AIエージェントを導入する前に、「このエージェントに何を持たせないか」を決めることが最初の設計判断になった。2026年3月公開のDASF v3.0は、機密データへのアクセス・外部入力の処理・状態変更能力の3要素が同時に揃ったとき、セキュリティリスクが急増すると定義しています。この「致命的な三位一体」の考え方は、大企業のMLシステムだけでなく、業務自動化ツールを試し始めた中小企業の設定判断にも直接あてはまります。
DASFとは何か——97リスク・73コントロールの体系
DASF（Databricks AI Security Framework） は、Databricksが2024年に初版を公開したAI/MLシステム向けのセキュリティフレームワークです。データ収集・モデル開発・デプロイ・運用というAI/MLライフサイクル全体を13の標準コンポーネントに整理し、そこに潜みうるリスクと対策（コントロール）を体系化しています。
v3.0時点でフレームワーク全体では97のリスクと73のコントロールを定義しています。注目すべきは、MITRE ATLAS・OWASP・NIST・Cloud Security Allianceといった業界標準とマッピングされており、「既存セキュリティ標準のAI版」として設計されている点です。AI専門家でなくても、既存のセキュリティ知識を起点に読み解けるように作られています。
DASFの構造はシンプルで、「Risk（こういう攻撃・事故が起こりうる）に対してControl（対策方法）を定義し、各ControlにDASF番号（識別番号）が振られる」という形になっています。
v3.0の拡張内容——35個のリスクと6個のコントロールの実態
2026年3月公開のv3.0では、Agentic AI Extension として以下が追加されました。
| 追加内容 | 内容 |
|---|---|
| 新規Agentic AIリスク | 35個 |
| 新規コントロール | 6個（DASF 68〜73） |
| MCPセキュリティガイダンス | 新規追加 |
| マルチエージェント特有リスクカバレッジ | 新規追加 |
追加された35個のリスクは「13. Agentic AI」コンポーネント内で、以下の3つのサブコンポーネントに分類されています。
| サブコンポーネント | リスクID | リスク数 | 対象の断面 |
|---|---|---|---|
| Agents — Core | 13.1〜13.15 | 15個 | エージェント自身の判断ミス・悪用 |
| Agents — Tools MCP Server | 13.16〜13.25 | 10個 | 呼び出される側（MCPサーバー）の穴 |
| Agents — Tools MCP Client | 13.26〜13.35 | 10個 | 意図しない呼び出し・応答（MCPクライアント） |
Core（エージェント自身）→ MCP Server（呼び出される側）→ MCP Client（呼び出す側）という3つの断面で、漏れなくリスクを洗い出そうとしている構造です。
新規追加された6個のコントロール（DASF 68〜73）は2つの領域に分かれます。DASF 68〜70はMCPサーバー・クライアントという新しい通信境界線の管理、DASF 71〜73はエージェントのログ・状態・プロンプトという「従来のMLモデルには存在しなかった管理対象」の統制です。
新規6個に加え、リスクIDに「Agents」を含む既存コントロールも全部で36個あります。DASF 64（ツールの最小権限）・DASF 34とDASF 62（サンドボックス化と分離）・DASF 54（AIゲートウェイとガードレール）・DASF 65・66（異常検知と介入）といった既存コントロールが、Agentic AIリスクへの適用範囲を広げる形で読み替えられています。
「致命的な三位一体」——設計前に問う3つの問い
v3.0の核心は 「致命的な三位一体（lethal trifecta）」 という考え方です。以下の3要素がエージェントに対して同時に揃ったとき、セキュリティリスクが一気に跳ね上がると定義されています。
- 機密システムまたはプライベートデータへのアクセス権を持っている
- 信頼できない入力を処理できる（外部ドキュメント・Web・ユーザー入力など）
- 状態の変更または外部通信する能力を持っている（メール送信・API呼び出し等）
たとえば「社内ドキュメントを検索でき、外部から受け取ったプロンプトを処理し、メール送信やAPI呼び出しができる」エージェントは、この3要素をすべて満たします。この状態では、プロンプトインジェクション攻撃を経由して機密データが外部に送信されるといった事故が成立しえます。
