大規模言語モデル（Large Language Model：LLM）は、文章を生成するだけでなく、与えられた目的に応じて処理を組み立て、外部のツールを呼び出し、その結果を受けて次の処理を選ぶ仕組みにも利用されている。

このように、LLMを判断や処理の一部に組み込み、複数の段階を反復しながら目標へ進む仕組みがLLMエージェントである。サイバーセキュリティでは、脅威情報の整理、脆弱性の分析、警告の選別、インシデント対応の支援などへの応用が検討されている。

5.1 LLMエージェントとは

通常のLLMは、入力された指示に対して文章やコードなどを出力する。これに対してLLMエージェントは、周囲の状況を受け取り、利用できるツールを踏まえて処理を選び、実行結果を観察しながら状態を更新する行動ループを持つ。

行動ループは、状況の取得、処理の選択、ツールの実行、結果の観察、状態の更新という流れで構成される。1回の出力で処理を終えるのではなく、得られた結果を次の判断へ利用する点が特徴である。

ただし、LLMを使用したシステムがすべてエージェントに当たるわけではない。LLMの出力がそのまま返され、外部の処理や次の判断へ接続されない場合には、反復的な行動ループは形成されない。

5.2 エージェントを構成する要素

LLMエージェントはLLMだけで動作するのではなく、入力される情報、利用可能なツール、処理の状態、記憶、実行結果を組み合わせて動作する。

表5-1 LLMエージェントを構成する要素

要素	役割
状況・入力	ログ、警告、脆弱性情報、脅威報告など、判断の対象となる情報を与える
LLM	入力された状況を読み取り、次に行う処理や使用するツールを選ぶ
ツール	セキュリティ製品、分析機能、知識ベースなどへ接続し、照会や処理を行う
状態	実行済みの処理、得られた結果、未完了の作業などを保持する
記憶・外部知識	過去のやり取り、インシデント履歴、脅威情報などを必要に応じて取り出す
観察結果	ツールの実行結果や環境の変化を次の判断へ戻す

この構成では、LLMはすべての情報を内部に保持する必要がない。必要な知識を外部から取得し、ツールの実行結果を確認しながら処理を進めることができる。

5.3 単一エージェントと複数エージェント

1つのLLMエージェントがツールを選びながら処理を進める構成を、単一エージェント構成という。処理の流れを比較的単純にできる一方、長い作業では、それまでの状況や判断を一つのエージェントが管理する必要がある。

複数のエージェントに役割を分ける構成を、複数エージェント構成という。脅威情報、脆弱性分析、インシデント対応などを担当するエージェントを分け、結果を一つにまとめることができる。

複数エージェント構成には、中央のエージェントが作業を分解して担当を割り当てる方式、処理結果を順番に受け渡す方式、複数のエージェントが同じ問題を検討して合意を形成する方式などがある。

複数エージェントの役割分担と調整によって、単一エージェントより性能が向上した例も報告されている。一方、複雑な構成が常に良い結果を生むとは限らず、エージェント間の情報伝達、状態の共有、処理の遅延、異なる判断が出た場合の扱いも設計する必要がある。

5.4 サイバー防御での利用

LLMエージェントは、異なる形式の情報を読み取り、分析機能や知識ベースと連携しながら処理を進められる。この性質は、多量の情報を扱い、複数の確認を必要とするサイバー防御の業務に利用できる。

表5-2 サイバー防御におけるLLMエージェントの利用分野

分野	エージェントが支援する処理
脅威インテリジェンス	脅威報告や脆弱性情報から、攻撃手法、関連する識別情報、相互関係などを抽出・整理する
脆弱性評価	コードや脆弱性情報を調べ、問題となる箇所や優先して確認すべき対象を整理する
安全なソフトウェア開発	静的解析などの結果を受け取り、問題の説明や修正のための情報を生成する
侵入検知・監視	ログや警告を分類し、調査対象の選別や関連情報の付加を支援する
インシデント対応	警告の選別、状況の整理、対応手順の選択、記録や報告の作成を支援する
フィッシング検知	文章やWebページなどを分析し、欺瞞に関係する特徴を調べる
コンプライアンス・リスク評価	要求事項とシステムの情報を対応づけ、確認すべき項目を整理する

