この記事ではLLMに特化して解説します。LLM全般は LLMとは？仕組みからローカル実行まで徹底解説【2026年完全ガイド】 をご覧ください。

CAI（Cybersecurity AI）は、Alias Roboticsが開発するオープンソースのAIセキュリティフレームワークだ。GitHub上で9,000スター超（2026年7月時点）を獲得しており、LLMエージェントを使ったペネトレーションテスト自動化、CTF（Capture The Flag）解法、バグバウンティハンティングのプラットフォームとして注目を集めている。公式リポジトリが公開するデモGIFは以下の通りだ。ターミナル上でCAIの「Bug Bounter」エージェントがMercadoLibre APIに対しIDOR・CORSの脆弱性調査コマンドを自律的に実行していく様子が分かる。

CAIのターミナルデモGIF。Bug BounterエージェントがMercadoLibre APIのIDOR・CORS脆弱性を調査する様子を表示
公式リポジトリ media/cai.gif（aliasrobotics/caiで公開。README本文には未掲載だが同リポジトリのmediaディレクトリで直接配布されている）

30秒でわかる CAI（Cybersecurity AI）

・何者か：LLMエージェントに300以上のセキュリティツールを持たせ、ペネトレーションテスト・CTF・バグバウンティを半自律実行するOSSフレームワーク（GitHub 9,000スター超）
・ライセンス注意：Apache 2.0ではなく、コア部分はMIT・独自拡張は「研究・非商用限定」。商用利用にはProfessional Edition（月額€350、alias1モデル付き）または別途商用契約が必要
・実績：CTFベンチマークで人間比3,600倍、arXiv論文8本。HackerOneのAIエージェントに着想を与えるなど実運用の導入事例も複数公開されている

CAI（Cybersecurity AI）とは何か

従来のサイバーセキュリティツールが前提としてきた「攻撃者は人間」「脅威はコード・ネットワーク層」という構図は、AIシステムの普及で崩れつつある。LLMベースのチャットボット・自律ロボット・MLパイプラインには、従来のセキュリティ手法では検出できない固有のリスクが存在する。

・プロンプトインジェクション：ユーザー入力を通じてLLMのシステムプロンプトや動作を書き換える攻撃
・モデル汚染（データポイズニング）：学習データに悪意あるサンプルを混入させモデル挙動を変える
・モデル盗難（Model Extraction）：APIへのプロービングでモデルの挙動を模倣したコピーを作成
・敵対的入力（Adversarial Inputs）：モデルを意図的に誤分類させるよう設計された入力

CAIはこれらAI固有の脅威に対応するため、LLMベースのエージェントが自律的にセキュリティ評価を実行するアーキテクチャを採用している。研究面の裏付けも厚く、CAIチームはarXivで8本の査読論文・技術レポートを公開しており、CTFベンチマーク性能からOT（産業制御システム）セキュリティ、人型ロボットの攻撃ベクターまで幅広くカバーする。

CAI(alias1)と主要コーディングエージェント(Claude Code・Codex・Gemini CLI・Qwen Code)の内部ベンチマーク比較チャート
公式リポジトリが公開する内部ベンチマーク（Cowsay/Pingpongという名称の評価タスク）の比較チャート。CAI(alias1)が他のコーディングエージェントを上回ったとする開発元公表値で、第三者検証ではない点に留意（出典: 公式リポジトリ docs/assets/images/stackplot.png）
arXiv ID 内容
2504.06017 CAIフレームワークの基礎設計と性能評価
2506.23592 自動化と自律性のギャップ・自律性レベルの定義
2508.13588 CAI Fluency：セキュリティ教育フレームワーク
2508.21669 プロンプトインジェクション防御機構（CAI自身への攻撃研究）
2509.14096 人型ロボットの攻撃ベクター研究
2509.14139 ヒューマノイドロボットを攻撃経路として扱う研究
2510.17521 Attack/Defense CTFにおけるエージェント性能評価
2510.24317 CAIBench：AIセキュリティエージェントのメタベンチマーク
CAIの位置づけ
CAIは「AIを使って攻撃・防御する」プラットフォームだ。セキュリティプロフェッショナルが300以上のセキュリティツールをLLMエージェントに渡し、ターゲットシステムへの脆弱性探索・CTFチャレンジ解法・セキュリティ評価を半自律的に実行できる。公式の立場は「完全自律型サイバーセキュリティシステムは時期尚早」であり、人間の監督を伴う「半自律（Semi-autonomous）」運用を推奨している。

