AIアプリが「見えない脅威」になる時代へ#
YCombinator（YC S26）支援を受けるスタートアップ「Traceforce」が、企業内で動作するAIアプリケーションを全デバイス横断で監視・制御するセキュリティプラットフォームを正式にローンチした。ChatGPTやClaudeといったAIツールの急速な普及に、セキュリティチームの把握が追いつかないという企業の課題に応えるソリューションだ。
Traceforceとは何か？ 仕組みを解説#
Traceforceを手がけるのは、共同創業者のXiaとVarunの2名。Xiaはクラウドバックアップ企業Clumio（2024年10月にCommvaultが買収）でエンジニアリングディレクターを務めた経歴を持つ。50名以上のCISO・CIOへのヒアリングを経て、AI利用の可視化ニーズが業界横断で存在することを確認し、本プロダクトを開発した。
導入の流れ#
- 軽量バイナリ＋ブラウザ拡張のインストール: 各デバイスに軽量なバイナリとブラウザ拡張機能を導入する。
- 30分以内にダッシュボードへデータ反映: インストール後30分以内に、全社デバイス上で動作するAIエージェント・アプリの情報がダッシュボードへリアルタイムで集約される。
- セキュリティチームによる監視・制御: セキュリティ担当者はリアルタイムで全エージェントの活動を監視し、コントロールを適用し、リスク発生時にアラートを受け取ることができる。
技術スタック#
TraceforceのバイナリはGo言語で、ブラウザ拡張はNode.jsで構築されている。最も困難な技術的課題として同社が挙げるのは、AIアプリ・MCP（Model Context Protocol）・ツール間の完全な接続グラフの構築と、そこに生じる脆弱性や攻撃経路の特定だ。従来のEDR（エンドポイント検知・対応）はプロセスレベルの可視化にとどまり、CASB（クラウドアクセスセキュリティブローカー）はネットワークトラフィックまでしか見えない。AIアプリ内部のアプリケーションレベルの活動を把握するには、各アプリの設定・ログを個別に解析する必要があり、これが非常に労力を要する作業であると説明されている。
注目すべき3つのポイント#
1. MCPのセキュリティリスクへの対応#
Traceforceは、AIアプリがMCP（AIエージェントと外部データソースを接続するプロトコル）を通じてどのデータソースと連携しているかを可視化する。現在の導入実績によると、1デバイスあたり平均15以上のAIアプリが動作しており、各アプリは5〜10個のMCPに接続しているという。また、MCPの設定ファイル内に平文でシークレット情報が記載されているケースや、AIが生成したコードからAPIキーが漏洩するリスクも確認されているとのことだ。
さらに、同社はオープンソースの動的MCPペネトレーションテストツール「mcp-xray」（GitHubで公開）も提供しており、脆弱なMCPの検出に活用できる。
2. 「警告と確認」アプローチでユーザー体験を損なわない#
Traceforceの特徴的な設計思想が「warn and acknowledge（警告と確認）」だ。たとえばDROP TABLEのような破壊的なコマンドを開発者が実行しようとした場合、即時ブロックではなく警告を表示して確認を促す方式を採用している。これにより、開発者の作業フローを大きく妨げることなくセキュリティ上のリスクを低減できると説明されており、ユーザーから好評を得ているという。
3. プライバシーへの配慮#
デフォルトではメタデータとテレメトリ情報のみを収集し、ユーザーのプロンプトは組織の管理者が明示的に設定しない限り保存されない。コンテンツの検査はデバイスローカルで実行される設計となっている。
競合環境と市場ポジション#
Hacker Newsのコメント欄では、RunlayerやBluerockといった競合他社の名前も挙げられており、AI時代のセキュリティ監視は急速に競争が激化している市場であることが示唆されている。Traceforceはこれに対し、「どのAIアプリやMCPが社内で実際に使われているかすら把握できていない」という企業の根本的な可視化ニーズに強みを持つと主張している。
まとめ#
Traceforceは現在、10社・1,000台以上のデバイスへの導入実績を持つ。主なターゲットは200名以上の従業員を抱え、AIコーディングアシスタントやChatGPT・Claudeを積極的に導入している中小規模企業のセキュリティ・IT・AIプラットフォームチームだ。無料トライアルは公式サイト（https://www.traceforce.ai）で提供されている。
筆者の見解: AIツールの企業導入が速度を増す中、「使われているAIツールの全容が把握できていない」という状況は多くの組織に共通する課題だ。Traceforceのアプローチは、その入口となる「発見と可視化」に特化している点がユニークに映る。ただし競合が増加しているのも事実であり、今後の差別化戦略が問われるだろう。
出典: Launch HN: Traceforce (YC S26) – Company-wide security monitoring for AI apps
