（記憶の汚染）／T2 Tool Misuse（ツールの悪用）／T3 Privilege Compromise（権限の侵害）／T4 Resource Overload（リソースの過負荷）
- T5 Cascading Hallucination Attacks（連鎖的なハルシネーション攻撃）／T6 Intent Breaking & Goal Manipulation（意図の破壊と目標操作）／T7 Misaligned & Deceptive Behaviors（ずれた・欺瞞的な挙動）／T8 Repudiation & Untraceability（否認と追跡不能）
- T9 Identity Spoofing & Impersonation（なりすましと偽装）／T10 Overwhelming Human in the Loop（人による確認の飽和）／T11 Unexpected RCE and Code Attacks（予期しないコード実行攻撃）／T12 Agent Communication Poisoning（エージェント通信の汚染）
- T13 Rogue Agents in Multi-Agent Systems（複数エージェント環境での不正エージェント）／T14 Human Attacks on Multi-Agent Systems（複数エージェント環境への人間による攻撃）／T15 Human Manipulation（人間の操作）／T16 Insecure Inter-Agent Protocol Abuse（安全でないエージェント間プロトコルの悪用）／T17 Supply Chain Compromise（サプライチェーンの侵害）
どの脅威がどのASIに対応するかは、OWASPが公式に対応表（Top 10 for Agentic Applications 2026のAppendix A）を提供しています。主な対応は次のとおりです。
| ASI01-10と脅威（T番号）・LLM Top 10の公式対応 | ASI01 目標ハイジャック | ASI02 ツールの悪用 | ASI03 IDと権限の乱用 | ASI04 サプライチェーン | ASI05 予期しないコード実行 | ASI06 記憶とコンテキストの汚染 | ASI07 安全でないエージェント間通信 | ASI08 連鎖的な障害 | ASI09 信頼の悪用 | ASI10 暴走・不正エージェント |
|---|---|---|---|---|---|---|---|---|---|---|
| 対応する脅威（T番号） | T6・T7 | T2・T4・T16 | T3 | T17・T2・T11・T12・T13・T16 | T11 | T1・T4・T6・T12 | T12・T16 | T5・T8 | T7・T8・T10 | T13・T14・T15 |
| 対応するLLM Top 10 | LLM01・LLM06 | LLM06 | LLM01・LLM02・LLM06 | LLM03 | LLM01・LLM05 | LLM01・LLM04・LLM08 | LLM02・LLM06 | LLM01・LLM04・LLM06 | LLM01・LLM05・LLM06・LLM09 | LLM02・LLM09 |
※OWASP Top 10 for Agentic Applications 2026「Appendix A」の公式対応表にもとづく（主な対応を抜粋）。
この対応表があるため、「どの脅威がどのリスクに当たるのか」は推測で補わなくても、公式文書だけでたどれます。ここでは主な対応を抜粋していますが、全量は公式のAppendix Aで確認できます。入口としてASI01-10を押さえ、個々の脅威を深掘りしたいときに脅威と緩和策（17脅威）へ進む、という使い方ができます。
出典・参考資料（2件）
OWASP LLM Top 10との違い
従来からある「OWASP Top 10 for LLM Applications」は、生成AI・LLM（大規模言語モデル）を使ったアプリケーション全般のリスクを扱う枠組みで、2025年版は次の10項目で構成されています。
- LLM01 Prompt Injection（プロンプトインジェクション）／LLM02 Sensitive Information Disclosure（機微情報の漏えい）／LLM03 Supply Chain（サプライチェーン）／LLM04 Data and Model Poisoning（データとモデルの汚染）／LLM05 Improper Output Handling（不適切な出力処理）
