W
Work Horizon編集部
2026/4/26 公開
AIセキュリティエンジニアは、生成AI・LLM・MLシステムを敵対的攻撃・データ漏洩・モデル悪用・プロンプトインジェクション等から守る専門職。生成AI（GPT・Claude・Gemini等）や社内Agentic AI基盤の企業導入が急速に進むなか、AIシステムそのものの脆弱性・AI時代のサイバーセキュリティを担うエンジニアは2024年以降、世界的な需要爆発カテゴリとなっています。
本記事では、AIセキュリティエンジニアの仕事内容・従来のセキュリティエンジニアとの違い・必要スキル・年収水準・キャリアパス・有用な資格・OWASP Top 10 for LLM／MITRE ATLASなどの主要フレームワーク・Red Team活動・学習ロードマップ・よくある失敗までを体系整理。公開情報・国際標準化団体の資料に基づく一般的なフレームワークとして、これからAIセキュリティ分野に参入したいエンジニアが進路を描けるよう解説します。
AIセキュリティエンジニアとは
基本定義
AIセキュリティエンジニア（AI Security Engineer）は、AI・機械学習・LLMシステムに関わるセキュリティリスクの特定・防御・監視・インシデント対応を担当する専門職。従来のアプリケーションセキュリティ／インフラセキュリティの知識に加えて、AI／ML特有の攻撃・防御・ガバナンスに精通しています。
従来のセキュリティエンジニアとの違い
- 従来のセキュリティエンジニア：ネットワーク・インフラ・アプリケーション・データの保護が中心
- AIセキュリティエンジニア：上記に加えてMLモデル・学習データ・プロンプト・エージェントの保護、AI特有の攻撃対応
- AIシステム固有の敵対的攻撃・モデル抽出・プロンプトインジェクション・訓練データ汚染等への対応が特徴
AIセキュリティエンジニアが必要とされる背景
- 生成AI・LLMの企業導入が加速し、AI固有の脆弱性が顕在化
- Agentic AI・RAG・MLOpsの本番運用が進み、攻撃面が拡大
- OWASP Top 10 for LLM・MITRE ATLAS等の業界標準が整備
- EU AI Act等の規制強化でAIガバナンス要件が増加
- AIインシデント（プロンプトリーク・モデル乗っ取り・学習データ流出）の事例増加
- CISO・法務・プライバシーチームと連携できる人材の不足
AIセキュリティエンジニアの仕事内容
主な業務領域
- 脅威モデリング：AIシステム（データ収集→学習→デプロイ→推論→フィードバック）全体の脅威分析
- モデル防御：敵対的攻撃・モデル抽出・メンバーシップ推定攻撃への対策
- LLMセキュリティ：プロンプトインジェクション・ジェイルブレイク・出力漏洩への対応
- データセキュリティ：訓練データ・ファインチューニングデータのPII保護・匿名化・ポイズニング防止
- サプライチェーンセキュリティ：OSSモデル（Hugging Face）・外部API・依存ライブラリの監査
- Agentic AIセキュリティ：エージェントの権限管理・ツール使用制限・監査ログ
- Red Team活動：模擬攻撃によるAIシステムの脆弱性発見
- インシデント対応：AIリスクイベント発生時の調査・封じ込め・復旧
- ガバナンス・コンプライアンス：EU AI Act・NIST AI RMF・ISO/IEC 42001準拠
- 教育・トレーニング：開発者・データサイエンティストへのセキュア開発教育
1日の業務イメージ
- 午前：LLMアプリのプロンプト監視ダッシュボードレビュー、異常パターン分析
- 日中：新規プロジェクトの脅威モデリング会議、データサイエンスチームとの協働
- 午後：Red Teamの模擬攻撃結果をレビュー、対策優先順位付け
- 夕方：セキュリティポリシー・ガバナンス文書の更新、法務との連携
AIセキュリティ特有の脅威と対策
OWASP Top 10 for LLM Applications（代表的な脅威）
OWASPが発行するLLMアプリケーションの重要な脅威フレームワーク：
- LLM01: Prompt Injection：悪意あるプロンプトでLLMを誘導
- LLM02: Insecure Output Handling：LLM出力を適切にサニタイズしない
- LLM03: Training Data Poisoning：訓練データへの悪意ある混入
- LLM04: Model Denial of Service：計算資源を枯渇させる攻撃
- LLM05: Supply Chain Vulnerabilities：サードパーティモデル・プラグイン経由の攻撃
- LLM06: Sensitive Information Disclosure：LLMからのPII・機密情報流出
- LLM07: Insecure Plugin Design：プラグイン・ツール使用の設計不備
- LLM08: Excessive Agency：エージェントへの過剰な権限付与
- LLM09: Overreliance：LLM出力への過度な依存
- LLM10: Model Theft：モデルの盗難・模倣
MITRE ATLAS（Adversarial Threat Landscape for AI Systems）
MITREが提供するAI／MLシステムへの敵対的攻撃のナレッジベース。ATT&CKフレームワークのAI版として、攻撃戦術・手法・緩和策が体系的に整理されています。
AI／MLモデル特有の攻撃
- 敵対的サンプル（Adversarial Examples）：微小な摂動で誤分類を誘発
- モデル抽出攻撃（Model Extraction）：APIクエリから元モデルを再現
