守る対象の三つの層: システム・モデル・エージェント

AI を組み込んだ製品で守る対象は、従来の情報システム（システムの層）、LLM とそのデータ（モデルの層）、モデルがツールを呼び出して行動する部分（エージェントの層）の三つの層に分けて考えます。三層の分け方は本書の整理で、各層の根拠として OWASP Top 10 for LLM Applications 2026、MITRE ATLAS、OWASP の Agentic AI – Threats and Mitigations を参照します。この節は守る側の担当者に向け、検査は所有者の許可を得た対象にだけ行う前提で書きます。攻撃を再現する手順や文例は扱いません。

三つの層の定義と守る対象見出しのリンクをコピー

システムの層見出しのリンクをコピー

従来の情報システムの弱点です。AI を組み込んでも、入力の扱い、認証と認可、設定、依存するソフトウェアの弱点は無くならず、むしろモデルの出力が HTML や SQL、シェルに渡る経路が増えます。この層は脆弱性診断とペネトレーションテストの対象で、第 3 章以降で扱います。

モデルの層見出しのリンクをコピー

LLM が部品として組み込まれている間のリスクです。モデルは「運用者の指示」と「処理対象のデータ」を構造的に区別しないため、モデルが読む内容（利用者の入力、Web ページ、文書、ツールの戻り値、画像や音声、検索コーパス、永続メモリ）がそのまま入口になります（OWASP LLM01:2026）。学習データや重み、重み以外の同梱物の出所も、この層の守る対象です。MITRE ATLAS は、この層を狙う攻撃者の戦術と技法を公開の知識基盤として整理しています。

エージェントの層見出しのリンクをコピー

モデルの出力を起点にツールが呼び出され、外部のシステムに作用する部分です。OWASP の LLM Top 10 は「モデルが部品である間は本リストが担い、行為者になった時点でエージェント向けの Top 10 が担う」と境界を引いており、本書もこの線で層を分けます。守る対象は、ツールと権限の一覧、承認の仕組み、メモリ、他のエージェントとの受け渡しです。被害の上限は、この層で与えた権限と自律性で決まります。

層が増えることで変わる検査と設計見出しのリンクをコピー

診断は「ある時点のシステム」を外から検査する取り組みで、主にシステムの層を対象にし、検査した範囲と時点の外は分かりません。モデルの層とエージェントの層の入口は従来の Web 診断の項目に含まれないため、設計の段階で「何を読むか、何ができるか、出力はどこへ行くか、どこで止められるか」を確かめます（2.1）。開発工程への組み込みは、三つの層の弱点を作り込む前に止める取り組みで、診断の回数と検出数を減らします。三つの層と、診断・設計・工程の三つの取り組みは、置き換えではなく重ねるものです。

守る対象の一覧の作り方見出しのリンクをコピー

最初にするのは守る対象の一覧を作ることです。一覧がないと、診断の範囲も、AI 製品の設計の確認も、どこから始めるかを決められません。

1. システム、サービス、API、AI を組み込んだ機能を一覧にし、それぞれが扱うデータ（個人情報、決済、業務の機密）を書きます。
2. 各項目がどの層を持つかを書きます。モデルを呼ぶ機能はモデルの層を、ツールを呼び出す機能はエージェントの層を持ちます。
3. 外部に公開しているもの、個人情報や決済を扱うもの、モデルが外部の内容を読むもの、モデルの出力で操作が実行されるものに印を付けます。
4. 印の付いた対象から、立場に応じて次の順に進めます。

よくある詰まりと避け方見出しのリンクをコピー

• AI を組み込んだ製品を、従来の Web 診断だけで済ませる。モデルが読むものと実行できることの一覧を別に作り、設計の段階で確かめます。
• モデルの層とエージェントの層を分けずに扱う。応答を返すだけの機能と、ツールを呼び出す機能では被害の上限が違うため、一覧で区別します。
• 診断を 1 回受けて終わりにする。大きな変更やリリースのたびに対象と範囲を見直し、再診断の条件を先に決めます。
• 許可の文書なしに検査を始める。所有者の承認、期間、連絡先、停止手順を 1 枚にまとめてから進めます（3.3）。