- LLM06 Excessive Agency（過剰な代理権）／LLM07 System Prompt Leakage（システムプロンプトの漏えい）／LLM08 Vector and Embedding Weaknesses（ベクトル・埋め込みの弱点）／LLM09 Misinformation（誤情報）／LLM10 Unbounded Consumption（無制限な消費）
両者の違いは、対象範囲にあります。LLM Top 10が生成AI・LLMアプリ全般を対象とするのに対し、Agentic Top 10（ASI01-10）は、エージェント特有の「自律性」「ツールの実行」「エージェント間の通信」という、行動するAIならではの新しい攻撃面に焦点を当てています。
公式文書も、Agentic Top 10の各項目がLLM Top 10の項目を参照・拡張する関係にあると説明しており、前掲の対応表でも各ASIに対応するLLM項目が示されています。生成AI・LLMアプリ全般の対策はLLM Top 10で、自律的に動くエージェント固有のリスクはASI01-10で押さえる、という役割分担で捉えると分かりやすくなります。
一括ダウンロードする
AIエージェント導入でまず取るべき対応
ここからは、自社でAIエージェントを導入・運用するにあたって、まず押さえておきたい対応を整理します。OWASPは個々のリスクごとに緩和策を示していますが、それらに共通する考え方として、公式文書は「最小エージェンシー（Least-Agency）」という原則を挙げています。
最小エージェンシー（必要以上の自律性を与えない）
最小エージェンシーとは、従来の「最小権限」の考え方をエージェントに広げたもので、必要のない自律性を与えないという原則です。公式文書は、必要のない場面でエージェント的な挙動を持たせると、価値を加えないまま攻撃面を広げてしまうと述べています。
We expand on the concepts of Least-Privilege and Excessive Agency by citing Least-Agency. This captures our advice to organizations to avoid unnecessary autonomy.
出典：OWASP Top 10 for Agentic Applications 2026「Letter from The Agentic Top 10 Leaders」｜OWASP Gen AI Security Project
まずは、エージェントに与える権限と自律性を業務に必要な範囲まで絞り込むことが、最初の一歩になります。
人による承認（影響の大きい操作に歯止めを置く）
金銭の移動や権限の変更など、影響の大きい操作には人の承認を挟む設計が有効です。OWASPの各リスクの緩和策でも、高影響の操作に人の承認を求めることが繰り返し示されています。
ただし、人による確認を形だけにすると、ASI09（信頼の悪用）やT10（人による確認の飽和）のように、承認そのものが攻撃の通り道になります。承認を求める操作を絞り込み、承認者が内容を実際に吟味できる状態を保つことが大切です。
ログと記憶の監査（何をしているかを可視化する）
公式文書は、エージェントが「何を・なぜ・どのツールを使って行っているか」を把握できる可視性（observability）は欠かせないものだと述べています。
どのツールを呼び出し、どんなデータを記憶に書き込んだかを記録・監査できるようにしておくことで、記憶の汚染（ASI06）や権限の乱用（ASI03）、通信の改ざん（ASI07）といった異常を早期に捉えられます。境界を守るだけの従来型のセキュリティでは、エージェント内部の挙動は見えにくいため、挙動そのものを可視化する発想が重要になります。
緊急停止（逸脱したら止められるようにする）
最後の歯止めとして、逸脱したエージェントを即座に停止し、権限を剥奪できる仕組み（緊急停止）を備えておきます。暴走・不正エージェント（ASI10）の緩和策として、公式文書もキルスイッチや認証情報の失効を挙げています。
これらの対策は、一度に完璧に揃える必要はありません。まずは権限と自律性を絞ること、重要な操作に承認を挟むこと、挙動を記録することから着手し、運用しながら可視化と緊急停止の仕組みを整えていく進め方が現実的です。
出典・参考資料（1件）
AIエージェント・生成AIのセキュリティ診断の選び方
ここまで見てきたリスクの多くは、プロンプトインジェクションや記憶の汚染、エージェント間通信の改ざんなど、エージェントの内部の挙動に関わり、外から動かして確かめるだけの診断では見つけにくいものです。