- メンバーシップ推定攻撃：訓練データに含まれたかを推定
- モデル反転攻撃：モデルから訓練データを再構築
- バックドア攻撃：訓練時に仕掛けるトリガー
- データ汚染攻撃：訓練データの意図的な改ざん
LLM・生成AI特有の攻撃
- プロンプトインジェクション：直接的・間接的な悪意ある指示
- ジェイルブレイク：安全装置の回避（DAN等）
- プロンプトリーク：システムプロンプトの流出
- 情報抽出：訓練データ・PII・機密情報の引き出し
- 出力操作：意図しないコンテンツ・コード生成の誘発
必要なスキル
ベースとなる技術スキル
- セキュリティ基礎：ネットワーク・OS・暗号・認証認可・脆弱性評価
- アプリケーションセキュリティ：OWASP Top 10、SAST／DAST、セキュアコーディング
- クラウドセキュリティ：AWS・GCP・Azureのセキュリティベストプラクティス
- コンテナ・K8sセキュリティ：CIS Benchmark、ランタイム防御、詳細はKubernetes資格完全ガイドのCKS領域参照
- プログラミング：Python（主に）、TypeScript、Go
AI／ML特化スキル
- 機械学習の基礎：教師あり／教師なし学習、Deep Learning、NLP
- 主要ML/DLフレームワーク：PyTorch、TensorFlow、Hugging Face Transformers
- LLMの仕組み：Transformer、トークナイザー、推論、RAG、ファインチューニング
- Foundation Modelの基礎：Foundation Model完全ガイド参照
- RAG・Agentic AI：RAG完全ガイド・Agentic AI完全ガイド参照
- MLOps／LLMOps：モデル管理・デプロイ・監視
- プロンプトエンジニアリング：攻撃者視点でのプロンプト設計
AIセキュリティ特化スキル
- OWASP Top 10 for LLMの深い理解
- MITRE ATLASの戦術・手法・緩和策
- 敵対的機械学習（Adversarial ML）の基礎
- Red Team手法：LLM／エージェントへの攻撃シミュレーション
- AIガバナンス・規制：EU AI Act、NIST AI RMF、ISO/IEC 42001
- プライバシー保護技術：差分プライバシー、連合学習、準同型暗号
- 脅威モデリング：STRIDE、PASTAのAI特化版
ソフトスキル
- データサイエンス／ML／法務／プライバシーチームとの協働
- 経営層・非技術者への説明能力
- 継続的な学習（AI／セキュリティは変化が非常に速い）
- 英語（海外のセキュリティ情報・コミュニティが中心）
- 倫理・社会影響への配慮
AIセキュリティエンジニアの年収水準
年収の傾向
- 従来のセキュリティエンジニアの年収水準より明確にプレミアムが付く傾向
- AI／ML知識とセキュリティ知識の組み合わせ希少性が評価
- 同一キャリアステージでも、AI特化の役割はセキュリティ一般より高水準レンジが期待できる
- Red Team／LLM特化・ML Security Architect等の専門性が高い職種はさらに上乗せ
職種・職位別のおおよその相場感
- ジュニアAIセキュリティエンジニア：セキュリティ一般のジュニアより一段上
- ミドルAIセキュリティエンジニア：生成AI・LLMのセキュアデプロイ経験
- シニアAIセキュリティエンジニア：Red Team活動・脅威モデリング・ガバナンス
- AI Security Architect / Lead：企業横断のAIセキュリティ戦略
- AI Security Director / VP：組織全体のAIセキュリティ責任者
- LLM Red Team Specialist：特化スキルでハイレンジ
※年収は国・業界・企業規模・経験で大きく変わります。具体的な数値はLevels.fyi・Glassdoor・ZipRecruiter・Forkwell・Levels.jp等の最新公開データで必ず確認してください。外資系テック・金融・防衛・ヘルスケア等のハイリスク産業は特に高水準の傾向です。
海外との比較
- 米国のAIセキュリティエンジニアは世界的に高水準、シリコンバレー・ニューヨーク・シアトル等が中心
- 英国・ドイツ・フランス・カナダ・オーストラリアも活発な採用、詳細は英国IT移住・ドイツIT移住・フランスIT移住・カナダIT移住も参照
- 為替・税制・生活費・社会保障の違いで実質収入は変わる
キャリアパスの代表例
パス1：従来のセキュリティエンジニアからの転身
- Webアプリ・インフラ・クラウドセキュリティで数年の経験
- AI／MLの基礎・OWASP LLM Top 10・MITRE ATLASを学習
- 社内のAI導入プロジェクトでセキュリティレビュー担当
- 徐々にAIセキュリティ専門へシフト
パス2：AI／MLエンジニアからの転身
- ML／LLM開発・MLOps経験
- セキュリティ基礎・OWASP・脅威モデリングを学習
- AIモデルの脆弱性診断・Red Team活動に参画
- AIセキュリティ専門へシフト
パス3：新卒・若手からAIセキュリティ直行
- 大学・大学院でサイバーセキュリティまたはAI／ML専攻
- CTF・Bug Bounty・研究活動
- AI特化の修士・博士課程や業界コース受講
- 新卒でAIセキュリティ特化の部署に採用
パス4：コンサル・Big 4からの転身
- アクセンチュア・Deloitte・PwC・KPMG等のサイバーセキュリティ部門
- 規制・コンプライアンス（EU AI Act等）に精通
- クライアント企業のAIガバナンス構築支援
