AIエージェントとGmail、Slack、Zoomなどのサードパーティサービスとの統合は、セキュリティ攻撃対象領域を劇的に拡大する。セキュリティ企業PromptArmorの新しい研究によると、コネクタ（AIプラットフォームと外部ツールの間の統合ブリッジ）は非常に急速に変化しており、静的なセキュリティ承認は危険なほど時代遅れになっているという。
PromptArmorは、5月中旬から6月末までの6週間にわたり、AIエージェントエコシステム全体の2,517のコネクタを分析した。その結果、931のコネクタ（37パーセント）が期間中に変更されていたことが判明した。コネクタは1,686の新しいツールを蓄積し、1,127のツール説明が書き換えられていた。「宣言された機能に基づくセキュリティの前提は、もはや有効ではない可能性がある」と研究者らは述べている。
Dropboxコネクタは顕著な例だった。調査開始時点では8つのツールを公開していたが、終了時点では24のツールを公開していた。書き込み可能なツールは3つから10に増え、破壊的な可能性のあるツールはゼロから4つに増えた。権限スコープが変更され、モデル指示が通知なしにコネクタの設定に注入されていた。
さらに憂慮すべき発見として、5つのコネクタのうち約2つ（分析した487のClaudeコネクタのうち189）が、主要な統合パートナーを超えて追加のサードパーティAIサービスを呼び出している。Zoomコネクタは問題を明確に示している。ClaudeエージェントがZoomのコネクタを起動して自然言語で会議を検索し、機密データを含むクエリを渡すと、そのデータはZoomの10のAIサブプロセッサのいずれかに転送され、さらに8つの異なるモデルファミリーのいずれかを使用して応答が生成される可能性がある。
Anthropic自身のドキュメントもこの制限を認めている。「接続されたサービスは、独自のインフラストラクチャ上で、独自の条件の下でデータを処理し、米国外に所在する場合もあります」と同社は述べている。「Enterpriseプランの米国のみの推論設定など、Claudeの推論実行場所を制御する設定は、サードパーティサービスの運用場所を変更しません。」
PromptArmorの共同創業者Shankar Krishnan氏は、プライベートデータへのアクセス、信頼できないコンテンツへの曝露、外部通信経路という3つの条件の組み合わせを「致命的な三要素」と表現した。これらの条件が収束すると、「攻撃の爆発半径が爆発的に拡大する」と同氏は述べた。
この研究は、セキュリティチームにとって即座に実用的な意味を持つ。コネクタの機能は、一度承認するのではなく継続的に監視する必要がある。各コネクタのツールインベントリ、特に書き込みツールと破壊的ツールの数は定期的な監査が必要である。また、組織はAIベンダーのセキュリティ管理が、そのコネクタが呼び出すサードパーティサービスにまで及ぶと想定することはできない。
「ほとんどのチームはコネクタを承認する際に、ベンダーがさらに多くのAIサービスを呼び出し、新しいサブプロセッサや条件を追加していることに気づかずに、コネクタを評価し検討しています」とKrishnan氏は述べた。
出典: AIエージェントを外部サービスに接続するとリスク範囲が爆発的に拡大 (The Register, 2026年7月)
雅子 訳