AI エージェントの署名ワークフロー保護に向けたハードウェアキーストア──ゼロトラスト MCP アーキテクチャで攻撃成功率 0.0% を達成

論文概要

AI エージェントが Git コミットの署名や API 認証などの暗号操作を実行する際、秘密鍵が平文ファイルや環境変数などのソフトウェアアクセス可能な場所に保存されていることが多く、プロンプトインジェクション等による鍵の窃取リスクが指摘されている。本研究では、秘密鍵をソフトウェアから隔離し、ベンダーニュートラルな PKCS#11 インターフェースを介してアクセスするハードウェアキーストア（HSM、TPM、スマートカード）を導入する。これにより、暗号操作をデバイス上で実行させ、ホスト側には不透明なハンドルを通じて結果のみを返すことで鍵の機密性を担保する仕組みを提案している。

関連研究

従来の AI エージェントのセキュリティフレームワークは主にアプリケーション層でのフィルタリングや入力サニタイズに依存しており、システム内部に侵入した攻撃者や悪意のある指示によってメモリ上から直接機微情報が読み出されるリスクに対して脆弱であった。 agenteDojo のような既存の評価ベンチマークにおいても、プロンプトインジェクションによる権限昇格やデータ流出が繰り返し報告されている。

新規性と貢献

最大の新規性は、AI エージェントの実行環境において秘密鍵の保持を完全にハードウェア境界内に閉じ込め、周辺の 5 層ゼロトラスト enforcement スタックと統合した点にある。これにより、従来のソフトウェアベースのストレージが抱えていた脆弱性を根本から排除し、実用的なエージェントワークフローへの安全な組み込みを実現した。

提案手法の詳細

ハードウェアコンファインメントを支えるため、本研究では 5 層のゼロトラスト enforcement スタックを構築している。具体的には、セッションアイデンティティ（SAGA）、スコープ境界（Smax）、セマンティック検証（RAV）、汚染追跡（Taint tracking）、そしてハードウェア実行境界の各レイヤーが連携し、リクエストの妥当性を厳格に検証する構造を採用している。

評価・考察

AgentDojo の ImportantInstructionsAttack テンプレートから派生した 12 のインジェクションシナリオを用いて評価を実施した。gpt-oss-120b、Qwen2.5-72B、DeepSeek-V4-Flash の 4 つの LLM モデル（合計 n=192）を用いたベースラインモードでは、攻撃成功率（ASR）が 19.3%（95% 信頼区間: [14.3%, 25.4%]）であったのに対し、保護モードを適用した本手法では ASR 0%（Wilson 95% 信頼区間上限 2.0%）を達成した。また、4 つの良性タスクシナリオにおける偽陽性（False Positive）は 0 件であった。

応用例と今後の展望

金融機関や医療機関など、厳格なコンプライアンスと鍵管理が求められる分野において、自律型 AI エージェントをデプロイする際の実務的なセキュリティ基盤として直ちに適用可能である。今後の課題として、多様なハードウェアモジュールへの拡張や、更なるレイヤーの軽量化が挙げられる。

結論

AI エージェントの署名ワークフローにおいて、ソフトウェア上の鍵管理を廃しハードウェアキーストアと 5 層のゼロトラストスタックを導入することで、インジェクション攻撃に対する完全な防御（ASR 0%）を実証した。

注釈

• PKCS#11: 暗号トークン（HSM やスマートカードなど）への共通 API 標準。
• MCP: Model Context Protocol の略。AI モデルとデータソースやツールを接続するためのプロトコル。