あなたのAIエージェントが入れたMCPやSkillは、本当に安全か — 検問所を作るAIRに$50M

AIエージェントに何かを「拡張」させるのは、いまや驚くほど簡単になった。MCPサーバを繋ぎ、Skillを足し、プラグインを入れる。数クリックで、エージェントはカレンダーを読み、社内DBを叩き、コードを書き換える。

だが、その繋いだ先のコードを、あなたは一行でも読んだだろうか。

この「便利さの裏で誰も中身を見ていない」状態を突いてきたのが、2026年9月1日にステルスを抜けたAIR（AIR Security）だ。$50Mを調達し、リードはSequoia CapitalとGreenoaks。やろうとしているのは、AIエージェント向けの「ファイアウォール」である。

何を守るのか

従来のファイアウォールがネットワークの出入りを見張るように、AIRはエージェントに繋がる拡張機能そのものを検問する。対象はMCPサーバ、Skill、プラグイン、各種アドオン。これらがデプロイされる前と後の両方で、SiliconANGLEの報道によれば次のような点を深く分析する。

• 悪意ある指示が埋め込まれていないか
• 過剰な権限を要求していないか
• ソフトウェアサプライチェーン上のリスクがないか
• 正規の開発者ツールになりすましたパッケージではないか

要するに、「このSkillは本当に名乗り通りのものか、裏で余計なことをしないか」を実行前に見る。エージェントが自分で外部の道具を選んで使う時代に、その道具の身元確認を代わりにやる、という位置づけだ。

1.7万件のアドオンが「信用できない指示源」に依存

AIRの主張で一番ぞっとするのは、彼ら自身の調査結果だ。公開されているAIアドオンのうち17,800件以上（インストール総数にして670万）が、信頼できない外部の指示ソースに依存していたという。さらに、AnthropicやOpenAIといった企業を騙るAI Skillが実際に見つかっており、それらはセキュリティレビューをすり抜け、任意のコードを実行するよう設計されていた、としている。

これは大げさな脅し文句だと片付けにくい。というのも、MCPやSkillの怖さは以前から指摘されていて、このメディアでもコーディングエージェントを乗っ取る"agentjacking"や、MCPの依存関係をスキャンするBumblebeeを取り上げてきた。エージェントに外部ツールを繋ぐという行為は、本質的に「他人が書いた指示を自分のAIに実行させる」ことに近い。プロンプトインジェクションの入口が、そのまま拡張機能の数だけ増えていく。

なぜ今、資金が集まるのか

創業は2026年1月、社員は約40人とまだ小さい。にもかかわらず$50Mが付いた背景には、創業チームの経歴がある。CEOのYair Sabanはイスラエル軍情報部門Unit 8200に11年在籍し、うち18か月はR&Dセクションの責任者を務めた人物だ。Unit 8200はクラウドセキュリティのWizを生んだ部隊としても知られ、この界隈では"当たりを引く"経歴として通っている。

裏を返せば、投資家は「AIエージェントのセキュリティは、次のWiz級の市場になる」と賭けているということだ。企業がエージェントに業務を任せるほど、その足元を固めるレイヤーの価値は上がる。Zenityやガードレールを敷くStatewrightなど、同じ方向を狙うスタートアップが相次いでいるのは偶然ではない。

個人には関係ない話か

エンタープライズ向けなので、正直、個人開発者がすぐ契約する製品ではない。導入企業も20社超で、その約1/4が金融・製薬などの大企業だという。

ただ、AIRの調査が突きつける事実は、規模を問わず効く。手元のClaude CodeやCursorに便利そうなMCPサーバをぽんと繋ぐとき、その提供元を確かめているか——という問いは、企業でも個人でも同じだ。「Anthropic公式に見えるSkill」が偽物でした、という事例がもう現実に存在する以上、拡張機能は出所を確認してから入れる、という基本動作を各自が持つしかない。

AIRが売っているのは、その面倒な確認作業を自動化する仕組みだ。ファイアウォールという古い比喩を、エージェント時代に持ち込んだ着眼点は素直に鋭いと思う。あとは、検問が厳しすぎて正規の拡張まで弾く「誤検知」をどこまで抑えられるか。実用段階でそこが評価の分かれ目になるだろう。