これらの処理では、LLMが単独で結論を出すだけでなく、外部の分析結果や脅威情報を取得し、根拠となる情報とともに結果を提示する構成が重要となる。

5.5 記憶と外部知識

LLMエージェントの記憶には、現在の作業中だけ保持する短期記憶と、作業を終えた後も情報を保持する長期記憶がある。

短期記憶は、現在の会話や処理の経過を保持するために用いられる。ただし、扱える情報量には上限があり、長い処理では以前の判断や結果が失われる場合がある。

長期記憶は、脅威情報、過去のインシデント、組織固有の知識などを保存し、必要なときに検索して利用する。検索拡張生成（Retrieval-Augmented Generation：RAG）を用いる構成では、LLMの学習時点だけに依存せず、外部の情報を取得して判断へ加えることができる。

一方、外部情報を利用すれば自動的に正確になるわけではない。検索対象となる情報の品質、情報同士の関係、更新状況、取得した内容を結果へ正しく反映できたかを確認する必要がある。

5.6 人間を処理に組み込む

サイバー防御では、エージェントが提案を作る処理と、実際にシステムへ変更を加える処理を分ける必要がある。特に、稼働中のシステムを変更する操作では、エージェントだけで処理を確定させず、人間の承認を設けることが重要となる。

人間を処理へ組み込む設計では、少なくとも、承認を必要とする判断の種類、エージェントが根拠と提案を渡す方法、人間が修正・中止・上位判断への移行を行う方法、操作を後から確認するための記録を定める必要がある。

人間が関与していても、エージェントの出力を形式的に承認するだけでは十分ではない。人間が高い影響を持つ判断を行えるよう、エージェントが処理した情報を、認知負荷に配慮しながら確認できる形で提示する必要がある。

5.7 LLMエージェントの技術的な課題

LLMエージェントには、事実とは異なる内容をもっともらしく生成するハルシネーションの問題がある。存在しない脆弱性情報、誤った攻撃経路、不適切な対処方法が処理へ含まれると、調査の優先順位や対応を誤る原因となる。

さらに、エージェントでは一つの誤りが次の処理へ引き継がれる。初期段階で誤ったツールを呼び出すと、その結果を前提とした後続処理にも誤りが連鎖する可能性がある。

外部から取得した文章やデータに、エージェントの動作を変える指示が埋め込まれるプロンプトインジェクションも課題となる。セキュリティ調査では、信頼できないログ、Webページ、文書などを扱うため、入力の無害化、出力のフィルタリング、ツール呼び出しの権限分離などが必要となる。

また、エージェントが扱う情報には、ネットワーク構成、認証ログ、脆弱性の一覧、インシデントの経過など、組織の機密情報が含まれる場合がある。どの情報をLLMへ渡すのか、どこで処理・保存するのか、どのツールへアクセスさせるのかを管理する必要がある。

5.8 評価と実運用の隔たり

LLMエージェントの研究では、使用するモデル、対象とする作業、評価用データ、成功の判定方法が統一されていない。そのため、異なる仕組みの結果を単純に比較することは難しい。

LLMエージェントの研究では、性能は主に管理された実験環境で評価されており、実際の運用環境における本番規模の評価は限られている。

このため、実験で高い性能が示されたことと、実際のセキュリティ運用へ安全に導入できることは分けて考える必要がある。実運用では、処理の正確さだけでなく、誤りの検出、処理時間、操作権限、記録、人間による監督、機密情報の管理も評価対象となる。

まとめ

LLMエージェントは、状況の取得、処理の選択、ツールの実行、結果の観察、状態の更新を繰り返しながら、複数段階の作業を進める仕組みである。

サイバー防御では、脅威情報の整理、脆弱性の分析、監視、インシデント対応などへの利用が検討されている。単一エージェントと複数エージェントにはそれぞれ異なる構成があり、記憶、外部知識、ツール、人間の承認をどのように組み合わせるかが重要となる。

一方、ハルシネーション、誤りの連鎖、プロンプトインジェクション、機密情報の扱い、評価方法の不統一などの課題がある。LLMエージェントへ任せる処理、人間の承認を必要とする処理、アクセスできるツールと権限を定めたうえで設計する必要がある。

この記事について

参考文献

• 「LLM-Based Agents for Cybersecurity: A Systematic Review of Architectures, Applications, and Open Challenges」George Fatouros、Konstantinos Mavrogiorgos、Georgios Makridis、John Soldatos、Dimosthenis Kyriazis 著

（最終閲覧日：2026年10月17日）


※本記事は、上記文献を参考にしつつ、筆者の理解に基づき整理したものである。