自社のAIエージェントや生成AI・LLMを使ったシステムに、こうしたリスクが潜んでいないかを確かめるには、AI・LLMに対応した専門のセキュリティ診断を活用する選択肢があります。
選ぶ際は、診断の対象がAIエージェントや生成AI・LLMまで広がっているか、OWASPのLLM Top 10やAgentic AIの観点を踏まえているか、専門家による手動の検査かツールによる継続的な診断かといった進め方が自社の状況に合っているか、といった観点で比較すると、自社に合うサービスを絞り込みやすくなります。
以下では、弱点を事前に洗い出す脆弱性診断と、すでに侵害が起きていないかを調べる事後調査の両方を取り上げます。目的に応じて選び分けてください。
| サービス名 | CoWorker 脆弱性診断サービス | CoWorker 端末侵害診断サービス | GMOサイバーセキュリティ byイエラエ | GMO Flatt Security 脆弱性診断 | SHIFT SECURITY ソースコード診断 |
|---|---|---|---|---|---|
| 診断対象 | ソースコード・Webアプリ・API （生成AI・LLM診断メニューも提供） | 端末（PC）のログ （AI利用環境・AIエージェントの 行動履歴も対象） | Web・スマホ・クラウド・ ネットワーク・IoT・AIなど | Webアプリ・API・クラウド・ LLM/生成AI・MCPなど | ソースコード（静的解析） |
| AI・OWASPの観点 | OWASP LLM Top 10に沿った 生成AI・LLM診断メニューあり | AI活用環境診断で AIエージェント・生成AIの利用を調査 | AIアプリ・AIエージェント診断に対応 （診断はOWASP Top 10・ASVSに対応） | LLM/生成AI・MCPの個別診断あり （OWASP Top 10・ASVSに対応） | 生成AI活用システムの診断に対応 （OWASP Top 10 for LLM Applicationsを活用） |
| 診断の進め方 | AI「Red Agent」の自動解析＋ 専門家による最終確認 | AI「Blue Agent」の自動解析＋ 専門家による確認（事後調査型） | 専門家（ホワイトハッカー）による 手動主体＋ツール型ASM | セキュリティエンジニアが診断 （AIエージェント「Takumi」も活用） | 静的解析を基本に専門家が確認 （診断員200名以上の体制） |
| 提供会社 | CoWorker株式会社 | CoWorker株式会社 | GMOサイバーセキュリティ byイエラエ株式会社 | GMO Flatt Security株式会社 | 株式会社SHIFT （旧SHIFT SECURITY） |
| 詳細情報 | 公式資料を見る | 公式資料を見る | サービス詳細を見る | サービス詳細を見る | サービス詳細を見る |
1. CoWorker 脆弱性診断サービス（CoWorker株式会社）
自社開発のAI「Red Agent」による自動解析と、社内のセキュリティ専門家による最終確認を組み合わせた脆弱性診断サービスです。ソースコードのAI診断、Web・APIの動的脆弱性診断、実際の攻撃を想定した実践攻撃シミュレーション診断をメニューとして提供しています。
生成AI・LLMを対象とした診断メニューも用意されており、OWASPのLLM Top 10に沿った観点での診断を掲げています。AIを使った自動解析で診断の範囲を広げつつ、専門家が結果を確認する体制のため、AIエージェントや生成AIを組み込んだシステムの弱点を洗い出したい企業に向いています。
AIの普及は、システムを守る側だけでなく、攻撃する側のあり方も変えつつあります。この変化について、同社の一ノ瀬氏は次のように話しています。
一方で、攻撃者側もAIを活用するようになり、新しく、しかもスピード感の早い攻撃が増えてきています。これまでは年に1回、あるいはサービスをリリースした直後にだけ脆弱性診断を行うという企業が多かったのですが、AIの発達によって攻撃側のスピードが上がっている以上、定期的に診断をしないと危険だという状況になってきました。
2. CoWorker 端末侵害診断サービス（CoWorker株式会社）
対象の端末からログを収集し、自社開発のAI「Blue Agent」と専門家が解析する、事後調査型の端末フォレンジック診断です。前述のCoWorker 脆弱性診断が「事前に弱点を洗い出す」のに対し、こちらは「すでに侵害や情報の持ち出しが起きていないか」を調べる位置づけです。