パス5：Red Team／Bug Bounty専業
- LLM Red Teamスペシャリスト（OpenAI、Anthropic、Google等の専任ポジション）
- HackerOne・Bugcrowd等のプラットフォームでAI特化のBug Bounty
- 独立コンサル・フリーランスの道
AIセキュリティの有用な資格
AI／ML特化資格
- Certified AI Security Professional（CAISP）：Practical DevSecOps等が提供
- AI Security Engineer Certification：各種ベンダー・トレーニング機関
- AWS Certified Machine Learning：AWS機械学習基盤のセキュリティも含む、AWS機械学習認定資格完全ガイド参照
一般セキュリティ資格（基盤として重要）
- CISSP（Certified Information Systems Security Professional）：セキュリティ全般の王道
- CEH（Certified Ethical Hacker）：攻撃者視点
- OSCP（Offensive Security Certified Professional）：実技ペネトレーションテスト
- CISM / CRISC：セキュリティマネジメント
- 情報処理安全確保支援士（SC）：国内の公的資格
- CCSP（Certified Cloud Security Professional）：クラウドセキュリティ
クラウド／プラットフォーム系
- AWS Certified Security - Specialty
- Google Cloud Professional Cloud Security Engineer
- Microsoft Azure Security Engineer Associate
- CKS（Certified Kubernetes Security Specialist）：Kubernetes時代の必須、詳細はKubernetes資格完全ガイド
学習ロードマップ
ステップ1：セキュリティとAIの基礎を固める
- OWASP Top 10（Web／LLM版）の完全理解
- MITRE ATT&CK・ATLASの基本
- Python・ML基礎・LLMの仕組み
- クラウドセキュリティの基本（AWS／GCP／Azure）
ステップ2：手を動かす
- LLM攻撃の練習（Gandalf、HackAPrompt、PromptBench等）
- Hugging Faceのオープンモデルで脆弱性テスト
- Trivy・Snyk・Semgrep等のセキュリティツール
- OSS AIセキュリティツール（Garak、Giskard、AI Exploits）の活用
ステップ3：脅威モデリングを体得
- AIシステム（データ→学習→デプロイ→推論）の脅威モデル作成
- STRIDE・PASTAのAI特化版
- LLMアプリケーションの実装例で実践
ステップ4：Red Team活動
- Bug Bounty（HackerOne・Bugcrowd）のAI特化プログラム
- 社内のAI製品・プロトタイプへの模擬攻撃
- Responsible Disclosureの倫理観
ステップ5：規制・ガバナンスを学ぶ
- EU AI Actの主要要件
- NIST AI Risk Management Framework（AI RMF 1.0）
- ISO/IEC 42001（AI Management System Standard）
- GDPR・個人情報保護法・医療／金融業界規制
ステップ6：コミュニティ・発信
- DEF CON・Black Hat・RSA・KubeCon等のセッション聴講
- OWASPチャプター・AI Alliance・Cloud Security Alliance等のコミュニティ参加
- ブログ・登壇・OSS貢献で発信
AIセキュリティの主要フレームワーク・規制
OWASP Top 10 for LLM Applications
LLMアプリケーションの重要な脅威と緩和策を体系化したOWASPの公式ドキュメント。AIセキュリティの最重要リファレンスの一つ。
MITRE ATLAS
AI／MLシステムへの敵対的攻撃戦術・手法・緩和策を体系化。ATT&CKフレームワークの拡張で、実攻撃事例も掲載。
NIST AI Risk Management Framework（AI RMF）
米国NISTが発行するAIリスク管理の公式フレームワーク。Govern・Map・Measure・Manageの4機能で構成。
EU AI Act
欧州連合のAI規制法。リスクベースでAIシステムを分類し、高リスク用途には厳格な要件を課す。世界のAI規制のモデルケース。
ISO/IEC 42001
AI Management System Standard（AIマネジメントシステム規格）。組織のAIガバナンス認証の国際標準。
その他の重要リファレンス
- CISA（米国サイバーセキュリティ庁）のAIセキュリティガイダンス
- Cloud Security Alliance のAI Safety Initiative
- OpenAI・Anthropic・Google等の各社の責任あるAIフレームワーク
- 日本のAI事業者ガイドライン・経産省・総務省のAIガバナンス指針
日本のAIセキュリティ市場
日本での需要動向
- 大手企業の生成AI導入本格化に伴うAIセキュリティ専門職の新規採用
- 金融・製造・医療・公共セクターで特に需要が高まる
- コンサルファーム・SIerでのAIセキュリティ・ガバナンス案件増加
