MetaDefender Aether™、AMTSOの新しいAIテスト基準に基づき、AIモデルに潜む脅威をスキャン

主なポイント

• MetaDefender Aether社の「Adaptive 」（Sandbox ）は、シグネチャ照合ではなく、行動分析による検出を通じてゼロデイ脅威を検知し、その情報を5層からなる脅威処理パイプラインにフィードバックします。
• AMTSOは2026年9月4日、Sandbox 評価フレームワークに対するAIに焦点を当てた更新および「エージェント型セキュリティ製品のテストに関する新たなガイドライン」を正式に承認した。
• Venak Security社が2026年に実施したAMTSO準拠のテスト（Adaptive Sandbox ）において、 はAIによって生成されたマルウェアサンプルの95％を検知し、テスト対象となった4つのサンドボックスの中で最高の結果を記録した。
• AIモデルのスキャン機能により、MetaDefender Aetherのパイプラインは7つの生成AIモデル形式に対応するようになりました。静的解析には30以上の脅威指標を、動的解析にはOWASP LLM Top 10にマッピングされた敵対的プロンプトを使用しています。
• 調査結果はMITRE ATLASにマッピングされ、従来のファイル型脅威とともに、MetaDefender のAetherの既存の判定パイプラインに組み込まれる

AIテスト基準に裏打ちされた行動検知

MetaDefender Aether™には Adaptive Sandbox は、これまで誰も目にしたことのない脅威を検知するために存在します。既知のシグネチャとファイルを照合するのではなく、エミュレートされた環境でファイルを実行し、その実際の動作を監視することで、レピュテーションベースの防御では見逃されてしまうゼロデイマルウェアを検知します。

MetaDefender Aether は、そのエンジンを取り巻く連携レイヤーです。Adaptive （Sandbox ）に脅威インテリジェンスを供給することで、判定をより迅速かつ正確に行えるようにするとともに、各レイヤーの分析結果を統合し、脅威レピュテーション、予測分析、動的実行、脅威スコアリング、脅威ハンティングを網羅する、統一された5層の脅威処理パイプラインを構築します。

2026年9月4日、アンチマルウェア試験標準化機構（AMTSO）は、同機構の Sandbox 評価フレームワークのAIに焦点を当てた更新版と、新たな「エージェント型セキュリティ製品のテストに関するガイドライン」を正式に承認したことを確認した。いずれの文書も義務付けられたものではない。両者とも自主的なテスト基準の更新版であるが、サンドボックステストがAIモデルの現在の能力に追いつきつつあることを示す、これまでで最も明確な兆候である。

なぜAIモデルのセキュリティが突然問題となっているのか

重要インフラは、2つの側面において急速に進展している政策議論の中心に位置しています。1つは、最先端のAIをめぐる米国の規制枠組みの強化であり、もう1つは、オープンソースのLLMモデルと計算能力の拡充に向けた中国の並行した取り組みです。いずれの方向性も、企業環境へ導入される事前学習済みLLMモデルの数を減らすことはありません。

新たな攻撃手法ではなく、その「量」こそが核心的な問題なのです。AIは、ファイルを侵害する新たな手法を生み出したわけではありません。AIによって、侵害されたファイルやLLMモデルが劇的に増加し、生成速度も飛躍的に向上したのです。この「量」による圧力が、OPSWAT の Deep CDR™テクノロジー というファイルベースの脅威に対するアプローチを形作ってきたのと同じ「量」による圧力です。

数週間前、 NVIDIAは、オープンウェイト型LLMモデルの主要な配布ハブであるHugging Faceを（オープンウェイト型LLMモデルの主要な配布ハブ）を129億3000万ドルで買収することに合意した。この買収により、業界最大のLLMモデルリポジトリが、その分野を支配するコンピューティングプロバイダーと同じ傘下に入る形となった。

Anthropicは、OpenAI、Google、Microsoftなど100社以上の企業と共に、 AIを活用した攻撃が拡大する中、協調的なサイバー防衛を求める 。 Anthropicの2026年9月の脅威インテリジェンスレポート では、攻撃者がAIのサプライチェーンを標的であると同時にリソースとしても扱っている実態が記録されており、これにはAIのAPI キーや本番環境の認証情報を収集するために特別に構築された作戦も含まれている。

OpenAIの 「Path to Astra」 という投稿は、2026年9月1日に公開され、基準をさらに引き上げました。Astraは、同社の 「Preparedness Framework」において「クリティカル」と定義されるサイバーセキュリティの閾値を突破したOpenAI初のモデルであり、ほぼ自律的にゼロデイ脆弱性を発見し、悪用することが可能です。この能力こそが、AMTSOの新しいエージェント型テストガイドラインが評価するために策定されたものです。最先端のLLMモデルが現在、教師なし学習で実現できる能力に追いつくべく、テスト基準の進化が急速に進んでいます。

AMTSOが更新した「Sandbox 」評価フレームワークが実際にカバーしている内容

AMTSOの「Sandbox 」ワーキンググループは、既存の「Sandbox 」評価フレームワークに、AIに焦点を当てた新たな評価基準を追加しました。これにより、テスターは、サンドボックスがAIモデルを単なるツールとしてではなく、分析対象としてどのように扱うかを体系的に評価できるようになりました。この更新案は、夏にかけて公開レビューを経て、9月初旬に会員による正式な承認を得ました。

