8月11日、Techstrong AIが「Uber Open-Sources Tool to Catch Agentic Blunders Legacy Security Misses」と題した記事を公開した。UberがAIエージェント向けに自社開発したセキュリティシステム「Agentic AI Detection and Response（ADR）」をオープンソースとして公開したことについて詳しく紹介されている。
50,000以上のエージェントを管理するUberが直面した課題
Uberは社内で5万以上のAIエージェントを稼働させている。2025年5月には1日あたり約100セッションだったエージェントの利用が、10月には1日1万セッション超にまで急拡大した。設計・開発・テスト・デプロイまで、社内の開発ライフサイクル全域にエージェントが関与している。
この急拡大に伴い、エージェント固有のセキュリティリスクが顕在化した。エージェントは破壊的なコマンドを実行したり、プライベートなデータをGitHubのようなパブリックな場所にコピーしたり、削除すべきでないファイルを消したりする可能性がある。UberがOpenClaw（社内エージェント基盤）を早期展開した際にも、この種の問題に直面している。
問題の本質をUber CTO Praveen Neppalli氏はLinkedInの投稿でこう指摘した。
「インテント（意図）――悪意のある行動と無害な行動を分けるもの――は、従来のセキュリティツールには見えない」
従来のEDR（Endpoint Detection and Response）はエージェントをブラックボックスとして扱い、ファイルへの書き込みやネットワーク呼び出しはログに残せても、プロンプトの内容やその背後にある推論ロジックは把握できない。
ADRの仕組み：2段階アーキテクチャ
Uberは30,000以上のエージェントエンドポイントを抱えている。これは主に開発者のmacOSおよびLinuxラップトップを指すものであり、前述の「5万以上のAIエージェント」とは異なる概念だ。1台のエンドポイント（端末）上で複数のエージェントが稼働しうるため、エンドポイント数とエージェント数は一致しない。全アクションをLLMで解析するのはコスト的に現実的ではないため、ADRは2段階のアーキテクチャを採用している。
- 高再現率トリアージ：まず全アクションを軽量に走査し、疑わしいセッションを絞り込む
- 深いエージェント推論：疑わしいと判定されたセッションのみLLMで詳細分析。この際、ソースコード・脅威インテリジェンス・ポリシーコンテキストも合わせて参照する
ADRが追跡するのは個別のツール呼び出しではなく、「プロンプト → 推論 → ツール呼び出し → 最終結果」というエージェントサイクル全体のワークフローだ。
実績：資格情報漏洩を数百件検出
Uberが10ヶ月間の本番運用で得た知見として、プロンプトインジェクションよりも資格情報（クレデンシャル）の漏洩の方が頻繁に発生していたという点は興味深い。ADRは数百件のクレデンシャル露出ケースを検出している。
具体的な数字も公表されている。
- ラップトップ外へコピーされそうになったシークレット情報の97.2%をブロック
- 公開プロンプトインジェクションベンチマーク「AgentDojo」の93タスク全てに対応し、誤検知はわずか3件
OSSとして公開されたコンポーネント
GitHubリポジトリで公開されているのは以下の通りだ。
- 検出フレームワーク：エージェントの行動を観測・分析するオブザーバビリティ基盤。macOS・Linux・Windowsに対応し、AIコーディングツール7種をサポート
- ADR-Bench：エンタープライズ向けエージェントAIセキュリティを検証するベンチマーク。300以上のタスク、133のMCPサーバー（Model Context Protocolサーバー）を含み、既知のエージェント攻撃手法17種を網羅
なお、防御（Prevention）コンポーネントは今回の公開対象に含まれていない。元記事では、検出基盤を先行公開することでコミュニティからのフィードバックを得ることが目的の一つとされており、防御コンポーネントの公開時期については明言されていない。OSSとして現時点で利用できるのは「検出・観測・ベンチマーク評価」の領域であり、「インシデントの自動阻止」を担う部分はUber社内にとどまっている点は把握しておきたい。
また、UberはNVIDIAが主導するAI脅威検出のエコシステム構築イニシアチブ「Open Secure AI Alliance（OSA）」にも参加している。
エンジニアが押さえるべき視点
ADRが興味深いのは、「エージェントの何をセキュリティの対象とするか」という設計思想にある。従来のセキュリティツールが「何をしたか（アクション）」を見るのに対し、ADRは「なぜそれをしたか（推論・プロンプト）」まで追跡する。エージェントが大規模に普及しつつある現在、このレイヤーのセキュリティを誰かが担わなければならないという問題意識は、エージェントを本番運用しているチームであれば共感しやすいはずだ。
詳細はUber Open-Sources Tool to Catch Agentic Blunders Legacy Security Missesを参照していただきたい。
