9月4日、Stack Overflowが「How to build a secure-by-default AI coding agent」と題した記事を公開した。Anaconda AIプロダクト担当VPエンジニアリングのGreg Jennings氏へのインタビューをもとに、セキュアバイデフォルトなAIコーディングエージェントの設計原則と、AnacondaがAIソフトウェアサプライチェーンのセキュリティをどう確保しているかが詳しく論じられている。

「プロンプトはセキュリティガードレールではない」

Stack OverflowのポッドキャストホストRyanが、AnacondaのAIプロダクト担当VPエンジニアリングのGreg Jennings氏と対談した内容が記事の核心だ。

Jennings氏が強調する最重要ポイントは、プロンプトをセキュリティ制御として扱ってはならないという点である。AIコーディングエージェントを開発する際、「危険な操作はしないでください」といった指示をシステムプロンプトに埋め込むだけでセキュリティが担保されると考えるエンジニアは少なくない。しかしプロンプトはあくまで自然言語であり、モデルの挙動を確率的に誘導するものに過ぎない。厳密なアクセス制御やサンドボックス、権限分離といった従来のセキュリティ設計の代替にはなり得ない。

この視点は、AIエージェントが「コードを書く」だけでなく「実行する」「ファイルシステムにアクセスする」「外部APIを呼ぶ」といった副作用を持つ操作を担うようになった現在、特に重要性を増している。

AIソフトウェアサプライチェーンのリスク

Anacondaは、Pythonデータサイエンス・機械学習のエコシステムにおける基盤プラットフォームとして知られ、セキュアなソフトウェアサプライチェーンのガバナンスとエンタープライズAIインフラを提供している。

Jennings氏は、AIコーディングエージェントが依存するパッケージやモデルそのものが攻撃対象になり得る点を指摘する。従来のソフトウェア開発でもサプライチェーン攻撃は問題になってきた。代表的な事例として、PyPIやnpmへの悪意あるパッケージ混入がある。Open Source Security Foundation（OpenSSF）やSLSA（Supply chain Levels for Software Artifacts）フレームワークはこうしたリスクへの業界的な対応として知られているが、AIエージェントの文脈ではさらに問題が複雑になる。AIエージェントはコードを自律的に生成・実行するため、汚染されたパッケージを取り込むリスクが人間の開発者よりも高い。エージェントは「怪しいパッケージ名だな」という直感を持たないからだ。

元記事ではAnacondaがこのサプライチェーンリスクへの対処を強化していると紹介されているが、具体的な買収先については元記事中で明示されていないため、ここでは言及を留保する。

セキュアバイデフォルト設計の実践

記事ではAnacondaのアプローチとして、以下の考え方が示されている。

• デフォルト状態で安全であること。オプトインでセキュリティを有効にする設計ではなく、何も設定しなくても安全な状態が基本となるよう設計する。
• プロンプトレベルの制御に頼らず、インフラレベルの権限分離やサンドボックス実行環境を組み合わせる。
• AIエージェントが利用するパッケージソースを管理・検証済みのリポジトリに限定する。

「セキュアバイデフォルト」という設計思想は、NISTのセキュアソフトウェア開発フレームワーク（SSDF）でも中核原則として位置づけられているものだ。従来のソフトウェア開発における実績ある概念を、AIエージェント固有のリスクモデルに適用している点がJennings氏の議論の要点といえる。

具体的な実装面では、権限分離の考え方が重要になる。AIエージェントに与える権限は「最小権限の原則（Principle of Least Privilege）」に従い、タスク遂行に必要な最小限に限定する。たとえばファイル読み取りのみが必要なエージェントに書き込み権限を与えない、ネットワークアクセスが不要な処理はオフラインサンドボックスで実行するといった判断がこれにあたる。サンドボックス実行環境としては、コンテナ技術（DockerやOCI準拠ランタイム）やgVisorのようなカーネルレベルの隔離機構の活用が代表的な選択肢として挙げられる。

パッケージソースの管理についても、単に「信頼できるリポジトリのみを使う」と宣言するだけでなく、パッケージのハッシュ検証やプロビナンス（来歴）情報の確認を自動化するパイプラインを整備することが実践上の要点となる。AnacondaはPythonエコシステム向けにAnaconda.org上でキュレーションされたチャンネルを提供しており、エンタープライズ向けには検証済みパッケージの提供をサービスの柱の一つとしている。

AIコーディングエージェントの設計に携わるエンジニアにとって、プロンプト依存のセキュリティ設計の限界を再認識する契機になる内容だ。

詳細はHow to build a secure-by-default AI coding agentを参照していただきたい。