AI時代の情報漏洩を防ぐ！大手5社のセキュリティ特化Agent Skills解説

AIを活用した開発が普及する一方で、不正アクセスによる個人情報漏洩などのセキュリティリスクが高まっています。本動画では、OpenAI、GitHub、AWS、Anthropic、Cloudflareの5社が提供する、AIエージェント向けのセキュリティ点検機能「Agent Skills」の概要と使い分けを解説します。

セキュリティと脆弱性の基本

動画の冒頭では、昨今のセキュリティ問題として、9月に公表されたタイムズカーのWebサイトへの不正アクセス（約660万アカウント）や、10月9日に公表されたブックオフの会員管理システムへの不正アクセス（最大約643万件）が例に挙げられました。これらを踏まえ、守るべき対象としての「セキュリティ」と、悪用されると被害につながる仕組みの弱点である「脆弱性」の違いを整理しています。AIを使えば誰でも簡単にアプリを作れる時代だからこそ、自ら脆弱性に気づき、修正する「武器」を持つことが重要であると説いています。

コード点検の3つの観点

AIエージェントにコードを点検させる際、主に以下の3つの観点が重要になります。 ・誰が読めるか：操作の許可（権限設定）が正しいかを確認する。 ・鍵が書かれていないか：APIキーやパスワードなどの機密情報がコード内に直接記述されていないかを確認する。 ・部品に問題がないか：外部から導入したライブラリなどの部品に、既知の弱点が含まれていないかを確認する。 これらすべてをAIで完全に防げるわけではありませんが、点検ツールとして活用することでリスクを大幅に低減できます。

大手5社のセキュリティスキル

各社が提供する具体的なスキルは以下の通りです。 ・OpenAI（Codex Securityプラグイン）：コード全体を点検する「security-scan」、変更箇所のみを点検する「security-diff-scan」、問題の候補を検証する「validation」の3つを提供します。 ・GitHub（Copilot Advanced Securityプラグイン）：機密情報を探す「secret-scanning」と、外部部品の脆弱性を確認する「dependency-scanning」に特化しています。 ・AWS（AWS Security Agent）：コード点検に加え、設計書のレビューや指摘への対応までカバーします。コードを一度AWS側に送信して点検する仕組みです。 ・Anthropic：作成中に点検する「security-guidance」や、全体を監査する「claude-security」、単発レビュー用の「/security-review」コマンドを提供します。 ・Cloudflare：調査範囲を整理してから分担して探索する「security-audit」を提供。確認済みか未確認かを記録できるため、複数人での開発に向いています。

利用シーンに合わせた選び方

スキルの選び方は「点検したい対象」と「利用環境」で判断します。機密情報や部品の脆弱性を調べたいならGitHub、開発の真っ最中ならAnthropicのsecurity-guidance、既存プロジェクト全体を見直すならOpenAIや各社の対応機能が候補になります。また、GitHubならMCP接続、AWSならアカウント権限といった準備が必要です。最終的に修正するかどうかの判断は人間（利用者）が行う必要があり、AIと壁打ちしながら理解を深めていく使い方が推奨されています。

なぜ重要か

AIエージェントによるセキュリティ点検は、単に「悪い箇所を見つける」だけでなく、Cloudflareのスキルのように「問題が起きない理由（別の場所でチェックされている等）」まで探し、調査範囲を網羅的に管理する段階に入っています。ただし、AWSのようにコードを外部サーバーへ送信して点検するモデルもあり、社外秘の情報をどこまで送ってよいかという「点検自体のセキュリティ」を事前に確認することが、実務上の大きな制約かつ留意点となります。

こんな人におすすめ

AIを使ってアプリ開発やコーディングを行う非エンジニアからエンジニアまで。最新のAIセキュリティツールの種類と、それぞれの得意分野を知りたい人に適しています。