AIエージェントのためのCISOプレイブック | Datadog

DatadogのCISOであるEmilio Escobar（エミリオ・エスコバル）は、a16zのJoel De La Garza（ジョエル・デ・ラ・ガルザ）との対談で、AIエージェントが企業全体に浸透した環境におけるセキュリティ戦略の実践的な内幕を語った。同社では4,000人以上のエンジニアがコーディングエージェントを利用し、ほぼ全従業員が何らかの形でAIを活用するに至っている。エスコバルは、新しいツールをブロックするのではなく、積極的に受け入れ、安全に利用するためのセキュリティ基盤を構築するというアプローチを選択した。この判断は、単なる理想論ではなく、データ権限、認証情報、開発者アクセス、ソフトウェアサプライチェーンといった従来のセキュリティ前提がAIによって根本から覆されるという現実認識に基づいている。

エスコバルは、セキュリティチームが商業ソリューションの登場を待っている余裕はないと主張し、自社で「AIジャッジ」と呼ばれるシステムを構築したことを明かした。これは、コードやエージェントのスキルに込められた「意図」を評価するためのもので、悪意のあるコードを検出するために開発された。さらに、ロールベースのMCPサーバーや一時的な認証情報の活用など、具体的な技術的対策についても詳細に説明している。対談は、AIがもたらす脅威に対する過度なパニックを戒めつつ、実際に懸念すべきはAIが発見する脆弱性の「量」の爆発であるという、実務家ならではの冷静な視点で締めくくられている。

0:00AI導入の全面解禁と「ブロックしない」戦略の成功

エスコバルは、DatadogがAI導入を進めるにあたり、当初から「ブロックする」という選択肢を取らなかったことを強調する。同氏は「ブロックすれば誰も使わなくなるという考えには一度も賛同したことがない」と述べ、2年前にChatGPTのライセンスを全従業員に開放した経緯を振り返る。当時、RSAカンファレンスで他のCISOたちから「どうしてブロックしないのか」と尋ねられたが、データ保持をゼロにする契約を結ぶことで問題を解決できたという。この「逆張り」の判断は結果的に正しく、最も早く深くAIを受け入れた人々こそが報われるべき存在であるという認識に繋がった。

この開放的な姿勢は、単なるリスク許容ではなく、データ管理の徹底によって裏打ちされている。エスコバルは、AIが組織を「フラット化」させる危険性を指摘する。従来はSQLを熟知した一部の人間だけがアクセスできたデータが、AIエージェントを介せば営業担当者でも簡単に取得できてしまう。実際に、社内で構築したビジネスインテリジェンスツールが、本来は分離されるべきデータにアクセスできる状態になっていることが発覚したという。これは、従来の権限設定が「当時の状況に合わせて正しかった」だけで、AIの登場によってその前提が崩れたことを意味する。

この問題に対処するため、DatadogはロールベースのMCP（Model Context Protocol）サーバーを導入した。SDR（セールス開発担当）向けなど、役割ごとにアクセス可能なデータを制御・管理する仕組みだ。これにより、データガバナンスを確保した上で、従業員がどのツールを使うかは自由に選択できるようにしている。エスコバルは、このアプローチを「帝国のノー（拒否の帝国）」にならないためのバランスとして位置づけ、過度な制限が革新を阻害する一方で、完全な自由もまた危険であるという中間点を目指している。

0:06コーディングエージェントのセキュリティと認証情報管理の革新

エンジニアリング部門では、コーディングエージェントが何をできるか、どのツールを呼び出せるか、どのバイナリを取得できるか、どの依存関係を使用できるか、そしてどのように認証情報にアクセスするかが主要な懸念事項となる。Datadogはこの問題に対し、オープンソースのサンドボックスに貢献し、エージェントが認証情報ファイルに直接アクセスできないようにする拡張を施した。たとえホームディレクトリにAWSのシークレットやnpmの公開シークレットが存在しても、サンドボックス内のエージェントはそれに触れることができない。

認証情報は、エージェントが必要とした瞬間にのみ注入される仕組みだ。具体的には、既存のCLIツールが発行する一時的なトークンを利用する。エージェントは「auth github」のようなツールを呼び出すことで、有効期限付きの認証情報を取得できるが、その仕組みをエージェント自身が理解して悪用することはできない。これにより、静的なトークンがファイルに書き込まれるリスクを排除し、開発者個人のアクセス権をエージェントに委譲することなく、安全に作業を進めることが可能になる。

エスコバルは、開発者が攻撃者の主要な標的になっているという現実を強調する。トークンを入手できれば、攻撃者はパッケージを攻撃するワームを構築したり、本番環境にアクセスしたりすることが可能になるからだ。この脅威認識は、単なる理論ではなく、実際に発生している攻撃パターンに基づいている。認証情報の管理を根本から見直すことで、開発者を標的にした攻撃の成功確率を大幅に低下させることができるというのが、同氏の主張である。