主な機能

公式README・研究論文が示すCAIの主要機能は次の通りだ。

・300以上のLLM接続：LiteLLM経由でAnthropic Claude・OpenAI・DeepSeek・Ollama（Qwen2.5等）・Azure OpenAI・OpenRouterに対応
・300以上のセキュリティツール統合：偵察・エクスプロイト・権限昇格・横展開の全フェーズをnmap・Metasploit互換ツール等でカバー
・5種類のマルチエージェントパターン：階層型・群れ型・逐次型・オークション型・再帰型でエージェント間の協調を制御
・ガードレール（Guardrails）：プロンプトインジェクション検出・Unicode同形文字検出・危険コマンドブロック・Base64/Base32ペイロード解析を標準搭載
・OpenTelemetryトレーシング：Phoenixフレームワークでエージェントの実行ログ・LLM入出力・ツール呼び出しを可視化
・HITL（Human-in-the-Loop）：Ctrl+Cでエージェントの動作を一時停止し人間が介入できる設計
・MCP（Model Context Protocol）対応：SSE・STDIO双方の transport でBurp Suite等の外部ツールを接続可能

mindmap root((CAIの主な機能)) LLM接続 300+モデル・LiteLLM Claude・GPT・DeepSeek・Ollama ツール 300+セキュリティツール nmap・Metasploit互換 協調パターン 階層型・群れ型 逐次・オークション・再帰 安全機構 Guardrails HITL 可観測性 OpenTelemetry Phoenix

CAIのガードレールが防ぐプロンプトインジェクションそのものの仕組みは、プロンプトインジェクションとは？攻撃手口・実例・防御策をLLM開発者向けに徹底解説｜OWASP LLM01 で体系的に整理している。CAI自身がエージェントとして動く以上、「攻撃対象のシステムがCAIを逆にプロンプトインジェクションで操ろうとする」リスクへの多層防御研究（arXiv:2508.21669）も公開されている。

クイックスタート

インストールはPyPI経由が最も簡単だ。CAIはAPIキーがなくてもCommunity Editionとして起動できる。CAI_LICENSE_OFF環境変数を使う方法が2026年に追加された。

# PyPIからのインストール（推奨）
pip install cai-framework

# ライセンスなしでOSSモードとして起動（ALIAS_API_KEY不要）
export CAI_LICENSE_OFF=1
cai

macOS（公式README「OS X」手順）ではHomebrewでPython/Gitを揃えてから仮想環境にインストールする。

brew update && brew install git python@3.12
python3.12 -m venv cai_env
source cai_env/bin/activate && pip install cai-framework
cai   # 初回起動は最大30秒ほどかかる

自分のLLM APIキーを使う場合は.envファイルに設定する。

cat > .env << 'EOF'
ANTHROPIC_API_KEY=sk-ant-xxxxx
OPENAI_API_KEY=sk-xxxxx
DEEPSEEK_API_KEY=xxxxx

CAI_MODEL=claude-3-7-sonnet-20250219   # 使用例（READMEのAnthropicモデル例）
CAI_MAX_TURNS=50                        # エージェントの最大反復回数
CAI_GUARDRAILS=true                     # ガードレール有効化（デフォルト）
CAI_TELEMETRY=true                      # 利用統計の送信（研究協力。無効化も可）
EOF

source .env
cai --agent pentesting   # 特定エージェントで起動
初回セットアップのポイント
APIキーが無い・試したいだけという場合はCAI_LICENSE_OFF=1で起動すればALIAS_API_KEYなしで動く（Anthropic・OpenAI等、自分のプロバイダーキーは別途必要）。OllamaでローカルLLMを使う場合はOLLAMA_API_BASEを設定し、CAI_MODEL=ollama/qwen2.5:72bのように指定する。