- スタートアップ（AI特化SaaS）でのセキュリティリードポジション
日本のAIセキュリティ関連ガイドライン
- 経済産業省・総務省の「AI事業者ガイドライン」
- 個人情報保護委員会のAI関連指針
- 内閣府・デジタル庁のAI戦略・AIリスクガバナンス
- NISC（内閣サイバーセキュリティセンター）の関連ドキュメント
海外キャリアとの比較
- 米国・欧州のAIセキュリティ専門職は給与水準が国内より高水準の傾向
- 英語力・海外コミュニティへの参加が重要な差別化要因
- 海外就労は前述の英国・ドイツ・フランス・カナダ・UAE等のビザ制度を活用
AIセキュリティエンジニアでよくある失敗
失敗パターン8選
- セキュリティ一般の知識だけで満足する：AI／ML・LLMの仕組みを深く理解せずにAIセキュリティとは名乗れない
- 攻撃視点と防御視点の片方しかやらない：両方を往復する姿勢が重要
- AI／MLの技術トレンド追随を怠る：技術更新が極めて速く、半年で状況が変わる
- 規制・ガバナンスを軽視：EU AI Act・NIST AI RMF等の制度理解なしには経営層・法務と対話できない
- 手を動かさない：Gandalf・HackAPrompt・OSS AIセキュリティツールでの実践不足
- 発信・コミュニティ参加しない：AIセキュリティは世界規模の小さなコミュニティ、接続が重要
- 英語を避ける：一次情報・論文・コミュニティが英語中心
- 組織のAI活用と敵対関係になる：禁止ではなく安全な活用の伴走者として
回避のためのチェックリスト
- 毎週1時間はAIセキュリティ関連の最新論文・ブログを読む
- 毎月1つ新しいツール・技術を試す
- 四半期ごとにスキル棚卸し・ポートフォリオ更新
- OWASP・AI Alliance・Cloud Security Alliance等のコミュニティ参加
- 社内AI活用プロジェクトへの積極的な参画
AIセキュリティエンジニアを目指す人への最初のアクション
今日からできること
- OWASP Top 10 for LLM Applicationsの最新版を読む
- MITRE ATLASのマトリクスを眺める
- Gandalf（Lakera）でプロンプトインジェクション攻撃を体験
- Anthropic・OpenAIの安全性研究ブログを購読
- AI Alliance・Cloud Security AllianceのSlackに参加
3ヶ月の学習プラン例
- 1ヶ月目：セキュリティとAIの基礎を並走して学ぶ
- 2ヶ月目：OWASP LLM Top 10・MITRE ATLASに基づく実践
- 3ヶ月目：実際のLLMアプリへの脅威モデリング・Red Team演習
内部リンク｜WorkHorizonの関連記事
- Agentic AI完全ガイド
- RAG完全ガイド
- Foundation Model（基盤モデル）とは
- Kubernetes資格（CKA/CKAD/CKS）完全ガイド
- AWS機械学習認定資格完全ガイド
- 生成AI評価エンジニア完全ガイド
- AIプロダクトマネージャー完全ガイド
- OpenAI企業分析完全ガイド
- シニアエンジニアのキャリア戦略完全ガイド
- 英国IT移住完全ガイド
- ドイツIT移住完全ガイド
- フランスIT移住完全ガイド
- カナダIT移住完全ガイド
免責事項：本記事はAIセキュリティエンジニアの仕事内容・必要スキル・キャリアに関する一般的な情報提供を目的としており、特定の企業・資格・トレーニング・ツールを推奨・保証・勧誘するものではありません。本記事で触れる年収傾向・資格情報・技術動向は執筆時点の一般的な参考情報であり、個別の採用・年収・キャリア結果を保証しません。AIセキュリティの技術・規制・ベストプラクティスは極めて速いペースで進化するため、最新情報はOWASP・MITRE・NIST・EU・各ベンダーの一次情報を必ずご確認ください。過去の市場動向・事例は将来の結果を保証しません。最終的なキャリア判断は自己責任でお願いします。
AIセキュリティエンジニア 2026深掘り ― OWASP Top 10 for LLM 2025/Agentic Apps 2026・MITRE ATLAS・MCP脆弱性の戦略設計（9段論点フレーム）
本章は、AIセキュリティエンジニアの2026年最新潮流（OWASP Top 10 for LLM Applications 2025とOWASP Top 10 for Agentic Applications 2026の登場、MITRE ATLAS拡張16戦術84技術、Anthropic MCP脆弱性、EU AI Act 2026年8月本格施行、Agentic AI Red Teaming標準化）を、エンジニアが意思決定するための論点を「9段論点フレーム」で体系化する応用編です。本記事は情報提供を目的とするもので、特定モデル・特定APIプロバイダ・特定ツール・特定資格の採用を勧誘するものではありません。実装判断は各自の組織要件・規制・リスク特性に応じて自己責任でお願いします。フレームワーク・脅威・規制は継続的に進化するため、最新の一次ソース（OWASP/MITRE/NIST/ISO/各社公式）を参照する設計を推奨します。
1. 構造変化4軸 ― 2026年のAIセキュリティを取り巻く環境
