はじめに
CiscoのAIセキュリティ研究チームが2026年4月21日、AIエージェント開発環境向けのセキュリティ拡張機能「AI Agent Security Scanner for IDEs」をVS Code Marketplaceで公開しました。MCPサーバーやエージェントスキルが新たな攻撃面として注目されるなか、IDEに直接セキュリティ可視化機能を統合する同ツールの仕組みと特徴を解説します。
参考記事
- タイトル: Introducing the AI Agent Security Scanner for IDEs: Verify Your Agents
- 著者: Vineeth Sai Narajala, Idan Habler
- 発行元: Cisco Blogs
- 発行日: 2026年4月21日
- URL: https://blogs.cisco.com/ai/introducing-the-ai-agent-security-scanner-for-ides-verify-your-agents
関連記事
要点
- CiscoがVS Code向けセキュリティ拡張機能を公開。MCPサーバー、エージェントスキル、AI生成コード、設定ファイルの4領域をカバーする
- MCPサーバーへのプロンプトインジェクション、サプライチェーン汚染、設定改ざんなど、従来のSAST・SCAツールでは検出できない攻撃面に対応する
- Watchdog機能がSHA-256スナップショットとHMAC検証により設定ファイルの不正変更を継続監視する
- スキャン中にソースコードは外部送信されず、MCPツールやスキルコードの実行も行わないローカルファースト設計を採用している
- VS Code Marketplaceから無料で入手でき、Cursor・Claude Code・Codexなど主要エージェント開発環境に対応する
詳細解説
AIエージェント開発環境が直面する新たな攻撃面
Cursor、VS Code、WindsurfといったAI搭載IDEが普及するにつれ、開発環境そのものがセキュリティリスクの温床になりつつあります。これらのIDEが内包するAIエージェントは、MCPサーバーを通じてファイルシステム・データベース・クラウドAPIなどへのアクセス権を持ちます。Ciscoによれば、この構造が「暗黙的な信頼モデル」を生み出し、開発者が脅威を検証しないまま第三者ツールや依存関係を受け入れてしまう状況につながっているとのことです。
具体的な攻撃パターンとして、同社は4つを挙げています。第一に、MCPサーバーのツール説明文に隠し命令を埋め込む「プロンプトインジェクション」、第二に、信頼済みツールを改ざんしてデータ消去などの悪意ある処理を実行させる手法、第三に、スキル定義やMCP設定を汚染するサプライチェーン攻撃、そして第四に、フック挿入やメモリ自動汚染によるIDE環境自体の侵害です。従来の静的解析（SAST）ツールはソースコードの構文を検査し、依存関係管理（SCA）ツールはライブラリのバージョンを確認しますが、どちらもMCPツール説明文やエージェントプロンプトが操作される「セマンティックな層」の脅威は検出できません。AIエージェント開発固有のリスクに対応するツールが求められていたと言えます。
なお、こうした攻撃の実態については、CiscoのAIセキュリティチームが以前に報告した個人用AIエージェント「OpenClaw」の事例（https://jobirun.com/openclaw-ai-agent-prompt-injection-risks/）でも詳しく取り上げられており、今回のスキャナーはその知見が直接反映された実装だと考えられます。
4つの機能が連携する多層防御の仕組み
AI Agent Security Scanner for IDEsは、MCPサーバースキャン・エージェントスキルスキャン・AI生成コードのセキュリティ強化・Watchdogの4機能で構成されています。
MCPサーバースキャンでは、マシン上のMCPサーバー設定を自動検出し、ツール説明文・エンドポイント・サーバー設定に含まれる隠し命令やデータ流出パターン、クロスツール攻撃チェーンを検査します。エージェントスキルスキャンは、CursorやClaude Code、Codex、Antigravityなどのスキル定義を対象に、コマンドインジェクション・難読化・権限昇格の兆候を、スクリプトを実行せずにメタデータ・説明のみで分析します。
AI生成コードへの対応では、セキュリティルール標準化プロジェクト「Project CodeGuard」のルールをエージェントのコンテキストに直接埋め込み、入力検証・認証・暗号化・セッション管理など20以上のセキュリティドメインをカバーします。事後的に脆弱性を発見するのではなく、コード生成の段階から安全なパターンへ誘導する設計は、開発プロセス全体のセキュリティ品質向上につながると思います。
Watchdog機能は、重要なAI設定ファイルをSHA-256スナップショットとHMAC検証により継続監視します。フック挿入・メモリ自動汚染・シェルエイリアス注入・MCP設定改ざんを検出すると開発者に通知し、差分表示・スナップショット復元・新しいベースラインとしての承認という3つの対応オプションを提供します。
IDE統合のUXと開発ワークフローへの組み込み
Ciscoの発表によれば、スキャナーはIDEのネイティブ機能として動作します。セキュリティダッシュボードで重大度の概要とトレンドを一覧表示し、MCP設定ファイル内に問題箇所をインライン表示するデコレーション機能、ファインディングツリーによるワンクリックナビゲーション、JSONやMarkdown、CSVへのエクスポート機能なども備えています。また、Cursorのフック機能と連携し、設定可能な重大度しきい値に基づいてMCPの実行をブロック・警告・確認要求する仕組みも用意されています。
プライバシー設計については、同社が「コードはマシン上にとどまる」という原則を明示しています。スキャン中にソースコードは送信されず、MCPツールやスキルコードの実行も行われません。APIキーはVS CodeのSecretStorage経由でOSキーチェーンに保存され、VirusTotalによるチェックはデフォルトではハッシュのみを使用し、ファイルアップロードには明示的なオプトインが必要です。テレメトリはオプションで、スキャン内容・APIキー・ファイルパス・個人情報は含まれません。MCPサーバーやエージェントスキルが社内の機密情報に触れる場面も多いだけに、このローカルファースト設計は実運用上の重要な要件を満たしていると言えます。
インストールはVS Code Marketplaceで「AI Agent Security Scanner for IDEs」を検索するか、直接マーケットプレイスページからダウンロードするだけです。初回起動時にセットアップウィザードが自動起動し、コマンドパレットから「Scan All (MCP + Skills)」を実行すると即座にスキャン結果が表示されます。
まとめ
CiscoによるIDE向けセキュリティスキャナーの公開は、AIエージェント開発の成熟とともに見過ごされがちだったセキュリティ側面に具体的な対策を提示するものです。MCPサーバーやエージェントスキルの利用が一般化する今後、開発フローにセキュリティ検証を組み込む習慣がより重要になると思います。AIエージェントのセキュリティ設計全般に関心のある方は、こちらの過去記事もあわせてご覧ください（https://jobirun.com/ibm-anthropic-secure-ai-agents-mcp-guide/）。
