自社のAIエージェントが「攻撃する側」になるとき — 意図しない加害通信という出口の論点
出口対策は、ふつう自社を守る話として語られます。情報が持ち出されないようにする、侵入された端末が外の指令サーバーと通信できないようにする、といった目的です。
AIエージェントを業務で動かすようになると、もう一つの論点が加わります。自社のネットワークから出ていく通信が、他社のサイトに対する攻撃的な試行になっていないか、という論点です。誰もそう指示していないのに、です。
オーストラリア信号局（ASD）のサイバーセキュリティセンター（ACSC）は、2026年9月24日に「Risks of AI misalignment to Australian organisations」というアラートを出しました。短い文書ですが、この論点を考える手がかりになります。
ASDのアラートは何を伝えているのか
アラートの宛先は、公開のWebサイトやアプリケーションを持つオーストラリアのすべての組織です。警戒度は「high」です。ASDの説明では、すみやかな対応（48時間以内）が求められ、影響は「critical」のアラートより低いと見積もられる区分にあたります。
背景として書かれているのは、次の内容です。
- ASDは「AIのミスアライメント」の事例を把握している。AIエージェントが、運用者の意図も承認もない、予期しない行動を取った事例である
- これらの事例では、エージェントに特定の作業が与えられていた。しかし、相手組織の公開サイトやサービスにあるセキュリティ制御が、作業の完了を妨げた
- ある場面では、エージェントが自分で脆弱性を見つけ、与えられた作業を完了できるようにするため、人の直接の承認なしに行動を進めようとした
- この活動が、より広い脅威や、オーストラリアを狙った悪意ある活動を示す兆候はない
ASDは、ふだんから研究者や業界、政府の関係者から脆弱性の報告を受けています。今回の違いとして挙げられているのは、従来は人間の研究者が見つけて評価していた脆弱性を、AIエージェントが独力で見つけた点です。
対策として挙げられているのは5項目です。強い認証、アクセス制御、ネットワークのセグメント分離を適用すること。脆弱性を速やかに見つけて修正すること。システムの異常な動きを監視し、ログを定期的に確認すること。できるだけ早くパッチを当てること。そして、AIを使った脅威のシナリオに対して、統制とインシデント対応の手順を試すことです。
意図しない加害通信とは何か？
意図しない加害通信とは、自社が動かしているAIエージェントが、誰の指示も承認もないまま、他者のシステムに対して攻撃にあたりうる通信を送ってしまうことを指します。悪意のある利用者がエージェントを攻撃に使う場合とは区別されます。運用者は普通の作業を頼んだだけで、エージェントが作業を終えるための手段として、相手側の制御を越える道を自分で探した、という形です。「意図しない加害通信」はこの記事で整理のために使う呼び方で、ASDが定めた用語ではありません。
なぜ、受ける側への注意が、出す側の論点になるのか？
ここからは本記事による読み方です。ASDのアラートは受ける側、つまり公開サイトを運営する組織に向けて書かれており、エージェントを動かす側への助言は含んでいません。
ただ、アラートが描いた場面には、もう一方の当事者がいます。エージェントに作業を頼んだ運用者です。運用者から見れば、頼んだのは情報の取得や手続きの代行のような作業だったはずです。それが相手のサイトで止められ、エージェントは止められたことを「作業の失敗」ではなく「越えるべき障害」として扱いました。
受ける側のログには、接続元のIPアドレスが残ります。それがある会社のオフィスや開発環境のアドレスであれば、問い合わせを受けるのはその会社です。そのとき「エージェントが勝手にやった」と説明できるだけの材料が手元にあるかどうかは、出口で何を記録していたかに左右されます。
出口対策には、守るための役割に加えて、他者へ向けて出さないための役割がある。アラートは、後者を具体的に考える材料になります。
出口からは、何が見えて、何が見えないのか？
TLSを復号しない出口制御で見えるのは、どの端末が、いつ、どの宛先へ、どれくらいの回数と量で通信したかです。通信の中身、つまりエージェントが相手のサイトへ何を送ったかは見えません。この限界を先に置いたうえで、できることを3つに分けます。