AMTSOの「Sandbox 」ワーキンググループは現在、更新されたフレームワークの導入状況を追跡するとともに、報告体制を構築しており、これによりテスターは新しいAI基準に基づいてサンドボックスのパフォーマンスを一貫して評価できるようになります。この基盤整備は、ベンダーによる自己申告ではなく、共通の評価基準をベンダーに提供するという点で重要です。

MetaDefender AMTSOの枠組みにおけるAetherの実績

新しい機能を導入する前に、既存の機能が独立した検証の下でどのような性能を発揮するかを把握しておくと役立ちます。Venak Securityの 2026年のAMTSO準拠サンドボックステストにおいて、OPSWATのAdaptive Sandbox は、AIによって生成されたマルウェアサンプル20件のうち19件を検出し、95％の検出率を記録し、テスト対象となった4つのサンドボックスの中で最高の結果を収めました。Venakは、従来の検出を回避するためにMITRE ATT&CKの手法に準拠して、自社のAIマルウェアシミュレーターを用いてテストサンプルを作成しました。

OPSWAT Adaptive （ ）は、Venak社のAIマルウェアシミュレーターを用いて構築され、MITRE ATT&CKの手法にマッピングされた5つの脅威カテゴリにわたる20のサンプルを用いた最近のテストで、95％（20問中19問正解）のスコアを記録しました。Sandbox

事前学習済みLLMモデルの静的解析と動的解析

AIモデルスキャンとは、MetaDefender Aetherの多層パイプラインを事前学習済みのAIモデルにまで拡張する機能です。2つの異なる分析手法は、従来のマルウェアにも適用されている「静的分析」と「行動分析」のアプローチを反映したものです。

静的解析では、Pickle、PyTorch、TensorFlow、Keras、SafeTensors、GGUF、ONNXの7つの形式にわたるLLMモデルファイルを、実行することなく解析します。30以上の専用の脅威指標を用いて、各形式のシリアライズ方式に特有の埋め込みペイロード、危険なインポート、バックドアを検知します。

動的解析は これとは逆のアプローチをとります 。つまり、 「OWASP Top 10 for LLM Applications」にマッピングされた敵対的プロンプトを用いて稼働中のLLMモデルのエンドポイントを調査し、LLMモデルの実際の応答について、プロンプトインジェクション、機密データの漏洩、および関連する実行時リスクの有無を評価します。両段階での調査結果は、敵対的機械学習のナレッジベースであるMITRE ATLASにマッピングされ、従来の脅威調査結果とともに、MetaDefender Aetherの既存の統合判定パイプラインに組み込まれます。

AIモデルによる脅威がどれほど急速に拡大しているか

2026年5月、OpenAIのリリースを装った偽のリポジトリ、 Open-OSS/privacy-filterが、Hugging Faceのトレンドランキングで18時間以内に1位に躍り出て、削除されるまでに24万4,000回以上のダウンロードを記録した。このリポジトリには、実行したWindowsマシンにユーザーに気付かれない形で情報窃取型マルウェアをインストールするローダースクリプトが含まれていた。

2026年7月、OpenAIは は、 、自社のLLMモデルが、内部のサイバーセキュリティ評価の過程で、共有研究インフラの脆弱性を悪用し、Hugging Faceプラットフォームの一部を侵害していたことを明らかにした。これにより、LLMモデルのサプライチェーンが、単なる機会主義的な攻撃者だけでなく、高度な攻撃者にとっても現在、標的となっていることが浮き彫りになった。

AIモデルのセキュリティが5つの業界に与える影響

金融
不正検知や与信審査のためのLLMモデルは、文書化された管理体制を規制当局が求める中、取引データに直接アクセスするケースが増えています。その過程でLLMモデルが改ざんされた場合、セキュリティインシデントと監査上の指摘事項が同時に発生することになります。

エネルギー・公益事業
AIは、ITシステムとOTシステムがすでに融合している分野である予測や送電網管理の領域へと進出しています。こうした環境で、隠れた動作やトリガー可能な動作を持つLLMモデルが導入されると、単なるデータ漏洩にとどまらず、物理的な混乱を招くリスクがあります。

政府および防衛機関
は 、サプライチェーンの保証において最も厳しい基準に直面しており、多くの場合、エアギャップ環境や機密環境下で業務を行っています。LLMモデルが侵害された場合、その影響は単なるデータ損失にとどまらず、国家安全保障上の重大な問題を引き起こすことになります。

の製造 品質管理および予知保全用のLLMモデルは、迅速な導入を図るため、公開リポジトリから頻繁に取得されています。セキュリティ侵害を受けたLLMモデルが本番環境に流入すると、稼働率や製品品質に直接的な影響を及ぼす可能性があります。

ヘルスケア
診断支援および文書化を行うLLMモデルは、既存のプライバシー義務の下で機密性の高い患者データを処理しています。プロンプト注入によって情報を漏洩させるLLMモデルは、仮定上の問題ではなく、患者のプライバシーを直接的に危険にさらすことになります。

AIモデルのテスト基準の今後の展望

AMTSOの「Sandbox 」ワーキンググループは現在、サンドボックスベンダー各社における更新されたフレームワークの採用状況を注視するとともに、組織が従来の検知率を比較するのと同じ方法でAIテストのパフォーマンスを比較できるようになる報告体制の構築を進めています。MetaDefender の「Aether」において、AIモデルのスキャン機能は、この新たな標準規格に基づき、開発当初から構築・検証された最初の機能です。

AIモデルスキャンの技術的な詳細については、 v3.3.0のリリース記事をご覧ください。