脆弱性

1. Microsoftの研究者たちが、AutoJackと呼ばれる脆弱性チェーンを詳細に説明し、AIのブラウジングエージェントをリモートコード実行のための配信手段に変える手法を明らかにした。
2. 脆弱性は、Microsoft ResearchのAutoGenマルチエージェントフレームワークのオープンソースプロトタイピングインターフェースであるAutoGen Studioに存在し、特定の構成によって影響がある。
3. 攻撃者は、エージェントにウェブページを開かせるだけで、そのページのJavaScriptが同じマシン上の特権のあるローカルサービスに到達し、ホスト上でプロセスを起動できる。
4. また、脆弱性はGitHubでの修正コードには反映されているが、PyPIリリースにはまだ取り込まれていない。
5. 具体的には、同じマシンでAutoGen Studioとブラウジングやコード実行エージェントが共有する場合に注意が必要で、それらを別々のコンテナやVMで分離するなどの対策を取ることが推奨されている。

被害状況

攻撃者

被害状況

攻撃者

脆弱性

脆弱性

1. 平均企業セキュリティチームは40個以上のセキュリティツールを持っているが、これらのツールはしばしば分離して動作し、（重複する）アラートとデータを生成する。
2. 現代のセキュリティスタックは、特化されたツールのコレクションであり、情報が生成されるが、それらはいずれもループを閉じることができない。
3. 助けるAIは問い合わせを待つが、聞かれたときに要約し、翻訳し、取得する。対して、代理AIは行動し、自律的に優先順位を設定し、複数段階のワークフローをシステム全体で実行する。
4. CTEMの具体的な機能を運用化すると、3つの機能は別々のワークフローではなくなり、AIエージェントが情報と意思決定を自律的に移動させることで、CTEMプログラムはフレームワークではなく運用上の現実となる。
5. 代理AIを活用した脅威管理アーキテクチャは、CTEMフレームワークが戦略文書にあるだけでなく、バックグラウンドで連続的に実行されることに違いが生まれる。

被害状況

攻撃者

脆弱性

1. エンタープライズAIの第1波の懸念は、従業員が機密データを公開AIツールに貼り付ける問題だった。セキュリティチームは利用ポリシーやドメインブロック、データ損失防止ルールで対応した。
2. シャドウAIはデータ漏洩の問題からアクセス制御の問題に移行している。従業員がAIツールに入力する内容ではなく、組織内で実行されているAIエージェントや接続されているエンタープライズシステム、承認されたアクションに焦点が移っている。
3. 従来のセキュリティ対策は、人間のアイデンティティや決定論的なワークロードを想定しているが、AIエージェントはその想定を覆している。AIエージェントに対する自動化された対策が重要。
4. シャドウAIの実在のインベントリを把握するには、AIプラットフォーム、組み込み自動化機能のあるSaaSアプリ、クラウドアカウント、デベロッパーツール、エンドポイント、アイデンティティプロバイダーなどエージェントが存在している環境を見る必要がある。
5. 組織がリアルタイムにエージェントを発見し、所有権を把握し、アクセス権を適用し、作成から廃止までのライフサイクル管理を行うことが重要。