提供メニューには「AI活用環境診断」があります。ChatGPT・Claude・Copilotなどを利用する端末の調査、AIとの会話ログに含まれる機密情報の分析、AIエージェントの行動履歴からの情報漏えいの検出、MCPサーバーや外部ツール連携時の不審な通信の監視に対応するとしています。稼働中のAI利用環境で問題が起きていないかを確かめたい場合の選択肢になります。
3. GMOサイバーセキュリティ byイエラエ（GMOサイバーセキュリティ byイエラエ株式会社）
国内のホワイトハッカーを多数擁し、専門家による手動主体の脆弱性診断・ペネトレーションテストを中核とするサイバーセキュリティ専門企業です。Webアプリケーション診断やクラウド診断など幅広いメニューを揃え、診断はOWASP ASVS（アプリケーション検証基準）やOWASP Top 10などの国際基準に対応するとしています。
公式サイトでは「AIセキュリティ対策」として、AIアプリケーション診断やAIエージェントのペネトレーションテストが別メニューに掲げられています。専門家が攻撃者の視点でAIエージェントの弱点を検証してほしい場合に適しています。
4. GMO Flatt Security 脆弱性診断（GMO Flatt Security株式会社）
Webアプリケーションを中心に、セキュリティエンジニアが診断を行うサービスです。診断対象の個別メニューに、Webアプリ・APIやクラウドに加えて「LLM/生成AI」「MCP」が並んでいる点が特徴で、生成AIやエージェントのツール連携層まで診断の対象に含めています。
診断範囲には、OWASP Top 10やOWASP ASVSで扱われる典型的な脆弱性に加え、ビジネスロジックの脆弱性も含むとしています。標準の診断にソースコード診断が追加料金なしで付く点も公表されています。生成AI・LLMやMCPを使った自社システムを診断したい企業に向く選択肢です。
5. SHIFT SECURITY ソースコード診断（株式会社SHIFT）
ソースコードを対象とした診断を提供するサービスです。提供元のSHIFT SECURITYは2026年9月1日に株式会社SHIFTへ吸収合併されており、現在はSHIFTのセキュリティサービスとして提供されています。多数の診断員を擁する体制で、ソースコードのレベルから脆弱性を確認できる点が特徴です。
同社は、生成AIを活用して開発したシステムを対象とする「生成AI活用システム診断」も提供しており、OWASP Top 10 for LLM Applications を用いた診断を掲げています。コードの段階からAI活用システムの安全性を確かめたい場合の選択肢になります。
ここで取り上げたのはAI・LLMに対応する診断メニューを持つサービスですが、脆弱性診断サービスには対象・診断方法・費用の異なる選択肢が数多くあります。以下の記事では、脆弱性診断サービス全般の診断方法・費用相場・選び方を解説していますので、AI領域に限らず自社に合う診断の進め方から比較検討したい場合はこちらもご覧ください。
まとめ
OWASPのAgentic AI関連文書は、実務の入口となる「Top 10 for Agentic Applications 2026（ASI01-10）」、その土台となる詳細な「脅威と緩和策（17脅威）」、そしてスキル層に特化した別系統の「Agentic Skills Top 10」の3つに整理できます。
まず押さえるべきはASI01-10で、目標ハイジャックやツールの悪用、記憶の汚染、暴走エージェントなど、自律的に動くAIならではのリスクが10項目にまとまっています。
対策の軸になるのは、必要以上の自律性を与えない「最小エージェンシー」、影響の大きい操作への人の承認、挙動を可視化するログと監査、そして逸脱時の緊急停止です。
自社のAIエージェントや生成AI・LLMシステムにこうしたリスクが潜んでいないかは、AI・LLMに対応した外部のセキュリティ診断で確かめられます。診断対象の広さ、OWASPの観点への対応、進め方の相性を比べて、自社に合うサービスを検討してみてください。
一括ダウンロードする
よくある質問（FAQ）
Q. OWASP Agentic AIとは何ですか？
A. OWASP Agentic AIとは、自律的にツールを呼び出し、判断しながら行動するAIエージェント特有のセキュリティリスクをOWASPが整理した一連のガイドラインです。
中心となるのは最重要10リスクをまとめた「OWASP Top 10 for Agentic Applications 2026（ASI01-10）」で、その土台として詳細版の「Agentic AI – Threats and Mitigations（17脅威）」があります。
