はじめに

AIエージェントが自律的にコードを書き、MCPサーバー経由でデータベースやファイルシステムにアクセスする時代が到来している。しかし、エージェントが利用するスキルやツールに悪意あるコードが仕込まれていた場合、被害は即座に広がる。

2026年3月23日、CiscoはRSA Conference 2026で DefenseClaw を発表した。AIエージェントのスキル・MCPサーバー・エージェント間通信・生成コードを統合的にスキャンし、ポリシーベースで制御するオープンソースのセキュリティガバナンスフレームワークである。Apache 2.0ライセンスで 2026年3月27日にGitHub公開が予定されている。

この記事では、DefenseClawのアーキテクチャ、5つのコアコンポーネント、導入手順、CI/CDパイプラインへの組み込み方法を解説する。

この記事で学べること

DefenseClawの全体アーキテクチャと5つのセキュリティコンポーネントの役割
Skill Scannerを使ったエージェントスキルの脆弱性検出
MCP Scanner・A2A Scannerによるプロトコルレベルの防御
CI/CDパイプラインやpre-commitフックへの統合方法

対象読者

AIエージェントを開発・運用しているエンジニア
MCPサーバーを構築・管理している開発者
エージェントセキュリティの導入を検討しているチームリーダー

TL;DR

DefenseClawはCisco発のOSSで、AIエージェントのスキル・MCP・A2A・生成コード・資産管理を5つのスキャナーで統合防御する
pip install cisco-ai-skill-scanner で即導入でき、GitHub Actionsとの連携もワークフロー1つで完了する
ブロックリスト適用は2秒以内、エージェント再起動不要でポリシー強制が可能
NVIDIA OpenShellとのサンドボックス統合、Splunkへのテレメトリ送信に対応

DefenseClawが解決する課題

Ciscoの RSA Conference 2026での発表によると、主要エンタープライズ顧客の85%がAIエージェントを検証済みだが、本番環境にデプロイしたのはわずか5%にとどまっている。最大の障壁はセキュリティへの懸念である。

従来のセキュリティツールは個別のレイヤー（コードスキャン、ネットワーク監視など）を対象としていたが、AIエージェントはスキル・MCPサーバー・他エージェント・生成コードという複数のアタックサーフェスを同時に持つ。DefenseClawはこれらを単一のフレームワークで統合管理する。

既存ツールとの違い

観点	従来のセキュリティツール	DefenseClaw
対象	コード・ネットワーク単体	スキル・MCP・A2A・生成コード統合
検出タイミング	ビルド時 or ランタイム	両方（プリスキャン＋ランタイム監視）
ポリシー反映	設定変更後に再起動	2秒以内にホットリロード
AIエージェント対応	汎用	エージェント専用設計
導入時間	数時間〜数日	約5分

5つのコアコンポーネント

DefenseClawは以下の5つのセキュリティエンジンを統合している。

1. Skill Scanner — スキルの脆弱性検出

Skill Scanner は、AIエージェントのスキル（プラグイン）をインストール前に多層解析するツールである。 PyPIパッケージとして公開されており、静的パターンマッチング、行動分析（AST dataflow解析）、LLMによるセマンティック分析の3段階で脅威を検出する。

# インストール
pip install cisco-ai-skill-scanner

# 単一スキルのスキャン（静的＋行動分析）
skill-scanner scan /path/to/skill --use-behavioral

# 全スキルを再帰的にスキャン（LLM解析付き）
skill-scanner scan-all /path/to/skills --recursive --use-behavioral --use-llm

検出エンジンは8種類あり、用途に応じて組み合わせられる。

解析エンジン	手法	対象	要件
Static	YAML + YARAパターン	全ファイル	なし
Bytecode	.pyc整合性チェック	Pythonバイトコード	なし
Pipeline	コマンドテイント分析	シェルパイプライン	なし
Behavioral	ASTデータフロー解析	Pythonファイル	なし
LLM	セマンティック分析	SKILL.md + スクリプト	APIキー
Meta	偽陽性フィルタリング	全検出結果	APIキー
VirusTotal	ハッシュベースマルウェア検出	バイナリファイル	APIキー
AI Defense	クラウドベースAI分析	テキストコンテンツ	APIキー

ポリシーは strict / balanced / permissive の3段階、またはカスタムYAMLで定義できる。

# 厳格ポリシーでスキャン
skill-scanner scan /path/to/skill --policy strict

# カスタムポリシー
skill-scanner scan /path/to/skill --policy custom_policy.yaml

2. MCP Scanner — MCPサーバーの検証

MCPサーバーはAIエージェントと外部リソース（データベース、ファイルシステム、メールクライアントなど）を仲介するブリッジである。DefenseClawのMCP Scannerは、エージェントが接続するすべてのMCPサーバーの整合性を検証し、許可リストとの照合、エンドポイントの変更監視を継続的に実行する。

3. A2A Scanner — エージェント間通信の監査

A2Aプロトコル（Agent-to-Agent）で通信するエージェント間のメッセージフローを検査し、不正なリクエストやデータ流出パターンを検出する。

4. CodeGuard — 生成コードの静的解析

AIエージェントが生成したコードを実行前に静的解析し、セキュリティベストプラクティスに基づくポリシールールセットで検証する。 Ciscoの公式ブログによると、未チェックのファイルシステム書き込み、オープンネットワークソケット、権限昇格の試行といった危険なパターンをフラグする。

