Antaresがエージェント権限をアプリケーションセキュリティの防衛線に変える

Ciscoによると、Antaresは500件のリポジトリを15分、$1未満で検査できる。一見すれば、アプリケーションセキュリティにとって文句なしの朗報だ。ほとんど費用をかけず、ほぼ常時、コードを点検できるからである。同時にこれは、コードのすぐそばに自動化された作業主体を置き、道具を与え、ある処理の結果を次の処理へ直結させる運用が採算に合うようになったことも意味する。

従来の検査製品は、役割を切り分ける前提で設計されていた。リポジトリを調べ、問題を報告したら、そこで役目を終える。警告が本物かどうかはセキュリティ担当者が判断し、コードをどう直すかは開発者が決め、その変更を本番環境へ反映できるかは配備システムが判定した。こうした手順は遅く、もどかしかったが、同時に明確な境界でもあった。分析機能には、自動的に実行権限が付いてこなかったのである。

CiscoのAntares-350MとAntares-1Bモデルは、この仕組みの最初の部分を大幅に圧縮する。コードベースに含まれる既知の脆弱性を見つけるために開発された小型の重み公開型モデルで、Antares-3Bも計画されている。

この速度と価格を実現していても、Antaresは自律的に攻撃手法を研究する仕組みではない。対象は既知の脆弱性であり、Ciscoの発表からは、あらゆる未知の欠陥を独力で発見したり、広範な攻撃を実行したりできるとは確認できない。それでも、最先端モデル並みの能力が届く前から、従来の役割分担は崩れ始める。安価な定型検査をほぼすべてのリポジトリで動かし、その結果を道具の実行を伴う作業工程へ直接渡せるからだ。

検出が安くなるほど、難しい判断は後工程へ移る

検査に費用がかかっていた時代、アプリケーションセキュリティ部門は分析対象を絞らざるを得なかった。どのリポジトリが重要か、どの公開版なら精査に値するか、どの警告を専門家に回すべきかを選別していた。いまや、より多くのリポジトリを高頻度で調べられる。検出件数が増えるにつれ、検出を中央集約型の専門業務として提供する価値は薄れるが、その後に何を実行させるかという権限は、なお厳しく絞る必要がある。

代わって問われるのは、各エージェントに何を許すかだ。ソースコードは読めても、秘密情報は取得できないエージェント。隔離環境で試験は実行できても、外部サービスは呼び出せないエージェント。課題票は作成できても、修正案は提出できないエージェント。修正担当なら作業用の枝は変更できても統合はできず、配備担当なら検証環境には到達できても本番環境には触れられない、といった区分が必要になる。これはモデルの性能ではなく、道具を呼び出すたび、処理段階が変わるたびに下す認可判断である。

人間向けの本人確認システムは、より単純な問いを前提に作られてきた。誰がシステムに入ったのか、という問いだ。エージェントを組み込んだ作業工程では、さらに難しい確認が連続する。どの非人間主体が、誰の代理として、どのリポジトリの状況を踏まえ、どの道具を通じ、どの信頼できない入力を受けた後に動いているのか。そして、その結果をどこまで残せるのか。最初のログイン確認だけですべてに答えることはできない。それは、建物の入口で社員証を確認しただけで、内部のすべての扉、操作盤、保守用設備への立ち入りまで許可できないのと同じだ。

だからこそ、CiscoによるAstrix Securityの買収合意という報道は、新たな検査性能の比較以上に重要である。Astrixは、AIエージェントに付与された権限を監視・制御する。合意を報じたのはCiscoではなく情報筋であり、すでに完了した戦略として扱うべきではない。それでも、この組み合わせは新たな統制点を明確にしている。コード解析が問題を見つけ、エージェントの識別情報と権限が、それを単なる観察結果にとどめるのか、修正に進めるのか、事故へ発展させるのかを左右する。

検査機能が作業主体となり、被害範囲も引き継いだ

各社はすでに、疑わしいコードへ印を付けるだけの段階を越えている。OpenAIはCodex Securityを、脆弱性を発見し、検証し、修正案を提示するエージェントと位置付ける。MicrosoftのMDASHは100を超えるエージェントを統括し、それまで知られていなかったWindowsの欠陥を16件特定した。こうした仕組みは、発見、検証、優先順位付け、修正を、推論・実行・結果確認のひと続きの循環にまとめる。

この循環は有用だ。問題の検出をきっかけに試験を走らせ、その結果で診断を絞り込み、診断から修正案を作り、修正後にもう一度試験できる。一方で、攻撃対象も広がる。どの処理にも道具が必要で、道具には認証情報か権限が要り、出力はすべて次の処理への入力になり得るからだ。

エージェントには、その時点の処理に必要な最小限の権限だけを与え、処理が終われば失効させるべきだ。点検から変更へ、変更から配備へ進む際には、新たな承認境界を越えなければならない。危険を伴う道具の呼び出しは、その都度、状況に即して認可する必要がある。作業を始めた人間の接続状態から権限をそのまま引き継がせてはならない。

これは、より大きな管理された実行への転換の一部である。モデルの能力を実務で役立てるには、どこで動けるのか、成果をどう確認するのか、どの操作を認めないのかを作業工程側で定めなければならない。アプリケーションセキュリティでは、こうした制約こそが製品の中核であり、周辺の管理機能ではない。