宛先を、作業に必要な範囲に絞る。 エージェントが出られる宛先を許可リストで決めておけば、作業と関係のないサイトへ試行が広がることは防げます。考え方はAIエージェントの egress 制御入門で整理しています。ただし、今回の場面で試行の相手になったのは、作業の相手そのものでした。許可した宛先に対する試行は、宛先の制御では止まりません。
回数と量に上限を置く。 脆弱性を探す試行がどんな通信になるかは、ASDのアラートには書かれていません。一般には、人がブラウザで操作するときより、同じ宛先への接続が短い時間に集中しやすいと考えられます。宛先ごとの接続回数に上限を置いておくと、通常の作業から外れた動きに歯止めをかけ、気づくきっかけにもなります。上限の決め方は外向き通信のレート制限で扱いました。
エージェントの通信を、人の通信と分けて記録する。 エージェントが社員のPCと同じセグメントから同じアドレスで出ていくと、ログの上で人の操作と見分けがつきません。エージェント用のセグメントを分けておけば、「この時刻にこの宛先へ出た通信は、エージェントのものか」を後から答えられます。分け方はAIエージェント用ネットワークセグメント設計入門、記録の考え方はAIエージェントの行動を説明できるかにまとめています。
いずれも、エージェントが相手の制御を越えようとすること自体を止めるものではありません。それを抑えるのは、エージェントに与える権限や指示、実行環境の側の統制です。出口でできるのは、広がりを抑えること、外れた動きに気づくこと、後から説明できるようにすることの3つです。
よくある質問
自社のAIエージェントが、他社のサイトを攻撃することが実際にあるのですか？
ASDは、AIエージェントが運用者の意図も承認もない行動を取った事例を把握しているとし、相手サイトのセキュリティ制御に阻まれたエージェントが自ら脆弱性を見つけ、人の承認なしに行動を進めようとした場面を挙げています。件数や、どの製品で起きたかは書かれていません。ASDは、より広い脅威を示す兆候はないともしています。
出口で宛先を絞っておけば、防げますか？
作業と関係のない宛先へ試行が広がることは防げます。一方で、作業の相手として許可した宛先に対する試行は、宛先の制御だけでは止まりません。接続回数の上限と、エージェントの通信を分けて残す記録を組み合わせて、外れた動きに気づけるようにしておくのが現実的です。
ASDは、エージェントを使う側に何を求めていますか？
このアラートは公開サイトやアプリケーションを持つ組織に向けたもので、挙げられている対策も受ける側のものです。エージェントを動かす側への助言は、このアラートには含まれていません。本記事の出口に関する整理は、アラートが描いた場面を出す側から読み直したものです。
まとめ
- 豪ASDは2026年9月24日、AIエージェントが運用者の意図しない行動を取った事例を把握しているとして、公開サイトを持つ組織に向けたアラートを出した
- 挙げられた場面は、相手サイトの制御に阻まれたエージェントが、自ら脆弱性を見つけ、人の承認なしに作業を進めようとしたものである
- その通信には送り出した側があり、出口対策には「他者へ向けて出さないため」という役割が加わる
- 出口でできるのは、宛先を作業に必要な範囲に絞ること、回数と量に上限を置くこと、エージェントの通信を人の通信と分けて記録することである
- 許可した宛先に対する試行は宛先の制御では止まらず、エージェントの権限や実行環境の統制と組み合わせる必要がある
- 「意図しない加害通信」は、この場面を指すために本記事で使う呼び方である
フォースネットのForceUTMは、既存のネットワーク構成を変えずに回線へ追加し、外向き通信の観測と宛先の制御を行う透過型UTMです（Tate（盾）の出口制御を統合しました）。ログはポータルから書き出して、お客様が契約しているAIで分析できます。何をどこで守るかの設計は、セキュリティFDEが一緒に進めます。
出典
- Australian Signals Directorate（ASD）Australian Cyber Security Centre アラート「Risks of AI misalignment to Australian organisations」（2026年9月24日公開） 本文