- OWASP Top 10 for LLM 2025とAgentic Apps 2026の登場：OWASP Gen AI Security Projectが「OWASP Top 10 for LLM Applications 2025」と「OWASP Top 10 for Agentic Applications 2026」を公開。100名超の業界専門家・研究者・実務者の協働で策定された自律的・エージェント的AIシステム向けセキュリティリスクフレームワークが論点として整理されています（参考：OWASP Foundation「Top 10 for Large Language Model Applications」、OWASP Gen AI Security Project「LLMRisks Archive」、OWASP「Top 10 for Agentic Applications 2026」、Practical DevSecOps「OWASP Top 10 for Agentic Applications 2026」、Giskard「OWASP Top 10 for Agentic Application 2026」）。
- MITRE ATLASの拡張（16戦術・84技術・32緩和策・42事例）：2025年11月のフレームワーク更新で16戦術・84技術・32緩和策・42事例に拡張、2026年2月にAgentic AI技術が追加された論点。学習パイプライン・モデルファイル・推論API・データサプライチェーン全ライフサイクルカバレッジが論点として議論される領域として整理されています（参考：Practical DevSecOps「MITRE ATLAS Framework 2026」、Vectra AI「MITRE ATLAS: 16 tactics 84 techniques」、RedFoxSec「MITRE ATLAS vs OWASP LLM Top 10」）。
- Anthropic MCP脆弱性とAIサプライチェーン攻撃：Model Context Protocol（MCP）公式SDK（Python/TypeScript/Java/Rust）でRCE脆弱性が発見された論点。1.5億回超ダウンロード・20万サーバ規模に影響したと報告。Anthropic Claude Mythos PreviewでOS・ブラウザの数千の脆弱性発見、Project Glasswing（セキュリティ研究者向け制限）等が論点として議論されている領域です（参考：The Hacker News「Anthropic MCP Design Vulnerability RCE」、TechTalks「Anthropic's MCP vulnerability」、Tom's Hardware「Anthropic MCP Critical Security Flaw」、Tom's Hardware「Anthropic Claude Mythos Zero-Day」、red.anthropic.com「0-Days」、Simon Willison「Project Glasswing」、Picus Security「Glasswing Paradox」）。
- EU AI Act 2026年8月本格施行とNIST AI RMF GenAI Profile：EU AI Act規制要件・最大35M EUR罰則、NIST AI RMF GenAI Profile（AI 600-1）の200+リスク管理アクション、ISO/IEC 42001 AI Management System Standard認証が論点として議論されている領域として整理されています（参考：Bessemer Venture Partners「Securing AI agents 2026」）。
2. OWASP Top 10 for LLM 2025詳細 ― 各カテゴリの脅威と緩和策
- LLM01: Prompt Injection：直接プロンプトインジェクション（user input）と間接プロンプトインジェクション（external data sources/RAG/Tool returns）が論点。OWASP最重要リスクとして整理されている領域です（参考：OWASP「LLM01:2025 Prompt Injection」、Astra「Prompt Injection Attacks Guide 2026」）。
- LLM02: Sensitive Information Disclosure：訓練データ・プロンプト履歴・システムプロンプト・PII漏洩が論点として議論される選択肢です。
- LLM03: Supply Chain：OSSモデル（Hugging Face Hub）、外部API（OpenAI/Anthropic/Google）、依存ライブラリ（npm/PyPI/Maven）の信頼性監査が論点として整理されている領域です。
- LLM04: Data and Model Poisoning：訓練データ汚染、ファインチューニングデータ汚染、Embeddings汚染、バックドア注入が論点として議論される選択肢です。
- LLM05: Improper Output Handling：LLM出力をそのまま下流システムへ渡すことによるXSS・SQLインジェクション・SSRF誘発が論点として整理されています。
- LLM06: Excessive Agency：エージェントに過剰な権限・ツール・自律性を与えることによるリスクが論点として議論される領域です。
- LLM07: System Prompt Leakage：システムプロンプトに含まれる機密情報（APIキー・内部ロジック・ビジネスルール）の漏洩が論点として整理されています。
- LLM08: Vector and Embedding Weaknesses：RAGのVector DB（Pinecone/Qdrant/Weaviate/Milvus）の不適切なアクセス制御、Embedding Inversion攻撃が論点として議論される選択肢です。