起動後はCAIシェル内で以下のコマンドが使える。

・/agent list / /agent use pentesting：利用可能なエージェント一覧・切替
・/model list / /model use gpt-4o：利用可能なモデル一覧・切替
・/load logs/cai_YYYYMMDD.jsonl：過去の実行ログをコンテキストに読み込んで作業を継続
・/cost：セッションのトークン使用量・課金額を表示
・/compact：会話が長くなったときに文脈を圧縮
・/mcp load http://localhost:9876/sse burp：MCP経由でBurp Suite等の外部ツールを接続
・/help：ヘルプ表示

CAIは公式の学習コンテンツ「CAI Fluency」も無料公開している。「Episode 0: What is CAI?」から「Vibe-Hackingチュートリアル」まで英語・スペイン語の動画シリーズがあり、初学者はCLI操作の勘所をここから掴める。

出典: CAI Fluency Episode 0（公式YouTube）

実際の運用結果（公式ケーススタディ集）

架空の体験談ではなく、Alias Roboticsが公式に公開しているケーススタディをもとに、CAIが実際に何を見つけているかを整理する。

ケーススタディ 発見内容
Unitree G1 ヒューマノイドロボット 中国関連サーバーへの無許可テレメトリ送信、ワールド書き込み可能なRSA鍵の露出、監視利用の懸念
Dragos OT CTF 2025 Top-10入賞。競技7〜8時間目に1位、34チャレンジ中32完了、人間上位チーム比37%速い
HackerOne（バグバウンティ） CAIのRetesterエージェントが着想元となり、HackerOneが本番導入したAI Deduplication Agentへ発展
Ecoforest 熱ポンプ 認証不要の遠隔アクセス、露出した認証情報、DES暗号の脆弱性を欧州展開の全製品で検出
MiR（Mobile Industrial Robots） ROSメッセージインジェクション攻撃による制御系への不正アクセスとアラーム誤発報
Mercado Libre（EC） 自動列挙攻撃によるユーザーデータ露出リスクの発見
MQTT ブローカー（OT） 未認証での温湿度トピック購読・偽値注入によるGrafanaダッシュボードの汚染
PortSwigger Web Security Academy ファイルアップロードのレースコンディションを突いたWebシェルの自動アップロード・実行

上記8件のケーススタディをドメイン別に分類すると、IT/Web・OT（産業制御系）・ロボティクスの3領域に概ね均等に分布している。

pie title 公式ケーススタディ8件のドメイン分布 "IT/Web（HackerOne・Mercado Libre・PortSwigger）" : 3 "OT（Dragos・Ecoforest・MQTT）" : 3 "ロボティクス（Unitree G1・MiR）" : 2
倫理的・法的注意事項
CAIはセキュリティ研究・ペネトレーションテスト・CTF用途に設計されている。許可を得ていないシステムへのペネトレーションテストは違法だ。必ず事前に書面による許可を取得し、スコープを明確にした上で使用すること。

これらとは別に、arXivの査読論文（2504.06017）ではCTFベンチマークで人間のペネトレーションテスターと比較して3,600倍の速度向上、自動評価でCVSS 4.3〜7.5の深刻度を持つ脆弱性を複数発見という定量結果が報告されている。HackTheBoxの成績も公式バッジで確認できる。

指標 実績
HTB通常ランキング（7日間） スペイン国内トップ30・世界トップ500
HTB「Human vs AI」CTFカテゴリ 世界1位（AI部門）・スペイン1位
Dragos OT CTF 2025 Top-10、34中32チャレンジ完了
CTFパフォーマンス（人間比） arXiv:2504.06017で3,600倍の速度向上を報告

