情報通信研究機構（NICT）
AIエージェントのメール試験は攻撃から始まる
AIエージェントをメール業務に入れる前に必要なのは、便利さの実演ではなく、敵対的なメールでどこまで壊れるかを測る試験である。NICTとMITREは、メールを読み書きし外部ツールと連携するエージェントを隔離環境で攻撃する競技を、24時間の日程で開く。攻撃を拒み、権限と操作記録を管理できれば、経理部では請求書メールの仕分けを任せられる可能性がある。
メールを読むだけなら、間違いは人が気づいて止められる。だが、メールを読み、社内データを調べ、外部サービスまで操作するAIエージェントに業務を任せると、悪意あるメールの指示で本来しない処理をしたり、守るべき情報を外へ出したりし得る。導入する側は、どんな攻撃が通用し、対策がどこで止まるのかを知らないまま、エージェントに権限を渡すことになる。
生成するAIと動かすAIの違い
従来の生成AIは、利用者の指示に応じて文章などを作るものだった。AIエージェントは、メール、社内データ、外部サービスをまたいで処理を実行する。間違った判断が、情報漏えいや不正な操作に直結し得る。
メールは難しい入口である。外部から文章や添付物が届くため、信頼できない指示が混ざりやすいからだ。機能が動くかを確かめるだけでは安全性は測れない。入力、権限、外部ツールとの接続を攻撃者が組み合わせたとき、何が起きるかを試す必要がある。
隔離した環境で攻撃を集める
NICTとMITREは、メール業務を担うAIエージェントを攻撃する競技「AI Breach Challenge」を立ち上げる。第1回は「AI Breach Challenge 2026: Email Agent Security」で、2026年12月16日から17日まで、米国バージニア州アーリントンで開く予定だ。競技時間は24時間である。
参加者は主催者が用意する隔離・制御された環境で、メールの読み書きや関連ツールと連携するエージェントに挑む。設定された複数の仕事を対象に、意図しない動作をさせたり、保護された情報へアクセスさせたりする攻撃手法を検証する。
狙いは攻撃の成功例だけではない。NICTとMITREは、ツールや情報をつないだときの弱点と失敗パターン、防御策が効く場面と限界を調べ、評価や防御の技術に使う計画である。同じ条件で攻撃者の発想を集めるため、弱点を再現し、比べやすくなる。NICTは2025年2月にAIセキュリティ研究センターCREATEを設置しており、今後は別の用途でも競技を続ける予定だ。
経理部で任せられる仕事
この取り組みが続き、再現できる攻撃パターンと試験方法が得られれば、AIエージェントは文章を生成するソフトではなく、権限を持つ業務システムとして導入前に安全性を検査される対象になる。もっともらしい応答だけを安全の根拠にする評価や、人がメールの指示、添付物、処理結果を毎回確認する運用は通用しにくくなる。
経理部では、担当者が請求書メールを一通ずつ転記せず、検査済みのエージェントが社内規則に沿って仕分けた候補だけを承認する。そんな光景は、エージェントが悪意あるメールの指示を拒み、権限と操作記録を適切に管理できる場合に限って描ける。見つかった弱点を製品や組織の設定に反映できなければ、攻撃の知識だけが先に増えることになる。