- LLM09: Misinformation：ハルシネーション、過信、誤情報生成によるビジネス影響が論点として整理されている領域です。
- LLM10: Unbounded Consumption：DoS攻撃、トークン消費攻撃、Wallet Drain（API課金枯渇）が論点として議論される選択肢として整理されています（参考：OWASP「Top 10 for LLM Applications 2025 PDF」、Elevate Consult「OWASP LLM Top 10 2026」、Bright Defense「OWASP Top 10 LLM Gen AI Vulnerabilities 2026」、Promptfoo「OWASP LLM Top 10」、DeepTeam「OWASP Top 10 for LLMs 2025」）。
3. OWASP Top 10 for Agentic Applications 2026 ― エージェント特有のリスクASI01-ASI10
- ASI01: Agent Goal Hijack（ゴールハイジャック）：プロンプト操作で エージェントの目標を不正に変更する攻撃。最高優先度リスクとして整理されている論点です。
- ASI02: Tool Misuse（ツール悪用）：エージェントのツール使用権限を悪用する攻撃。実例として金融エージェントが$900の不正引出を実行された事例が議論される領域として整理されています。
- ASI03-ASI10: Memory Poisoning / Cascading Failures / Privilege Escalation / Supply Chain Compromise / Tool Return Injection / Excessive Agency / Audit Bypass / Inter-Agent Manipulation：Multi-Agent環境特有のメモリ汚染、連鎖的故障、権限昇格、ツール戻り値注入、エージェント間操作（MU-BA: Malicious User on Benign Agent / BU-MA: Benign User on Malicious Agent）が論点として議論される選択肢です（参考：Stellar Cyber「Top Agentic AI Security Threats Late 2026」、Microsoft Security「OWASP Top 10 Risks in Agentic AI Microsoft Copilot Studio」、Cisco「Reimagines Security for Agentic Workforce」、OWASP「AI Security Solutions Landscape Q2 2026」）。
4. MITRE ATLAS詳細 ― 16戦術・84技術・32緩和策
- 戦術（Tactics）16カテゴリ：Reconnaissance（偵察）、Resource Development（リソース開発）、Initial Access（初期アクセス）、ML Model Access（モデルアクセス）、Execution（実行）、Persistence（持続化）、Defense Evasion（防御回避）、Discovery（発見）、Collection（収集）、ML Attack Staging（攻撃準備）、Exfiltration（情報持ち出し）、Impact（影響）等が論点として整理されています。
- 技術（Techniques）84項目：Adversarial Examples、Data Poisoning、Model Extraction、Membership Inference、Model Inversion、Backdoor Injection、Prompt Injection（Direct/Indirect）、Evade ML Model、Spamming等が論点として議論される選択肢です。
- 緩和策（Mitigations）32項目：約70%が既存セキュリティコントロール（IAM・WAF・DLP・SIEM）にマッピング可能な論点。SOC既存ワークフローへの統合が議論される領域として整理されています。
- 事例（Case Studies）42件：Microsoft Tay、Tesla Autopilot、Google Bard等の実際のAIインシデント事例が論点として整理されています。
- OWASP LLM Top 10との使い分け：OWASPはアプリケーション層脆弱性に焦点、ATLASはML/AIシステム全体の戦術・技術に焦点。両者を補完的に使う設計が論点として議論される選択肢です。
5. 脅威モデリング手法5類型 ― AIシステム向けのSTRIDE拡張
- STRIDE-AI：従来のSTRIDE（Spoofing/Tampering/Repudiation/Information Disclosure/DoS/Elevation of Privilege）にAI特有のリスクを統合した拡張モデルが論点として議論されている選択肢です。
- PASTA-AI（Process for Attack Simulation and Threat Analysis）：ビジネスリスク・攻撃シナリオ・防御策を統合する論点として整理されている領域です。
- LINDDUN（プライバシー特化）：Linkability・Identifiability・Non-repudiation・Detectability・Disclosure・Unawareness・Non-complianceの7軸でプライバシーリスクを評価する設計が論点として議論されています。
