この分野が重要な理由

エージェントが人に代わってツールを直接呼び出し始めると、これまでにない攻撃面が開く。チャットボットがテキストを返すだけなら、誤った回答が最悪の結果だった。しかしエージェントがデータベースを照会し、APIを叩き、ファイルを削除する瞬間から、悪意ある一行の指示がそのまま実際の行動に翻訳される。2026年、三菱UFJ銀行(MUFG)は約3万5000人の従業員へChatGPT Enterpriseを段階導入し、自社を「AIネイティブ」企業と位置づけた。OpenAIのCodexは週間アクティブユーザー300万を超えた。規制の厳しい金融まで実務にエージェントが入り込むと、その実行そのものをランタイムで守る人材が必要になる。

問題の大きさは数字が語る。プロンプトインジェクションは2026年もOWASP LLM脆弱性の第1位で、本番AI導入の73パーセントで観測された。OWASP Agentic Top 10が挙げる上位3つのリスクは、プロンプトインジェクションとジェイルブレイク、メモリ汚染、そしてツールやプラグインの誤用であり、従来のセキュリティツールではどれもまともに捕捉できない。MCP(Model Context Protocol)が広がるにつれ、悪性のMCPサーバーがツール記述(tool description)の中にインジェクションのペイロードを潜ませる攻撃が現れた。ツール記述は通常、信頼されたコンテンツとして扱われるため、コンテンツフィルタをそのまますり抜ける。AIエージェントセキュリティの専門家は、まさにこの地点、エージェントが何をしてよく何をしてはならないかをランタイムで強制する人だ。

必要なスキル

核は4つある。第一に、ランタイム権限スコーピングだ。エージェントごとに専用の識別子を与え、狭いツール許可リスト(allowlist)と、作業が終われば失効する時限付き資格情報で権限を細かく分割する。エージェントが存在すら知らないツールは誤用できない、という原則が出発点になる。第二に、MCPツール権限のハードニングだ。接続するMCPサーバーとツール記述を検証し、ツール応答とメタデータを信頼境界の外に置いて、インジェクション文字列が実行指示へ昇格しないよう防ぐ。

第三に、プロンプトインジェクションからツール誤用へと続く連鎖を断つ防御だ。インジェクションは特定モデルの欠陥ではなく、コンテキストウィンドウに権限レイヤーが欠けているという構造的な空白を突くため、GPTでもClaudeでもGeminiでも等しく露出する。防御はプロキシ、境界タグ、ランタイムシールド、最小権限のようにインフラ層で実装しなければならない。第四に、エージェント実行のサンドボックス化だ。FirecrackerやE2BのようなマイクロVM、gVisor、ワークスペースを隔離したDockerサンドボックスで、ゲストカーネルの不具合がホストへ届かないようにし、コード実行とネットワークを分離する。ソフトスキルでは攻撃者の思考と脅威モデリングが決定的だ。設計段階でエージェントのツール呼び出し経路を頭の中で先に悪用してみる必要がある。

キャリアパス

多くはAIセキュリティアナリストやジュニアのセキュリティエンジニアから始まり、AIエージェントセキュリティエンジニアへ移る。シニア段階ではエージェント実行環境全体の脅威モデルを担うスタッフAIセキュリティエンジニア、リード段階ではエージェントセキュリティチームを率いる役割へ続く。需要は数字に表れる。2026年、エージェントAIの求人は前年比280パーセント増え、AIセキュリティエンジニアの総報酬はジュニアの約15万ドルから、スタッフ・プリンシパルの70万ドル超まで開く。エージェント安全に特化した人材は、LLM専門のアプリセキュリティ採用より20から30パーセントのプレミアムを得る。

日本市場では、新卒採用でセキュリティとAI基盤の人材を厚く採る大手SIerやWeb企業に加え、三菱UFJ・三井住友・みずほといったメガバンクが、規制対応を配備条件とするためツール権限の統制とサンドボックス化の力量を別枠で求めている。海外に目を向ければFAANG級が社内のエージェント実行セキュリティチームを急ピッチで組み、OpenAIは「Security Engineer, Agent Security」のような職を常設で募り、Anthropicをはじめとする大手ラボが同じ層を積極的に集める。エージェントがより多くの権限を握るほど、その実行を守る人の席はより速く空いていく。