0:07AIジャッジによる「意図」の評価と悪意あるスキルの検出

Datadogのセキュリティチームが「必要性から」構築したAIジャッジは、コードの背後にある意図を評価するシステムだ。これはCVE（Common Vulnerabilities and Exposures）のような既知の脆弱性を検出するものではなく、「このコードは害を及ぼすことを意図しているかどうか」を判断する。エスコバルは「害」という言葉を意図的に曖昧にしていると述べ、このシステムがマークダウンファイルのスキャンにも優れた性能を発揮することを明かした。

このジャッジが開発された背景には、Datadogエージェントへのサードパーティ製コードの貢献がある。外部からのコード提供を受け付けるプロセスでは、従来セキュリティエンジニアとエージェントチームのエンジニアの両方がコードを再評価し、承認してマージする必要があった。このプロセスはスケールしないという問題意識から、AIジャッジの開発が始まった。その後、ソフトウェアサプライチェーンハイジャックやIDE拡張機能の悪用が発生するようになると、このジャッジをそれらのパッケージに適用したところ、ハイジャック中に注入された悪意のあるコードを特定できることが判明した。

現在、Datadogはエージェントにフックを組み込み、どのスキルが取得されているかを把握し、すべてのスキルが導入される前にジャッジによる評価を実施している。エスコバルは「あらゆるマーケットプレイスでかなりの数の悪意のあるスキルを見つけている」と述べ、複数のマーケットプレイス運営者と提携し、このジャッジの利用を提案するとともに、発見した悪意のあるスキルについて警告を発している。さらに、このジャッジはエージェントが生成したコードの出力も評価し、プロンプトの解釈や実行方法に起因する意図しない悪影響を防ぐ役割も果たしている。

0:11セキュリティ人材の不足と「待ち」の姿勢への警鐘

エスコバルは、先週開催したエージェンティックセキュリティに関するラウンドテーブルで、多くのセキュリティリーダーが「無力感」を抱いていることに衝撃を受けたと語る。彼らは商業ソリューションが登場してすべてを解決してくれるのを待っている状態だという。この「待ち」の姿勢は、CISOという職業の歴史的な成り立ちに起因する部分がある。初代CISOはSteve Katz（スティーブ・カッツ）であり、その歴史は比較的浅い。CFOやCTOがセキュリティ担当になるケースも多く、セキュリティチームが大規模化するにつれて、リーダーや思想的指導者ではなく「マネージャー」が必要とされるようになった。

ソフトウェアが競争優位性の源泉ではない大規模な産業企業であれば、製品を購入するアプローチは合理的かもしれない。しかし、Datadogのような企業は自らが最高のセキュリティを実現する必要がある。エスコバルは、たとえそうした企業でも、チームの中に創造的な裁量を与えられれば何かを成し遂げられる人材が1人や2人はいるはずだと主張する。しかし、その発想自体が存在しないことに対して懸念を表明した。この問題は、AIの進化のスピードが速すぎるため、待っている余裕がないという切迫感に根ざしている。

この議論に対して、Joel De La Garzaは「本当にセキュリティの専門家である必要があるのか」という逆説的な問いを投げかける。最高のセキュリティ人材の多くは、もともとセキュリティ畑から来たわけではない。開発者がセキュリティに転向したケースが多いというのだ。大企業ではAIツールの導入により手動でのコード作成の必要性が減り、ティア1のエンジニアの需要が低下する一方、セキュリティチームは人材を求めている。このクロスポリネーション（相互交流）が始まりつつあるというのが、デ・ラ・ガルザの観察だ。エスコバルは「10年前の私のテーゼは、セキュリティエンジニアが本物のエンジニアになるだろうというものだった。今こそその時かもしれない」と応じ、Datadogではセキュリティエンジニアにソフトウェアエンジニアと同じ給与を支払っていることを明かした。

0:15開発者とセキュリティチームの関係再構築

エスコバルは、開発者がセキュリティを「気にかけていない」という一般的な認識に異議を唱える。開発者は常にセキュリティを気にかけてきたが、問題はセキュリティチームが彼らに求める「セキュリティのバージョン」が質の低いものだったことだ。具体的には、実際には自分たちの開発作業に関係のない数千件の脆弱性を「スキャナーがクリティカルと言っているから修正しろ」と押し付けるような対応だ。エスコバルは「あなたたちから送られてくるジャンクの量は尋常じゃない」と、セキュリティチームのノイズだらけの報告に開発者がうんざりしている現状を代弁する。