- OCTAVE-AI：Operationally Critical Threat, Asset, and Vulnerability Evaluation。組織横断のAIアセット・脅威・脆弱性評価が論点として整理されている選択肢です。
- CIA + Robustness + Fairness：従来のConfidentiality・Integrity・Availability（CIA）にAI特有のRobustness（敵対的入力への耐性）・Fairness（バイアス管理）を加える設計が論点として議論される領域です。
6. Red Team実装ツール ― AI Red Teamingの主要プレイヤー
- Promptfoo：プロンプトA/Bテスト・OWASP LLM Top 10対応のRed Teamingテストランナー。CI/CD統合が論点として議論される選択肢です（参考：Promptfoo「OWASP LLM Top 10 Red Team」）。
- DeepTeam（Confident AI）：LLM/Agentic Red Teaming Framework。OWASP Top 10 for ASI 2026対応、自動マッピング、Pythonテストワークフロー統合が論点として整理されています（参考：DeepTeam「Complete Guide to Agentic AI Red Teaming」、DeepTeam「Agentic Red Teaming Introduction」）。
- Garak（NVIDIA）：LLM Vulnerability Scanner。Hallucination・Toxicity・Jailbreak・Misleading等のテストが論点として議論される選択肢です。
- Giskard：MLモデル・LLMの自動評価・バイアス検出・OWASP Top 10対応。Agentic Apps 2026も対応する論点として整理されている領域です。
- HackAPrompt / Gandalf / PromptBench：プロンプトインジェクション学習用CTF・トレーニングプラットフォーム、研究向けベンチマーク。学習・実践の場として論点として議論される選択肢です。
- CSA Agentic AI Red Teaming Guide：Cloud Security AllianceのAgentic AI Red Teamingガイダンス。ベストプラクティスとして論点として整理されています（参考：Cloud Security Alliance「Agentic AI Red Teaming Guide」、Palo Alto Networks「AI Red Teaming Evolves with Agentic Attack Surface」、Awesome Agents「Best AI Cybersecurity Ranges Platforms 2026」）。
7. インシデント対応プロセス6ステップ ― AI特有のIRワークフロー
- 検知（Detection）：プロンプト異常検知、トラフィック異常、出力品質低下、ユーザー苦情を起点とする検知。LLM Observabilityツール（Langfuse/LangSmith/Arize Phoenix/Helicone）との統合が論点として整理されています。
- トリアージ（Triage）：影響範囲（システム・ユーザー・データ）の確認、優先度判定、CISOエスカレーション基準が論点として議論される選択肢です。
- 封じ込め（Containment）：エージェント停止、ツール呼び出し制限、影響アカウント無効化、Kill Switch発動が論点として整理されている領域です。
- 調査（Investigation）：プロンプト履歴・推論ログ・ツール呼び出し履歴・出力ログの完全保全、フォレンジック解析、攻撃経路復元が論点として議論される選択肢です。
- 復旧（Recovery）：モデル再デプロイ、データクリーンアップ、ガードレール強化、システムプロンプト更新が論点として整理されています。
- 事後対応（Post-Incident）：インシデントレポート、規制機関報告（GDPR・EU AI Act・個人情報保護委員会）、法務・広報対応、再発防止策の組織展開が論点として議論される領域です。
8. 業界別実装パターン6領域 ― 金融/医療/公共/EC/メディア/SaaS
- 金融：金融庁ガイドライン・バーゼル III・SR 11-7等の規制下で、AIエージェント決済・信用スコア・KYCの監査証跡、Tool Misuse対策が論点として議論される選択肢として整理されています。
- 医療：HIPAA・薬機法・個人情報保護法対応、診断補助AIの安全性・説明性、訓練データのPII匿名化が論点として議論される領域です。
- 公共・自治体：日本のAI事業者ガイドライン、デジタル庁の指針、公平性・透明性の評価、説明責任が論点として整理されている選択肢です。
- EC・小売：チャットボットでのプロンプトインジェクション、レビュー操作、価格情報漏洩、決済エージェントの権限管理が論点として議論される領域として整理されています。
- メディア・コンテンツ：生成AIコンテンツの著作権、Brand Safety、ハルシネーションによる誤情報拡散、フェイクニュース対策が論点として議論される選択肢です。
- SaaS・エンタープライズツール：マルチテナント環境でのデータ分離、エージェントによる他テナントデータアクセス防止、API Rate Limit、AIファイアウォール（最大20ベンダーの独立検証）が論点として整理されている領域です（参考：Morningstar「20 AI Firewall Vendors Independent Security Validation」、Vectra AI「GenAI security」）。
