AIエージェントは、数百万の企業ユーザーに代わってコードを記述し、データベースを照会し、クラウドAPIを呼び出しています。CrowdStrikeは、これらのエージェントのいずれかがタスクの最中に乗っ取られた場合の対策を考案したと考えています。
2026年9月1日のFal.Con 2026で、同社は企業エンドポイント上で動作するAIエージェントを監視・管理するために特化して構築されたランタイムセキュリティレイヤー「Falcon Guardian」を発表しました。この製品はCrowdStrikeの既存のFalcon AI検出・対応フレームワーク内に組み込まれており、その初の公開テストはステージングされたスライドショーではなく、リアルタイムの攻撃ブロックでした。
デモでは何が起きましたか
CrowdStrikeが説明したシナリオでは、開発者がプログラミングタスクを自動化するためにローカルで実行する人気のAIコーディングアシスタントであるAnthropicのClaude Codeが対象でした。デモ中、エージェントは悪意のある間接的なプロンプトインジェクションを受け取り、エージェントのコンテキストウィンドウのどこかに埋め込まれた隠された指示によって、オペレーターが一切許可しなかった操作を実行させられました。
その不正な何かが、マシンに保存されたAWS資格情報を外部に送信していました。
Falcon Guardianは、資格情報がエンドポイントから送出される前にその試みを阻止しました。システムはこの出来事に深刻なリスクスコア90を割り当て、異常なツール呼び出しをフラグし、実行をブロックしました。さらに、Guardianは同じ環境内の他のエージェントにおいて同様の攻撃試み12件を特定し、いずれのマシンからも資格情報が漏洩することなくすべてを阻止しました。
攻撃の種類自体である間接的なプロンプトインジェクションは、エージェントがウェブページ、ファイル、またはコードのコメントなどの外部ソースからコンテンツを読み取り、そのコンテンツに正当なコンテキストとして隠された指示が含まれているというものです。エージェントは役に立つようにプログラムされているため、その指示を実行します。人間のオペレーターはこのプロセスを一切見ることはできません。
Falcon Guardianが実際にどのように機能するか
Falcon Guardianは、CrowdStrikeのエンドポイント検出・対応の原則をAIエージェント層に拡張します。このシステムはネイティブフックを使用して、プロンプトとツール呼び出しをリアルタイムで監査します。エージェントがアクションを試みた場合、Guardianは呼び出しが実行される前にポリシーに準拠しているかを確認します。呼び出しがプロンプトインジェクション、不正な資格情報アクセス、または範囲外のAPIリクエストと見なされた場合、システムはそれをブロックし、インシデントをログに記録します。
また、発見も処理します。CrowdStrikeは、企業ネットワーク上で1億6千万以上のエージェントインスタンスを監視しており、その可視性を通じて1,800以上の異なるエージェントアプリケーションを特定しました。その多くは、公式なIT承認なしに個人の開発者やチームによって展開されたシャドウエージェント、すなわちツールに該当します。
この製品は、環境全体で動作する既知および未知のエージェントの発見、それらエージェントの行動に対するリアルタイムの可視化、ポリシーの適用と脅威のブロックを実現するアクティブな制御の3つのコア機能領域でリリースされました。CrowdStrikeは、AWSおよびAnthropicとの既存のパートナーシップがアーキテクチャの基盤を提供する中、今後の機能として追加の統合も発表しました。
Falcon Guardianは、エージェントの行動をユーザーのIDとランタイムテレメトリーに関連付けるため、セキュリティチームは匿名のログエントリを眺めるのではなく、どの人間のオペレーターのエージェントが何を試みたのかを明確に特定できます。
これが企業のセキュリティチームにとって重要な理由
モデル層の防御、つまりAIプロバイダーがモデルに組み込む安全対策は、意図的な攻撃者に対する最終防衛線として設計されたものではありません。これらは回避され、操作されたり、微調整されたモデルやオープンソースモデルでは単に存在しない場合もあります。CrowdStrikeがFalcon Guardianで主張しているのは、エンドポイントレベルでのランタイム制御が、モデルベンダーが組み込んだものとは無関係に独立して存在する必要があるということです。
セキュリティ運用チーム向けに、この製品は従来のEDRが示すことができない可視性のギャップを解消します。従来のEDRは、プロセスがファイルにアクセスしたことは把握できますが、エージェントが要約を求められたマーカーダウン文書に隠されたプロンプトによって操作され、そのファイルにアクセスしたことは把握できません。