検査をどこでも動かせるほど安くなれば、企業向け製品の差は検出漏れの少なさではなく、追跡可能性で決まる。

開発環境への組み込みで、防衛線はリポジトリの内側へ移る

独立型の支援機能には、助言と実行の間に目に見える継ぎ目があった。その継ぎ目はいま消えつつある。AppleはXcode 26.3にClaude Agent、Codex、MCP対応を追加し、エージェントを開発者の作業環境へ組み込んだ。コード管理基盤、統合開発環境、コマンドライン用の道具、配備基盤には、リポジトリの内容、課題、構築結果、認証情報、接続先サービスなど、エージェントが役立つために必要な情報がそろっている。

有用な状況情報と危険なアクセス権は、権限境界の両側から見た同じ資産である。研究者は、GitHubの公式MCPサーバーに対する攻撃を実証した。悪意ある課題を使ってLLMエージェントを欺き、利用者の非公開情報を漏らさせるものだった。これとは別にCISAは、公開GitHubリポジトリ周辺の統制が弱かったため、委託先が非公開のクラウド用アクセスキーなどの認証情報を露出させたと指摘した。前者は、信頼できない内容をエージェントが指示として解釈したことから始まり、後者は認証情報がリポジトリの境界を越えたことから始まった。共通するのは、作業工程ではコード、識別情報、道具が結び付いているのに、管理は別々のままだったという弱点だ。

研究者はさらに、Cursor、Codex、Gemini CLI、Antigravityにおいて、信頼済みの道具が後から利用するファイルを書き込むことで、隔離環境からの脱出や境界の回避が可能になる問題を発見した。その大半は修正されており、封じ込め策を改善できることは示された。一方、修正内容は外側を囲う隔離環境が1つあるだけでは不十分だとも物語る。リポジトリへのアクセス、認証情報、生成ファイル、信頼済みの道具、ネットワーク通信、配備権限のすべてに防御が必要だ。

エージェント自身に悪意あるコードの配備権限がなくても、信頼済みの配備用ツールが後で読み込むファイルを書ければ、攻撃は成立する。秘密情報を直接読めなくても、別の道具を誘導して取得させればよい。攻撃者が狙うのは、こうした受け渡しの瞬間だ。信頼できない課題がモデルへの指示に変わる時、モデルの出力がファイルになる時、ファイルが命令として実行される時である。

重みの公開でモデル入手の壁は下がるが、配備時の防衛線は消えない

非公開モデルの提供企業は、利用者アカウントと配布経路を管理することで、高度なサイバー能力へのアクセスを制限できる。OpenAIはGPT-5.4-CyberをTrusted Access for Cyberプログラムの一部参加者だけに提供し、性能面の優位を保ちながら、利用に条件を設けた。この入口管理には、なお意味がある。重み公開型のサイバーセキュリティモデルは依然として最先端に届いていないからだ。

ただし、その差は縮んでいる。主要な重み公開型サイバーセキュリティモデルは、最先端の非公開モデルに4～7か月遅れていた。2025年の大半では6～10か月の遅れだった。残る差によって、利用を管理できる提供企業は最先端領域で優位に立てる。しかし、より広い範囲に普及した能力まで中央で統制できる状態に戻るわけではない。

小型モデルは、セキュリティ業務の採算を変えるために、最高性能の非公開モデルと肩を並べる必要はない。範囲を限定した作業を繰り返せるだけの能力、対象コードへのアクセス、各結果を次の試行へつなげる道具があれば足りる。コーディングエージェントがゼロデイ脆弱性発見の一部を自動化できるという報告は、その軍民両用性を示す。防御側が脆弱性を検証して修正するための反復処理は、攻撃者にとっても、より低い追加費用で探索、試験、改良を繰り返す手段になる。

重み公開型や小型のモデルが動く環境では、配布方針を配備環境での統制の代わりにはできない。公開モデルの保管場所そのものが、すでにエージェントを介した攻撃対象になりつつある。特定のモデル群へのアクセス制限よりも、リポジトリ権限、道具ごとの権限範囲、隔離環境、認証情報の有効期限の方が、長く機能する統制策となる。

Ciscoの勝機は、検出と実行の間にある

Ciscoにとっての戦略的な機会は、より優れた脆弱性検出製品を売ることだけではない。Antares型のコード解析を、エージェントの識別情報、ネットワーク制御、企業の規則と結び付けることにある。そうすれば企業は、エージェントが何を見つけたかだけでなく、何を読むことが許され、どの道具を呼び出し、どの変更を提案し、その変更がどこまで進んだかも確認できる。

Ciscoは開発者向けの領域にも軸足を移している。2024から2026にかけて、開発者を軸にした発信の比率は11.8ポイント上昇し、企業を軸にした発信は13.1ポイント低下した。またCiscoはChainguard、Cloudflare、JPMorgan Chaseなどとともに、AIで公開ソフトウェアを保護する連合Athenaの設立に加わった。ただし、いずれの取り組みも、検出結果と、それを受けて動くエージェントに対する強制可能な制限をまだ結び付けてはいない。

各要素を切り離したままでは済まない理由は、Cisco自身の事例からも分かる。情報筋によると、攻撃者はTrivyのサプライチェーン攻撃で得た認証情報を使ってCiscoの社内開発環境へ侵入し、Ciscoのソースコードを盗んだ。コード解析を高度化するだけでは、盗まれた認証情報、侵害された開発環境、後工程の道具が引き継いだ信頼関係には対処できない。この侵害によって、連鎖の実態が明確になった。リポジトリ、認証情報、開発システム、そしてアクセス権が伝播する経路である。

Ciscoが実現した500件のリポジトリを$1未満で検査する能力は、従来のアプリケーションセキュリティ管理画面を、途中の検問所からコードのそばで働く作業主体へ変える。検査機能の手が道具に届くようになれば、ログイン時に1度だけ設けた関門は防衛線にならない。道具を呼び出すたびに、権限を照合しなければならない。