5. AI Bill of Materials (AI BoM) — 資産管理台帳

環境内のすべてのAI資産（稼働中のエージェント、使用スキル、接続MCPサーバー、依存モデル）を自動インベントリ化し、エージェントの変化に応じて継続的に更新する。ソフトウェアBOM（SBOM）のAIエージェント版と位置づけられる。

ポリシー強制とランタイム防御

DefenseClawのポリシー強制は「ハードな制約」として機能する。スキルをブロックすると、サンドボックス権限の剥奪、ファイルの隔離、エージェントへのエラー返却が 2秒以内に完了し、再起動は不要である。

ランタイム監視では、実行ループ内のすべてのメッセージフローを検査する。スキャン結果、ブロック/許可判定、プロンプト-レスポンスペア、ツール呼び出し、ポリシー強制アクション、アラートが構造化イベントとして Splunkにストリーミングされる。

CI/CDパイプラインへの統合

GitHub Actions

Skill ScannerはSARIF 2.1.0形式の出力に対応しており、GitHub Code Scanningと直接連携できる。PRに対してインラインでセキュリティアノテーションが表示される。

# .github/workflows/scan-skills.yml
name: Scan Skills
on:
  pull_request:
    paths: [".cursor/skills/**"]
jobs:
  scan:
    uses: cisco-ai-defense/skill-scanner/.github/workflows/scan-skills.yml@main
    with:
      skill_path: .cursor/skills
    permissions:
      security-events: write
      contents: read

pre-commitフック

.pre-commit-config.yaml に追加するだけで、コミット前に自動スキャンが走る。

repos:
  - repo: https://github.com/cisco-ai-defense/skill-scanner
    rev: v1.0.0
    hooks:
      - id: skill-scanner

CIでの失敗制御

# high以上の深刻度でビルド失敗
skill-scanner scan-all ./skills --fail-on-severity high --format sarif

Python SDKでの利用

プログラマティックに利用する場合は、Python SDKが用意されている。

from skill_scanner import SkillScanner
from skill_scanner.core.analyzers import BehavioralAnalyzer

scanner = SkillScanner(analyzers=[BehavioralAnalyzer()])
result = scanner.scan_skill("/path/to/skill")

print(f"検出件数: {len(result.findings)}")
print(f"最大深刻度: {result.max_severity}")

if not result.is_safe:
    print("問題を検出 — デプロイ前にレビューが必要")

NVIDIA OpenShellとの連携

DefenseClawは NVIDIA OpenShell のサンドボックス環境と統合される計画が発表されている。OpenShellはAIエージェントを安全に実行するためのランタイム環境であり、DefenseClawのスキャン・ポリシー機能と組み合わせることで、スキャン→サンドボックス化→実行→監視の一連のパイプラインが自動化される。

AI Defense Explorer Edition — 無料のレッドチーム

DefenseClawと同時に発表された AI Defense Explorer Edition は、エンタープライズ版と同等のAIレッドチーミング機能を無料で提供する。200以上のリスクサブカテゴリ（知的財産窃取、毒性、機密データ抽出など）を約20分で評価し、GitHub Actions・GitLab・Jenkinsとの CI/CD統合も可能である。 explorer.aidefense.cisco.com からアクセスできる。

まとめ

Cisco DefenseClawは、AIエージェントのセキュリティを「個別ツールの寄せ集め」から「統合ガバナンスレイヤー」に引き上げるオープンソースフレームワークである。

5つのスキャナー統合: Skill Scanner、MCP Scanner、A2A Scanner、CodeGuard、AI BoMで全アタックサーフェスをカバー
即時ポリシー強制: ブロック適用は2秒以内、エージェント再起動不要
5分でセットアップ: pip install とGitHub Actionsワークフロー追加で導入完了
エコシステム連携: NVIDIA OpenShellサンドボックス、Splunkテレメトリ

2026年3月27日のGitHub公開後は、既存のOpenClawやCursor、Claude Codeのスキル環境に組み込むことで、エージェントのデプロイ前後を一貫して保護できる。エンタープライズのAIエージェント本番導入率が5%にとどまる現状を打破する鍵となるフレームワークと言える。

参考リンク

Cisco DefenseClaw GitHub — セクション「5つのコアコンポーネント」で引用
Cisco Newsroom: Reimagines Security for the Agentic Workforce — セクション「DefenseClawが解決する課題」「NVIDIA OpenShellとの連携」で引用
Cisco Blog: I Run OpenClaw at Home — セクション「5つのコアコンポーネント」「ポリシー強制とランタイム防御」で引用
Cisco Blog: AI Defense Explorer Edition — セクション「AI Defense Explorer Edition」で引用
Skill Scanner GitHub — セクション「Skill Scanner」「CI/CDパイプラインへの統合」で引用
SiliconANGLE: Cisco debuts DefenseClaw — セクション「既存ツールとの違い」で引用