AIエージェントの医療導入で増すセキュリティリスク

「代わりにやっておく」AIが増えるほど、何が危なくなるのか

AIが質問に答えるだけなら、最悪の場合は誤情報を信じてしまうリスクに留まる。しかしAIエージェントは違う。ユーザーの代わりに外部システムへアクセスし、予約を入れ、処方箋の更新を処理し、決済を動かす。判断と実行が一体化した存在だ。

Amazonが公開した医療AIアシスタントは、健康記録の説明から処方箋の更新手続き、診察予約の手配まで一括して担う。一見すると利便性の塊だが、裏返せば、このエージェントが誤動作したり外部から操作されたりした場合、患者の医療データと処方行為が同時に侵害される。

「便利さ」と「リスクの大きさ」は同じ機能の表と裏にある。エージェントの権限が広がるほど、その権限を奪われたときの被害も広がる。

業界トップが「防衛」に動いた3月の2日間

2026年3月の2週間に、象徴的な出来事が立て続けに起きた。

まず3月9日、OpenAIがAIセキュリティ企業Promptfooを買収したと発表した。Promptfooは2024年設立で、大規模言語モデル（LLM）のセキュリティ上の弱点をテストするオープンソースツールを提供してきた企業だ。Fortune 500企業の25%以上が利用し、累計調達額は2300万ドル、2025年7月時点の評価額は8600万ドルとされる。OpenAIは取引金額を非公開としたが、買収後はAIエージェント向け企業プラットフォーム「OpenAI Frontier」にPromptfooの技術を統合すると明言した。

具体的には、疑似攻撃テスト（レッドチーミング）の自動実行、エージェントの処理フローに潜むリスクの評価、コンプライアンス要件に照らした行動監視の3点をOpenAIは挙げている。

翌3月10日には別の動きがあった。2004年にMandiantを創業し、2022年にGoogleへ54億ドルで売却したKevin Mandiaが、新会社Armadinを設立し、シード・Series A合計で1億8990万ドルを調達したと発表した。Accel主導でGV、Kleiner Perkins、Menlo Ventures、In-Q-Telらが参加する布陣だ。Armadinの目標は、AIによる攻撃に自律的なAIエージェントで対抗すること。MandiaはCNBCで「自律型AIハッカーは近い将来に登場する。攻撃側にAIがあれば、攻撃は数分で完了し得る」と警告している。

防御側もAIを使わなければ間に合わない——その前提がすでに業界の共通認識になりつつある。

AIエージェント特有の攻撃面はどこにあるか

従来のソフトウェアセキュリティと何が違うのか。3つの点で整理できる。

プロンプトインジェクション

外部から入力されたテキスト——メール本文、Webページ、ドキュメント——の中に悪意ある指示を埋め込み、エージェントに意図しない操作をさせる攻撃だ。人間なら「これは指示ではなく文章だ」と判断できるが、LLMはテキストを処理する際に命令と文脈を区別しにくい。医療AIが患者の入力した病歴テキストを読み取る場面を想像すれば、攻撃面の広さが見えてくる。

権限の連鎖的な乗っ取り

エージェントが複数のツールやAPIを呼び出す際、一つのステップへの侵入が次のステップの権限を自動的に引き継ぐ構造になりやすい。処方箋システムへのアクセス権を持つ医療AIが侵害された場合、その権限は処方行為全体に及ぶ。

判断の不透明性

エージェントがなぜその判断をしたか、事後に説明しにくい。コンプライアンス上の問題が起きたとき、原因の特定と責任の所在が曖昧になる。Promptfooが「エージェントの処理フローをリスク評価する」機能を提供していた理由はここにある。

企業・医療現場が導入前に確認すべきこと

特に医療・金融・法務など個人データと実行権限が交わる領域では、「とりあえず試す」では済まなくなっている。導入前に問うべき点を整理した。

• エージェントに付与する権限の範囲を最小化しているか（読み取り専用か、書き込み・実行まで許可しているか）
• 外部入力がエージェントの行動を変えるリスク（プロンプトインジェクション）をテストしているか
• エージェントの行動ログを事後に監査できる仕組みがあるか
• 想定外の動作が発生したとき、自動的に処理を停止するフェイルセーフが設定されているか
• 利用する基盤モデルの提供元が、エージェント向けのセキュリティ評価体制を持っているか

OpenAIがPromptfooを買収してOpenAI Frontierに統合しようとしているのは、これらの問いに「プラットフォーム側が答えを提供する」という方向性だ。ただし、プラットフォームが安全性を担保しても、権限設計や運用フローは導入側の責任として残る。

「攻撃側にAIがあると攻撃が数分で完了し得る」——Kevin Mandia（Armadin創業者、元Mandiant CEO）がCNBCで語ったこの言葉は、防御側の時間感覚が根本から変わったことを示している。AIエージェントの導入を検討する組織は、セキュリティ評価をリリース後の後付けではなく、設計段階の前提条件として組み込む必要がある。

まとめ

AIエージェントが「質問に答える」から「代わりに動く」へ移行した瞬間、セキュリティは後から考える話ではなく、導入可否を決める条件になった。OpenAIのPromptfoo買収とArmadinの約190億円調達は、その条件が市場でも価格付けされ始めたことを示している。導入を検討するなら、権限設計・ログ監査・フェイルセーフの3点を仕様書に書き込む段階から始めるべきだ。