Microsoftは2026年11月10日（米国時間）、AIモデルの内部に仕掛けられるバックドアに関する研究を、Microsoft Security Blogで発表した。Microsoft Researchの脅威研究が、高性能なエージェントモデルを、10個未満のニューロンの編集で「スリーパーエージェント」に変えられることを示したという。
Microsoftは、この手法を悪用している攻撃者は確認していないと明記している。一方で、エージェントが管理者に近い権限で無人稼働する場面が増えており、モデルの重みの完全性は、サードパーティ製でも自社開発でも安全上の課題になると述べている。
何が示されたのか
研究では、短いペイロードを重みに埋め込むことで、通常の評価はすべて通過するのに、特定のトリガー文字列が文脈に現れたときだけ、攻撃者のコマンドを実行するエージェントを作れるとされた。実行時には、エージェントが環境内で持つ権限がそのまま使われる。
この攻撃に必要なのは推論用の計算資源だけである。モデルを動かせるだけのメモリがあるマシンなら、重み空間へのバックドア設置にも足りるという。また、この脅威の大半を、Claude CodeとOpus 4.5が自律的に発見したことも明かされた。
一方で、同じフロンティア級のエージェントを監査役に使えば、異常な重みの編集を見つけられることも分かったという。Microsoftは、AnthropicやMITの関連研究にも触れ、オープンウェイトをコードと同様に監査する必要があると指摘している。
Microsoftが示した対策
対策は、多層防御の一部として、目的別に整理されている。モデル導入前と更新のたびに、チェックポイントを宣言された基盤モデルと差分比較し、少数の重みを大きく変えている箇所を外れ値として検出することが基本になる。基盤モデルを検証できないモデルは、受け入れないよう勧めている。
また、第三者のモデルは監査に合格するまで信頼せず、元の公開元からのみ入手し、公開されたハッシュを確認することを求めている。承認済みのモデルは、アクセス制御された非公開のレジストリで管理し、エージェントが実行時に公開ハブから直接取得することは止めるよう示している。
エージェントが侵害された場合に備えた封じ込めも挙がっている。最小権限での実行、生成コードの隔離環境での実行、外向き通信の制限、影響の大きいツール呼び出しへの人の承認などである。Microsoftは自社製品として、Defender for CloudのAI model securityやAI security posture management、Defender for Endpointなどの機能も案内している。なお、監査に合格してもリスクが下がるだけで、安全性が保証されるわけではないとも明記されている。
日本企業への示唆
生成AIやエージェントを導入している企業が最初に確認したいのは、使っているモデルの入手経路である。公開ハブから直接取得している場合は、元の公開元か、ハッシュは検証されているか、更新時に差分を確認しているかを点検したい。
次に、エージェントに与えている権限を見直したい。モデルが侵害された場合の被害は、エージェントの権限で決まるためである。コマンド実行や外部送信など、影響の大きい操作に人の承認を挟めているかが、実務上の分かれ目になる。
なお、今回の内容は研究成果であり、悪用の事実はまだ確認されていない。過度に不安視する必要はないが、AI基盤の調達ルールに、モデルの出所と監査を加える検討は早めに始めたい。
ITトレンドでEDRについてチェック！[EDR製品おすすめ16選を一覧表で比較！機能や選び方、メリットも解説]
AIエージェントの防御策はこちらもチェック！[クラウドストライクがAIエージェント時代の防御策5つを発表——攻防一体の「SafeMind」やエージェント保護の「Falcon Guardian」]
まとめ
Microsoftは、10個未満のニューロン編集でAIエージェントを、特定の合図で動くスリーパーエージェントにできると示した。悪用は確認されていないが、評価を通過してしまう点が課題である。
モデルの入手経路の管理、重みの監査、エージェントの最小権限化が、対策の柱になる。まず自社のAI基盤での調達ルールを確認したい。
