シスコ、AIエージェントへの攻撃を無害なステップから検出する「Quarry」をオープンソースで公開

従来のセキュリティシステムは通常、各アクションを個別に評価し、それが危険か無害かを判断する。このアプローチは、悪意のある意図が一連のシーケンスを通じてのみ現れる場合の、AIエージェント（すなわち、単独で複数のアクションを連鎖できるプログラム）に対しては限界に達する。シスコは銀行詐欺を例に挙げる：銀行は各購入を個別に分析するが、詐欺検出は複数の購入にまたがるパターン（時には異なる場所やあり得ない時間帯に）を特定しなければならない。「エージェントのセキュリティには、購入ではなくエージェントが踏むステップに適用される、パターン検出と証拠の同じ組み合わせが必要です」と同社は記している。

学習と論理を組み合わせたルール

シスコはQuarryを、機械学習モデルの判断とルールベースのチェックを組み合わせた「神経記号的」なルール言語と説明している。これは、単一または複数ターンの対話を含む大規模言語モデル（LLM）との会話、エージェント、ツールの使用、モデルを外部ツールに接続する標準規格であるModel Context Protocol（MCP）を介したやり取り、およびマルチモーダル入力に対応する。

各ルールは2種類の要素に依存する。一方は、機械学習分類器とLLM「裁判官」からの証拠。もう一方は、特定の条件、シーケンス、文字列マッチング、またはツール間の関係を検証する記号的ルールである。Quarryは、既存のすべての検出器や制御メカニズムを置き換えるのではなく、共通のポリシーレイヤーとして設計されている。

このツールは、エージェントに対するリアルタイムの安全策の実施、ルールセットに基づく事後のセキュリティ分析の実施、およびインシデント対応に利用できる。これは、シスコの既存のフレームワークであるIntegrated AI Security & Safety Frameworkに統合され、AI関連リスクの記述からエージェント活動におけるそれらの検出へと拡張する。

既に観察された脅威

シスコは、2025年にClaude Codeが悪意のある攻撃者によって2つのキャンペーンで使用されたことを指摘している：1つは約30組織を標的とし、もう1つはメキシコの政府機関を標的としたものだ。前者の場合、攻撃は日常的なタスクに分割されており、防御システムにそれがセキュリティテストであると思わせていた。断片的に見ると、それは許可された侵入テストのように見えたが、その真の目的であるデータ窃取は、要求が正しい順序でまとめられた時にのみ明らかになった。

シスコは、攻撃者が常に手法を変更していることを強調する。したがって、特定された新しい技術ごとに、すべての組織が利用できる新しいQuarryルールが作成されなければならない。この要件に対応するため、同社は、プログラミングエージェントが組織のリスクを平易な言語で記述したものからルールを作成、コンパイル、改良し、実際の会話でテストできるプラグインを用意した。

スターターパッケージには特に、会話、ツール使用、イベント間の関係のための読み取り可能な言語、コマンドラインスキャナー、Python SDK、およびClaude Code、Codex、その他のMCP互換エージェント用のプラグインが含まれる。シスコはまた例を挙げている：「Hugging Faceは、事後に約17,600のエージェントアクションを再構築しました」。表明された目標は、防御側が「これらのシーケンスがまだ進行中である間に認識できる」ようにすることである。