LangflowなどAIエージェント基盤に脆弱性報道──「プロンプト対策」だけでは守れない段階へ

AI Agent Storeは、IBM傘下のLangflowに関する重大な脆弱性や、LangChain、LangGraph、CrewAI、AutoGen、Microsoft Agent Framework、Google ADKなど複数のエージェント基盤に関する脆弱性報告を取り上げた。報道では、既定設定のデプロイやフレームワーク内の信頼境界が攻撃面になり得るとされる。AIアプリの安全対策は、プロンプトインジェクション対策だけでなく、通常のミドルウェア管理、パッチ、隔離、監視へ広がっている。

何が問題なのか

エージェント基盤は、LLM、ツール、認証情報、外部API、社内データをつなぐ中継層だ。ここに脆弱性があると、モデルの回答品質とは別に、コード実行、権限昇格、情報漏えいにつながる可能性がある。

報道では、Langflowの一部バージョンで未認証の遠隔コード実行につながる恐れがあり、CISAの既知悪用脆弱性カタログに追加されたと説明されている。また、複数のエージェントフレームワークで、プロンプト制御の内容が信頼済みロジックへ入り込む問題が指摘されたという。

企業のAIチームとセキュリティチームが分断されると危ない

多くのAI PoCは、少人数の開発チームが素早く組み立てる。だが、エージェント基盤が本番ネットワーク、社内SaaS、クラウド権限へ接続されると、もはや「実験用ツール」ではなく重要ミドルウェアだ。SCA、脆弱性管理、SBOM、監査ログ、ネットワーク分離の対象に含める必要がある。

特にMCPサーバー、RPA、ブラウザ操作、コード実行環境を組み合わせる構成では、AIが直接触れる範囲を最小化し、失敗時に止められる制御面を用意したい。

注意点

個別のCVE番号、影響バージョン、修正版はベンダー公表情報で確認する必要がある。この記事の要点は、特定製品だけでなく、エージェント基盤全体を通常のソフトウェアサプライチェーンとして扱うべき段階に入ったことだ。

参考：AI Agent Store