Skip to Content
Docs06. セキュリティAI サプライチェーンセキュリティ
上級supply-chainthreat-modelmcp更新: 2026-10-04この記事の誤りを報告

この記事の音声は準備中です。

音声の一覧・再生リストへ

AI サプライチェーンセキュリティ

この記事の目的

外から持ち込む AI 資産 — モデル・重み・データセット・プロンプト/スキル・MCPツールやデータソースを LLM アプリケーションに接続するための標準プロトコル。概要は ツール使用、接続の実務は ツール接続標準(MCP とエコシステム) サーバー・ツール — を、実行する前に信頼できるか判断するプロセスを設計できるようになります。AI 固有のサプライチェーン面の棚卸し・信頼の確立手段・受け入れプロセス・資産台帳・継続監視を、実務判断として持ち帰れる状態を目指します。実行時の隔離・権限は ツール権限設計とサンドボックス が正本で、本記事は導入前・導入時の信頼に絞ります。

対象読者

  • 外部のモデル・データセット・MCP サーバー・共有プロンプトを取り込む Agent システムのセキュリティ担当・アーキテクト
  • 「動いてから守る」だけでなく「入れる前に検証する」プロセスを整えたいテックリード

前提知識

本文

概要: 「動いてから守る」の手前

多くのセキュリティ対策は、動いている Agent への攻撃(インジェクション・権限・漏えい)を守ります。本記事はその手前 — 外から持ち込む資産を、実行する前に信頼できるかを扱います。AI 固有のサプライチェーンは、通常のソフトウェア依存に加え、重み・データ・プロンプト・MCP サーバーという新しい面を持ちます。実行時の防御は ツール権限設計とサンドボックス が正本です。

AI 固有のサプライチェーン面の棚卸し

まず、AI システムで「外から入ってくるもの」を棚卸しします。通常のライブラリ依存に加え、次の面があります。

資産リスクの例なぜ AI 固有か
モデル・重みファイル改ざん・実行コードの混入重みファイルの読み込みがコード実行を伴う形式があり得る
データセットデータセットポイズニング(学習データへの細工)学習・FT に使うと挙動に影響が残る
共有プロンプト・スキルテンプレートの汚染(埋め込まれた指示)共有資産に悪意ある指示が仕込まれうる
MCP サーバー・ツール提供元の信頼・導入後の挙動変化更新で挙動が変わり、導入時の検証が無効化されうる
依存ライブラリ通常の OSS サプライチェーンリスクAI フレームワークも通常の依存を持つ

信頼の確立手段

持ち込む資産を、どう信頼するかの手段を持ちます。

  • 出所の確認: 誰が・どこで公開したものか。公式・信頼できる提供元か、素性の不明なミラーか。出所が信頼の第一歩です
  • 署名・ハッシュ検証: 提供元の署名・チェックサム(ハッシュ)で、改ざんされていないかを確認します。「ダウンロードしたものが公開されたものと同一か」を検証します
  • レジストリの審査状況: モデル・MCP サーバー・スキルを配布するレジストリ/ハブの審査状況を確認します。審査のあるレジストリと、誰でも上げられる場所では信頼度が違います
  • 完全な信頼はない前提で: これらは信頼を高めますが、ゼロにはしません。「検証したから安全」でなく、後述の限定権限・監視と組み合わせます

受け入れプロセスの設計

外部資産を、いきなり本番・高権限で使わないプロセスを設計します。段階的に信頼を上げるのが基本です。

  1. 審査: 出所・署名・ライセンス・審査状況を確認し、受け入れ可否を判断します。ここで明らかに信頼できないものは弾きます
  2. 限定権限で試用: 受け入れると決めても、まず限定した権限・隔離環境で試します(ツール権限設計とサンドボックス)。いきなり本番データ・高権限を与えません
  3. 昇格: 試用で問題がなければ、必要な権限へ段階的に昇格します。「最初から全権限」でなく「実績を見て広げる」形です

