AIエージェント時代のセキュリティ地図「DASF」を読み解く

Databricksが、AI/MLシステム全体を対象とするセキュリティフレームワーク「DASF」をv3.0に拡張した。97個のリスクと73個のコントロールを定義し、MITRE ATLASやOWASPといった業界標準とマッピングされている。従来版は主にモデルやデータパイプラインを対象にしていたが、v3.0ではAIエージェント特有のリスクとして35個の新規リスク、6個の新規コントロール、MCPガイダンスが追加された。つまり、AIが「人間の指示を待つ」から「自律的にツールを呼び出し、他のエージェントと通信する」へと進化したことで、セキュリティの対象そのものが変わったということだ。

ポイントは「致命的な三位一体」という考え方だ。エージェントが機密データへのアクセス権を持ち、外部からの入力を処理でき、かつメール送信やAPI呼び出しなどの状態変更・外部通信能力を持つ——この三つが揃ったとき、リスクが一気に跳ね上がる。逆に言えば、この三要素のうちどれか一つでも欠ければ、被害規模は大きく下がる。これはセキュリティが「AIの賢さ」では担保されず、「アーキテクチャで権限を物理的に制限する側」で担保されるという本質を示している。v3.0の新規コントロールも、MCP通信経路の監視とエージェントの状態・ログ・プロンプト管理という、いずれも「AIの外側」で制御される仕掛けだ。

中小企業がAIエージェント導入を検討するなら、導入前に「このエージェントは何を持たせないか」を決める癖をつけること。機密データへのアクセス、外部への送信機能、デバイス操作権限のうち、「本当に全部必要か」を疑う。必要でない権限は、設定ファイルの一行で物理的に禁止してしまう。DASFの考え方は、大企業の超複雑なシステムだけでなく、小規模な環境でこそ機能しやすい。