逆に言えば、この3要素のうちどれか1つでも欠ければ被害の規模は大きく下がります。セキュリティを担保するのは「AIの賢さ」ではなく、「アーキテクチャで権限を物理的に制限する側」だという本質がここにあります。v3.0の新規6個のコントロール（MCP通信経路・エージェント状態管理）も、既存コントロールの拡張適用（権限・分離・監視）も、いずれも「AIの外側」で制御される仕掛けです。
中小企業が業務自動化ツールを選ぶ際の実務的な出発点は、「このエージェントは本当に外部への送信機能が必要か」「機密データへのアクセスは業務上必要な最小限か」を設定段階で一度問い直す習慣です。必要でない権限は設定ファイルの一行で物理的に禁止できます。
既存の脅威状況との接点——フィッシングとVPN侵入の先にある拡張リスク
DASFが描くエージェントリスクは、すでに公表されている国内の攻撃動向と構造が重なります。
2026年4〜6月の報告14,056件のうち89.3%がフィッシング——中小企業はどこから手を付けるべきか？で報告したように、JPCERT/CCの2026年Q1データでは報告の89.3%がフィッシングです。人間が騙されてクレデンシャルを渡すというフィッシングの構造は、「信頼できない入力を処理する」という三位一体の第2要素と本質的に同じです。人間であれば「おかしなメール」と気づける場面でも、エージェントは自動処理します。
ランサムウェア被害226件：中小企業6割・侵入経路6割以上VPN。何から直すかで整理したように、令和7年のランサムウェア被害では侵入経路の6割以上がVPN機器経由でした。VPN経由で侵入した攻撃者が、組織内のAIエージェントを踏み台として機密データを外部送信するシナリオは、三位一体の3要素すべてを揃えた最悪ケースそのものです。AIエージェントの導入は、既存のセキュリティホールが「新たな出口」を持つリスクでもあります。
DASFが示す「まず権限を絞る」という方針は、フィッシング対策・VPN管理強化と矛盾しません。既存のセキュリティ対策にエージェント特有の権限管理を加える形で整合させる、という考え方です。
この記事で言えないこと
- 97リスク・73コントロールの全一覧：本記事の素材にはリスクIDの分類と件数のみ含まれており、各リスク・コントロールの具体的な定義は確認できていません。詳細はDatabricks公式ブログで配布されているDASF一覧を参照してください。
- DASF 68〜73の正式名称と定義：素材には「MCP通信経路の管理」「エージェントの状態・ログ・プロンプト管理」という分類が記されていますが、各コントロールの正式名称は素材から確認できていません。
- DASFの国内企業への採用実績：素材からは把握できません。
- DASFを適用したことによる被害軽減効果：当社は測定していません。DASFの有効性を示す実証データは素材に含まれていません。
- MCPを利用したAIエージェントツールの国内普及状況：素材からは不明です。
- 中小企業がDASFを自力で運用できるか：97リスク・73コントロールという大規模体系を中小企業が運用できるかどうかは、人的リソースや技術力によって大きく異なります。当社は測定していません。
まとめ
- DASF v3.0は2026年3月にDatabricksが公開。97リスク・73コントロールのうち、Agentic AI向けに35個のリスク・6個のコントロール（DASF 68〜73）・MCPガイダンスが新規追加された。
- 「致命的な三位一体」——機密データへのアクセス・信頼できない入力の処理・状態変更/外部通信能力——が同時に揃ったとき、リスクが急増する。設計時点で1つでも欠かせばよい。
- 新規6個のコントロールは「MCP通信経路の管理（DASF 68〜70）」と「エージェントの状態・ログ・プロンプト管理（DASF 71〜73）」の2領域。DASF 64（最小権限）・DASF 54（AIゲートウェイ）等の既存コントロールもAgentic AIに適用範囲が拡張された。
- セキュリティを担保するのはAIの賢さではなく、アーキテクチャによる権限制限。「何を持たせないか」を設定段階で問う習慣が実務的な出発点になる。
- 既存のフィッシング被害（JPCERT/CC）・VPN経由のランサムウェア侵入（警察庁）とAIエージェントの「自動実行」が組み合わさると、被害の出口が増える構造になる。エージェント導入前に既存セキュリティ対策の状態を確認することが優先順位として高い。
- DASFはMITRE ATLAS・OWASPとマッピングされており、既存のセキュリティ知識を起点に読み解ける。全体を運用しなくても「致命的な三位一体」という判断軸だけでも設計に使える。
この記事はZenn AI（2026年8月10日公開）を素材に、JPCERT/CC「インシデント報告対応レポート（2026年4〜6月）」および警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」の調査内容とあわせて書きました。株式会社TOEはAI導入支援・AI検索対策を提供する事業者であり、本記事のテーマと利害関係があります。