9. 3層情報源 ― 公式・専門メディア・コミュニティ層の使い分け
- 公式・規制層：OWASP Foundation、OWASP Gen AI Security Project、MITRE ATLAS公式、NIST AI RMF、ISO/IEC 42001、欧州委員会EU AI Act、米国SEC、CISA、Cloud Security Alliance、日本AI事業者ガイドライン経産省/総務省/個情委、NISCドキュメント、OpenAI/Anthropic/Google/Meta責任あるAIフレームワーク、red.anthropic.com、Anthropic Glasswing。法令・規制・基準・公式リサーチの根拠データはここから引きます。
- 専門メディア・解説層：RedFoxSec「MITRE ATLAS vs OWASP LLM Top 10 2026」、Practical DevSecOps「OWASP Top 10 for Agentic Applications 2026」、Practical DevSecOps「MITRE ATLAS Framework 2026」、OWASP「Agentic Applications 2026」、Giskard「OWASP Top 10 Agentic 2026」、Elevate Consult「OWASP LLM Top 10 2026」、Bright Defense「OWASP LLM Top 10 2026」、Astra「Prompt Injection Attacks 2026」、Vectra AI「GenAI security」、Vectra AI「MITRE ATLAS」、Stellar Cyber「Agentic AI Security Threats 2026」、Palo Alto Networks「AI Red Teaming Evolves」、Microsoft Security「OWASP Top 10 Risks Agentic AI Copilot Studio」、Cisco「Agentic Workforce Security」、Bessemer「Securing AI Agents 2026」、DeepTeam「OWASP Top 10 for LLMs 2025」、Promptfoo「OWASP LLM Top 10 Red Team」、The Hacker News「Anthropic MCP RCE」、TechTalks「MCP vulnerability」、Tom's Hardware「MCP Security Flaw」、Simon Willison「Project Glasswing」、Picus Security「Glasswing Paradox」、Morningstar「AI Firewall Validation」、Cloud Security Alliance「Agentic AI Red Teaming Guide」、Understanding AI「Anthropic latest model too dangerous」。実装ガイダンス・脅威動向・トレンドはここから整理します。
- コミュニティ層・中文情報源：博客園「AI大模型提示詞攻撃防御全景指南2025」、安全内参「2025 AI大模型安全防護」、Agentic AI Guide「提示詞注入与防御策略」、知乎「LLM Safety 最新論文」、CS Reviews「提示注入漏洞2025年OWASP LLM十大」、GM7「大語言模型安全企業面臨」、阿里云開発者「LLM提示注入攻防原理紅隊測試」、奇安信「OpenAI安全フレームワーク提示注入」、安全内参「提示詞注入攻撃検出データセット」、AI安全系列研究報告、Hugging Face Hub・Reddit r/MachineLearning/r/cybersecurity・Stack Overflow・Discord・GitHub Issue・DEF CON/Black Hat/RSAコミュニティ・OWASP公式コミュニティが実装Tipsの宝庫として論点になっています。
まとめ ― AIセキュリティは「Agentic AI時代の必須職種」へ
2026年のAIセキュリティは、OWASP Top 10 for LLM Applications 2025とAgentic Applications 2026の登場、MITRE ATLAS拡張（16戦術・84技術・32緩和策・42事例）、Anthropic MCP脆弱性とAIサプライチェーン攻撃、EU AI Act 2026年8月本格施行とNIST AI RMF GenAI Profileの4軸で構造変化が進んでいます。本章で整理した9段論点フレーム（構造変化4軸×OWASP LLM 2025詳細×OWASP Agentic 2026詳細×MITRE ATLAS詳細×脅威モデリング5類型×Red Teamツール6×インシデント対応6ステップ×業界別実装6領域×3層情報源）を参考に、自組織の規模・業界・規制要件・既存セキュリティスタックに応じた段階的なAIセキュリティ成熟度向上を検討する材料としてください。
本コンテンツは情報提供を目的とするもので、特定モデル・特定APIプロバイダ・特定ツール・特定資格の採用を勧誘するものではありません。フレームワーク・脅威・規制は継続的に進化するため、実装判断は最新の一次ソース（OWASP/MITRE/NIST/ISO/各社公式）を確認のうえ、ご自身の責任で技術選定・実装判断を行ってください。