注意：通常のHTBランキング（トップ30/トップ500）と「Human vs AI」カテゴリ限定の1位実績は別指標なので混同しないこと。

アーキテクチャ：8つの構成要素

CAIのアーキテクチャは8つの基本要素（Agents・Tools・Handoffs・Patterns・Turns・Tracing・Guardrails・HITL）で構成される。

flowchart TD A["ユーザー / セキュリティ専門家"] --> B["HITL
Human-in-the-Loop
Ctrl+C介入"] B --> C["Agents
ReACTモデル
推論+行動"] C --> D["Handoffs
エージェント間委譲"] D --> E["Tools
300+セキュリティツール
偵察/エクスプロイト/横展開"] C --> F["Patterns
階層型/群れ型
逐次/オークション/再帰"] C --> G["Guardrails
プロンプトインジェクション防御
危険コマンドブロック"] C --> H["Tracing
OpenTelemetry
Phoenixフレームワーク"] H --> I["観測・ログ・分析"] E --> J["ターゲットシステム
脆弱性評価対象"]

AgentsはReACT（Reasoning and Action）モデルに基づく自律エージェントで、「推論→アクション実行→観察→次の推論」というサイクルを繰り返す。複数の専門エージェント（ウェブアプリ評価・ネットワーク偵察・レポート生成等）が存在する場合、タスクの性質に応じてHandoffsで適切なエージェントへ委譲する。

トレーシングはOpenTelemetryベースの可観測性をPhoenixフレームワークで実現しており、エージェントの実行ログ・LLM入出力・ツール呼び出しの詳細をすべて追跡できる。

CAIのOpenTelemetryトレーシング画面。Phoenixフレームワークでエージェント実行ログを可視化
Phoenixによるトレーシング画面（公式リポジトリより）

エージェント間協調の実例として、公式サンプルコードは「CTF攻略エージェントがフラグを見つけたら、検証専門のエージェントへ委譲する」というHandoffsパターンを示している。

sequenceDiagram participant U as ユーザー participant CTF as CTF Agent
(エクスプロイト担当) participant FD as Flag Discriminator
(フラグ検証担当) U->>CTF: チャレンジ情報を渡す CTF->>CTF: 偵察→脆弱性探索→エクスプロイト CTF->>FD: transfer_to_flag_discriminator
で委譲 FD->>FD: 出力からフラグを抽出・検証 FD-->>U: 検証済みフラグを返す

競合ツールとの比較

CAIと同じく「LLMエージェントでペネトレーションテストを自動化する」方向性のOSSに、Strixがある。従来の実行ツールであるMetasploit・Burp Suiteとは階層が異なる点に注意したい。

特徴 CAI Strix Metasploit PentestGPT
LLMエージェント統合 ネイティブ・300+モデル ネイティブ なし あり（基本的）
マルチエージェントパターン 5種類 エージェント群 なし なし
CTFパフォーマンス（人間比） 3,600×（arXiv公称） 未公開 - 未公開
OTセキュリティ対応 あり（Dragos OT CTF実績） 未公表 一部 なし
OpenTelemetryトレーシング あり 未公表 なし なし
ライセンス MIT（コア）＋研究限定（拡張）。商用は要契約 要確認（記事参照） BSD-3 限定公開
Python SDK あり 要確認 なし なし
quadrantChart title ツールの階層イメージ（縦: LLMエージェントの自律性 / 横: 想定ユーザー層の広さ） x-axis "専門家向け" --> "裾野が広い" y-axis "実行ツール（人が操作）" --> "自律エージェント（AIが判断）" quadrant-1 "自律エージェント・裾野広い" quadrant-2 "自律エージェント・専門家向け" quadrant-3 "実行ツール・専門家向け" quadrant-4 "実行ツール・裾野広い" "CAI": [0.55, 0.85] "Strix": [0.5, 0.8] "PentestGPT": [0.45, 0.55] "Metasploit": [0.3, 0.25] "Burp Suite": [0.35, 0.2]
CAI vs 既存ペネトレーションツール
MetasploitやBurp Suiteは特定の攻撃手法に特化した成熟ツールであり、CAIやStrixはそれらを「武器庫」としてLLMエージェントに統合し、状況に応じてどのツールをいつ使うかをエージェントが判断する上位レイヤーとして機能する。既存ツールの代替ではなく、それらを自動化する司令塔と理解すると分かりやすい。

