攻撃AIと防御AIを仮想環境で“対戦”させる──クラウドストライク、「Fal.Con 2026」の新製品「SafeMind」などを国内で説明

　クラウドストライクは2026年10月16日、年次イベント「Fal.Con 2026」の発表内容に関する記者説明会を開いた。攻撃側と防御側のAIモデルを仮想環境で繰り返し戦わせて防御力を高める「CrowdStrike SafeMind」をはじめ、端末上で動くAIエージェントを監視する「Falcon Guardian」、AIエージェントに最小権限を適用する「Agentic Identity Provider」などを紹介した。

　SafeMindは、同社が設立した研究組織「Cyber Superintelligence Lab」の成果として生まれた。同ラボにはAI研究者、レッドチームなどの攻撃作戦担当者、インシデント対応担当者が集まり、同社が15年以上蓄積してきた脅威インテリジェンスと侵害対応の知見をモデルの学習に使っている。

　「攻撃者が攻撃に特化した高度なフロンティアAIのモデルを使ってくる中、守る側にも防御に特化したフロンティアAIクラスのモデルが必要だ」と鈴木氏は設立の背景を説明する。

　SafeMindは、攻撃モデル「Red Tempest」と防御モデル「Blue Solano」、両モデルを動かすハーネスで構成する。両モデルはNVIDIAとの連携により、オープンモデル「NVIDIA Nemotron」を使って構築した。ハーネスは2つのモデルをクローズドループの中で稼働させ、継続的に競わせることで双方を改善する。

　利用時は、資産やアイデンティティ、Falconのテレメトリといった自社のデータを投入し、顧客環境を仮想的に再現したデジタルツインを作る。Red Tempestが攻撃に成功すると、Blue Solanoが侵入経路を分析して塞ぎ、Red Tempestは別の経路を探して再び攻撃する。この攻防を繰り返して環境に残る穴を埋めていく。仮想環境で実行するため、年1回の検査ではなく継続的に回せるという。

　同社によると、主要なフロンティアモデルやオープンソースのモデルと比べて、SafeMindは検知率が29％向上し、エンドツーエンドの修復は6倍速く、検知と修復のコストは99％削減した。

　SafeMindは今後、同社のセキュリティ基盤「Falconプラットフォーム」上でネイティブに動作する形で提供する。スタンドアロンのモデルとハーネスは、パートナー向けプログラム「Project QuiltWorks」を通じて提供する予定で、同プログラムにはNTTデータなど国内のパートナーも参加している。

　Guardianは、エンドポイントで動くAIエージェントの振る舞いを監視するAIDR（AI Detection and Response）製品だ。FalconのEDRセンサーが導入済みであれば、追加のエージェントや設定なしで利用できる。

　「AIエージェントに指示すると、端末上にスクリプトが作られてPythonが実行されたり、汚染されたスキルがダウンロードされたりしていることがある。EDRで端末の振る舞いを見ながらAIの振る舞いも見ることで、実際に何が起きたのかまで可視化できる」と鈴木氏は語る。

　あるフォーチュン500企業では、Guardianを稼働させた初日に1万8,000のAIエージェントが見つかった。同社は当初300件程度と見込んでいたという。Codex、Claude Code、Cursorといったツールや、会社が把握していないシャドーAIのエージェントが、稼働状況やリスクの高さとあわせて可視化される。

　Guardianは、許可していないAIツールの利用をブロックを行い、プロンプトに入力されたクレジットカード番号をマスクする。悪意のあるスキルの読み込みや外部への情報送信、権限外の認証情報へのアクセスはスコア化してアラートを出す。ログは同社のSIEM「Next-Gen SIEM」にファーストパーティデータとして取り込まれる。同社の脅威ハンティングサービスの観測では、今年初めてAIによる不審な振る舞いが人によるものを上回り、2.5倍に達したという。

　Agentic Identity Provider（Agentic IdP）は、AIエージェントにアイデンティティを与えて権限を管理する仕組みだ。同社は2026年1月、常時付与の特権をなくす技術を手がけるSIGNALを買収し、人の権限管理をプラットフォームに取り込んでいた。ただ、AIエージェントは誰が使っているのかを特定しないと最小権限を適用できない。

　Agentic IdPでは、Guardianが見つけたAIエージェントを単一のディレクトリに自動登録し、利用者と紐付ける。各エージェントには暗号学的に検証できる「SPIFFE ID」を割り当て、必要なタスクと時間に限った有効期間の短いトークンを発行する。

　デモでは、ユーザーがClaude CodeからAWSに接続し、本番環境のS3バケットにアクセスしようとしてブロックされる様子が示された。そのユーザーには退職予定のフラグが付いており、リスクスコアの上昇を受けてアクセストークンが自動で取り消され、エンドポイントでのClaudeの起動も止められた。どの利用者のどのエージェントがどのリソースにアクセスしてよいかは、事前に定義できる。

　エージェント型SOCの機能強化では、エンドポイント、アイデンティティ、SaaS、クラウド、ネットワークを、複数のAIエージェントが同時に調査する。エージェントは環境に関する単一のメモリを共有し、同社のAI機能「Charlotte AI」が各エージェントにタスクを割り振って結果を統合する。

　「攻撃者は順番に攻撃するのではなく、複数の領域を同時に攻撃してくる。ばらばらの人やAIエージェントで調査していてはスピードが追いつかない」と鈴木氏は説明した。あわせて、データパイプライン製品「Falcon Onum」で、同社が設定を作り込んだ「認定済みデータパイプライン」を提供し、サードパーティログの取り込みを省力化する。

　「Real-Time Supply Chain Attack Protection」は、AIエージェントが自動でダウンロードするオープンソースパッケージを狙った攻撃への対策だ。同社は、北朝鮮の攻撃グループ「Stardust Chollima」が130を超えるAIフレームワークのパッケージを汚染した事例などを確認している。

　悪意のあるnpmやPyPIのパッケージをダウンロード時点でブロックする機能はすでに提供している。今後は、利用を許可するパッケージの事前定義や、公開から一定期間が過ぎたパッケージだけダウンロードを許可する「クールダウン」の設定などを追加する。クールダウンの期間は1時間から30日の範囲で指定できる。

　「パッケージが侵害されると、たいてい1～2日でニュースになる。公開から3日や7日たったものだけをダウンロードさせれば、世界中で安全が確認されたものだけを使える」と鈴木氏は話す。

　質疑応答では、AIの活用で優位に立つとされる攻撃側に防御側が互角に戦えるのかを問う質問が出た。鈴木氏は時期の明言を避けたうえで、「攻撃者だけが有利な状況を打破するためのソリューションだ」と答えた。コストについては「数億円かかっては意味がない」として、開発段階から意識していると述べた。

　SafeMindのスタンドアロン提供は、まずProject QuiltWorksの参加パートナー向けとなる。