この「審査 → 限定試用 → 昇格」は、企業システム環境の制約と対応の持ち込みツール承認や、新興攻撃パターンの体系の防御と同じ考え方です。

AI 資産の台帳

守るには、何を使っているかを把握している必要があります。

  • AI 資産の台帳を持つ: 使っているモデル・重み・データセット・MCP サーバー・共有プロンプト・スキルを台帳(インベントリ)にします。「どこで何を使っているか分からない」状態では、脆弱性が見つかっても対応できません
  • コンプライアンスの AI インベントリと統合: この台帳は、コンプライアンスとガバナンスの AI インベントリ・データフロー管理と統合します。セキュリティと統制で二重に持たず、1 つの台帳にします
  • 出所とバージョンを記録: 各資産の出所・バージョン・受け入れ日・付与権限を記録します。更新・インシデント時に「何が変わったか」を追える状態にします

継続監視: 導入後に挙動が変わる

サプライチェーンの検証は、一度きりでは終わりません。とくに MCP サーバー・外部ツールは、導入後に変わります。

  • 更新の差分確認: MCP サーバー・ツール・共有スキルの更新で挙動が変わることがあります。「導入時に検証したから安全」は、更新で崩れます。更新時に差分を確認するプロセスを持ちます
  • ピン止めと更新管理: 可能なら、検証済みのバージョンにピン止めし、更新は差分確認を経てから適用します(バージョニング・デプロイ・モデル更新追従の考え方をサプライチェーンに適用)
  • 異常の監視: 導入した資産の挙動に異常(想定外のアクセス・出力)がないかを監視します(可観測性とトレーシング)。台帳と監視で、汚染された資産を早く見つけます

外部 MCP サーバーの信頼条件は ツール権限設計とサンドボックスが正本です。ローカル stdio の版・ハッシュ固定と起動時の隔離、リモートの版を固定できない場合のツール定義差分検知・再審査までの無効化を区別します。バージョン固定だけで接続先の振る舞いは保証できません。

実務での注意点

アンチパターン

  • 出所不明の重み・共有プロンプトを検証せず使う → 改ざん・埋め込み指示のリスクを取り込む → 出所・署名・審査状況を確認してから受け入れる
  • 外部資産をいきなり本番・高権限で使う → 汚染されていた場合の被害が大きい → 審査 → 限定権限で試用 → 昇格の段階を踏む
  • MCP サーバー・ツールを導入時だけ検証する → 更新で挙動が変わり検証が無効化される → 固定できる配布物はピン止めし、固定できないリモートはツール定義の差分を検知して再審査まで無効化する
  • AI 資産の台帳を持たない → 脆弱性・汚染が見つかっても影響範囲が追えない → モデル・データ・MCP・プロンプトを台帳化し、コンプライアンスの AI インベントリと統合する
  • 「検証したから安全」で監視をやめる → 導入後の挙動変化・異常を見逃す → 継続監視と組み合わせる

チェックリスト

  • MCP の版を固定できない場合は、正本の差分検知・再審査までの無効化を実施し、stdio は隔離して起動する
  • 外部から持ち込む AI 資産(モデル・重み・データ・プロンプト/スキル・MCP・ツール・依存)を棚卸しした
  • 各資産の出所・署名/ハッシュ・レジストリの審査状況を確認している
  • 「審査 → 限定権限で試用 → 昇格」の受け入れプロセスを設けた
  • AI 資産の台帳(出所・バージョン・権限)を持ち、コンプライアンスの AI インベントリと統合している
  • MCP のローカル配布物は固定し、固定できないリモートは差分検知・再審査まで無効化している
  • 導入した資産の挙動を継続監視している

関連トピック

参考資料

  • OWASP Top 10 for LLM Applications  — 供給・学習データ・モデルに関するリスクを含む LLM 固有リスク一覧(アクセス日: 2026-07-08)
  • MITRE ATLAS  — AI システムへの攻撃手法の分類(サプライチェーン・ポイズニングを含む)(アクセス日: 2026-07-08)

TODO・未確認事項

なし

AI 規格・認証の実務(ISO/IEC 42001 ほか)新興攻撃パターンの体系(記憶・知識源・ツール・マルチエージェント)