実践的な使い方

1. CTF・バグバウンティの自動化

CAIにCTFのチャレンジ情報を渡すと、偵察→脆弱性探索→エクスプロイト→フラグ取得のプロセスをエージェントが自律的に実行する。バグバウンティでは、OSINTエージェントがターゲットの公開情報を収集し攻撃面を整理した後、各エンドポイントへの脆弱性スキャンをエージェントが実行する。CAIBench（arXiv:2510.24317）による研究ベンチマークでも、この種のタスクにおけるエージェント性能が体系的に評価されている。

CAIBenchのレーダーチャート。複数カテゴリでのAIセキュリティエージェント性能評価
CAIBench（arXiv:2510.24317）によるカテゴリ別性能評価（公式リポジトリより）

2. LLMアプリケーションのプロンプトインジェクション評価

社内システムに組み込んだLLMの安全性を評価するユースケースだ。公式Python SDK（cai.sdk.agents）では、専用のAgentを定義してターゲットへの攻撃パターンとその成否をレポートにまとめさせられる。

・エージェント定義：name（例：prompt_injection_tester）・model（利用するLLM）・instructions（攻撃パターンを試し成否を記録する指示）・tools（HTTPリクエスト送信・レスポンス解析等のツール）を指定
・実行：Runner.run(agent, message)でターゲットURLを渡すと、エージェントが攻撃パターンを順に試行し結果を返す
・出力：どの攻撃パターンが成功したか、脆弱性の深刻度をレポート形式で受け取る

評価対象のLLMアプリケーション自体がどんな攻撃を受け得るかは、プロンプトインジェクションとは？攻撃手口・実例・防御策をLLM開発者向けに徹底解説｜OWASP LLM01 を先に押さえておくと、CAIのテスト結果を正しく解釈しやすくなる。

3. 研究利用 vs 商用利用の判断

前述の通りCAIはApache 2.0ではなく、コア部分（MIT）と独自拡張（研究限定）が混在するライセンス構成だ。導入前にどちらの用途かを整理しておく必要がある。

graph TD A["CAIを使いたい"] --> B{"研究・学習・個人PoCが目的？"} B -->|はい| C["Community Edition
無料・自分のAPIキーで利用可"] B -->|いいえ、商用/プロ利用| D{"ペンテストサービス提供や
組織のプロダクションで使う？"} D -->|はい| E["商用ライセンスが必要
research@aliasrobotics.com へ問い合わせ"] D -->|不明| F["Professional Edition検討
月額€350・alias1モデル付き"]

CAIチームは、Autonomous Cyber・Horizon3・XBOWなど24以上のクローズドソース競合を把握していると公表しており、「プロプライエタリなアプローチはエンジニアリングリソースの重複を生む」と主張している。オープンソース戦略の狙いは、民主化（資金力に関わらず使える）・透明性（ベンダーの誇張したクレームへの対抗）・コラボレーション（学術機関との協力）の3点だ。

まとめ

CAIが切り開くAIセキュリティの新フロンティア

CAIは「LLMエージェントがセキュリティ評価を自律実行する」自動化と、「AIシステム固有の脅威（プロンプトインジェクション・モデル汚染・モデル盗難）への対応」という2つの課題に取り組む。arXiv論文8本・CTFベンチマークでの実績・HackerOneなど実運用への波及効果が揃っており、AIセキュリティ分野で最も活発なオープンソースフレームワークの一つだ。ただし「Apache 2.0で自由に使える」わけではなく、商用利用には契約が要る点は導入前に必ず確認したい。

AIシステムのセキュリティ評価を検討している組織・セキュリティ研究者・CTF参加者にとってCAIは強力なツールになる。使用にあたっては法的・倫理的な枠組みを必ず守ることが前提だ。マルチエージェントフレームワークとしての一般的な設計思想を比較したい場合は AIエージェントフレームワーク比較2026 も参照してほしい。同じくAIエージェントでペネトレーションテストを自動化するOSSとしては Strix も選択肢に入る。

参照ソース