従来のWebアプリの脆弱性診断では捉えきれない、行動するAIならではの攻撃面を対象にしている点が特徴です。
Q. OWASP Agentic Top 10（ASI01-10）とThreats and Mitigationsはどう違うのですか？
A. 両者は、ASI01-10が最重要10リスクを実務向けにまとめた「入口」、Threats and Mitigationsが17の脅威を詳述した「土台」という役割分担になっています。まず全体像をつかむならASI01-10、個々の脅威を深掘りするなら脅威と緩和策へ進む、という使い分けが実態に合っています。
両者は公式の対応表（Top 10 for Agentic Applications 2026のAppendix A）でひも付けられており、どのASIがどの脅威に対応するかを推測せずにたどれます。
Q. OWASP LLM Top 10とAgentic Top 10（ASI01-10）の違いは何ですか？
A. 両者の違いは対象範囲にあり、LLM Top 10は生成AI・LLMアプリ全般のリスクを、Agentic Top 10（ASI01-10）はエージェント特有の「自律性・ツール実行・エージェント間通信」という行動するAIならではの攻撃面を扱います。
両者は競合するものではなく、生成AI・LLM全般の対策はLLM Top 10で、自律的に動くエージェント固有のリスクはASI01-10で押さえる、という補完関係で捉えると分かりやすくなります。
Q. OWASP Agentic Skills Top 10（AST10）はASI01-10とは別物ですか？
A. はい、AST10はASI01-10とは別系統の枠組みで、AIエージェントの「スキル（実行する機能）」層に特化した新興のプロジェクトです。ASI01-10がOWASP Gen AI Security Projectの発行であるのに対し、AST10はOWASP Foundationのインキュベーター段階のプロジェクトが公開しており、扱う対象が異なります。
検索結果には両者が混在しますが、AIエージェントのリスク全体をまず押さえるなら、軸にすべきはASI01-10です。
Q. AIエージェントを狙う「間接的プロンプトインジェクション」とはどのような攻撃ですか？
A. 間接的プロンプトインジェクションとは、メールや外部データなどエージェントが取り込むコンテンツにあらかじめ不正な指示を仕込み、利用者が操作しなくてもエージェントにそれを実行させる攻撃です。
本記事のASI01（目標ハイジャック）で触れた「EchoLeak」も、この間接的プロンプトインジェクションの実例で、利用者が何も操作しなくても被害が成立しうる点が従来のアプリ攻撃と大きく異なります。
Q. 既存のWebアプリ脆弱性診断やWAFだけで、AIエージェント特有のリスクに対応できますか？
A. それだけでは不十分な場合があります。ASI01-10のリスクの多くは、プロンプトインジェクションや記憶の汚染、エージェント間通信の改ざんなど、エージェント内部の挙動に関わります。外から動かして確かめる従来型の診断では、こうした内部の挙動を見つけにくいためです。
公式文書も、安全でないエージェント間通信（ASI07）などについて、境界を守るだけの従来型のセキュリティでは効かない領域があると指摘しています。
WebアプリやAPIの脆弱性診断・WAFは引き続き有効で、まず土台として必要です。そのうえで、AI・LLMの観点を踏まえた診断と、どのツールを呼び出し何を記憶に書き込んだかを追えるログ・監査を組み合わせます。これにより、内部の挙動に起因するリスクを補えます。
Q. 日本企業はOWASP Agentic AIの対策として何から着手すべきですか？
A. まずは、エージェントに与える権限と自律性を業務に必要な範囲まで絞る「最小エージェンシー」から着手するのが現実的です。そのうえで、金銭の移動や権限の変更など影響の大きい操作に人の承認を挟み、どのツールを呼び出し何を記憶に書き込んだかをログで可視化し、逸脱時に即座に止められる緊急停止を整えていきます。
これらは一度に完璧に揃える必要はなく、外形的な診断では捉えにくいリスクはAI・LLMに対応した外部のセキュリティ診断で補えます。
AIエージェント・生成AIのセキュリティ診断の資料を一括チェック
MCB FinTechカタログでは、AIエージェントや生成AI・LLMに対応したセキュリティ診断サービスの最新資料を無料で一括請求できます。診断の対象範囲やOWASPの観点への対応、進め方を比べて検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