Datadogのセキュリティプラットフォームの製品担当としてエンジニアリングチームと接する機会が多いエスコバルは、同じ話を繰り返し聞いてきたという。「チケットが1,000件来るが、どれも関連性がない」「セキュリティは自分たちが何をしているのか理解していない」といった不満だ。さらに、セキュリティ担当者が開発者のコードを「質が悪い」と批判する場面に遭遇するたびに、エスコバルは「それなら自分でやってみろ」と言いたくなるという。実際には、コードは良いが、セキュリティチームがノイズだらけの脆弱性を修正しないことを「質が悪い」と誤解しているケースが多い。

エスコバル自身の学習経験として、コードベースの問題を単独で見つけても、その上層のフレームワークが潜在的な被害を軽減していることが多いという事実を挙げる。つまり、セキュリティ担当者はコードの文脈を理解せずに問題を切り出してしまう傾向があり、これが開発者との摩擦の根本原因になっている。この対立構造を解消するためには、セキュリティチームが開発者の仕事を理解し、関連性の高い問題だけを提示する必要がある。エスコバルは、開発者とセキュリティチームの関係が「フロント・オブ・マインド」なセキュリティへと進化していることを前向きに評価しつつ、そのためにはセキュリティ側の意識改革が不可欠だと主張する。

0:17AIパニックへの冷静な対処と真の懸念事項

Bloombergのトップニュースが「AIが暴走した」という内容で持ちきりの中、エスコバルは驚くほど冷静だ。その理由はシンプルで、「AIモデルでなければ、実際に悪意のある意図を持った誰かがやるだけのこと」だからだ。同氏はパニックには陥らないが、自社が同じ能力にアクセスできるかどうか、そして誰がこれらの能力にアクセスできるかを決定する規制の枠組みが欠如していることについては懸念を表明する。フロンティアラボの管理外にあるとされるAIモデルの配布状況は不透明で、企業はリストに名前を載せて待つしかないが、評価基準は明確にされていない。

エスコバルは、カンファレンスで他のCISOと情報交換すると、自社よりはるかに重要度の低い製品を作っている企業が9ヶ月も前からアクセス権を得ているケースがあると指摘する。「我々の製品を政府機関が使っているのだから、保護のためにアクセス権を得るのは合理的ではないか」というのが同氏の主張だ。しかし、このような不透明な配布状況にもかかわらず、エスコバルはモデルがサンドボックスから脱出して企業を攻撃するというシナリオ自体はそれほど心配していない。むしろ、AIの登場によってセキュリティ全体が改善されるというのが同氏の見方だ。

真の懸念事項は、AIが発見する脆弱性の「量」の爆発である。「環境内のすべてのCVEを修正しなければならない」という従来のルールに、AIによって1,000倍のCVEが追加されることになれば、両者は整合しなくなる。さらに、AIが見つけた脆弱性に対する過敏な反応も問題だ。「モデルXが見つけたから極めて重大で真実に違いない」という風潮がすでに存在するが、実際にはそうではないケースが多い。エスコバルは「ギリシャの神が見つけたからといって、それが重大な問題であるとは限らない」と表現し、サードパーティリスク管理がさらに悪化する可能性を懸念する。最後に、同氏はキャリアを通じて学んだ教訓として、「セキュリティをゲートキープしようとする試みは必ず失敗し、状況を悪化させるだけだ。オープンで自由な議論こそが改善への唯一の道である」と締めくくった。

結びに

このエピソードが特に価値を持つのは、AIセキュリティを理論ではなく、実際に4,000人以上のエンジニアがコーディングエージェントを使い、全従業員が何らかのAIを利用する企業のCISOという実践的な視点から語られている点だ。エスコバルの「ブロックするのではなく受け入れて安全に使う」という姿勢は、単なる理想論ではなく、データ権限の再設計、認証情報の一時化、AIジャッジによる意図評価など、具体的な技術的対策によって裏打ちされている。また、セキュリティ人材の不足や開発者との関係構築といった組織的な課題にも踏み込んでおり、AI時代のセキュリティ戦略を考える上での実践的な指針を提供している。

特に印象的なのは、エスコバルが「AIが暴走する」というパニックに対して示した冷静さだ。同氏は、AIモデルであれ人間であれ、攻撃者は常に存在するという現実を直視し、むしろAIが発見する脆弱性の量の爆発という、より実務的で差し迫った問題に焦点を当てている。また、セキュリティの「ゲートキープ」が失敗するという教訓は、AI時代においても変わらない普遍的な原則として響く。このエピソードは、テクノロジーの進化に振り回されるのではなく、本質的なリスクを見極め、組織としてどう適応するかを考えるための示唆に富んでいる。