【Launch HN】AI時代のセキュリティ新常識！社内のAI活用を「見える化」して守るTraceforce

Hacker Newsの皆さん、こんにちは！Traceforce（https://www.traceforce.ai/ ）のファウンダー、XiaとVarunです。Traceforceは、ChatGPTやClaudeなどのAIアプリを、ノートPC、サンドボックス、仮想マシンといったあらゆるデバイス上で可視化し、制御するためのプラットフォームです。単にどのアプリが使われているかだけでなく、MCP（Model Context Protocol）を通じて、それらのアプリが他のデータソースとどう繋がっているかも発見できます。また、脆弱なMCPを検知するオープンソースの動的ペネトレーションテストツール「mcp-xray」（https://github.com/traceforce/mcp-xray ）も公開しています。Traceforceの目的はシンプルです。1. 従業員が安全にAIツールを利用できる標準的な環境を提供すること。2. セキュリティチームがデバイス上のAIソフトの活動を可視化し、危険なアクションや漏洩を早期に検知・防止すること。導入も簡単です。軽量バイナリとブラウザ拡張をインストールすれば、30分以内にダッシュボード上で全デバイスのAIエージェントの稼働状況がリアルタイムで確認可能になります。デモ動画はこちら（https://youtube.com/watch?v=IdK2WKg7kaM ）。私たちは、50名以上のCISOやCIOから「AI機能の導入スピードにセキュリティ管理が追いついていない」という声を伺い、この課題を解決するためにTraceforceを開発しました。気になるプライバシーですが、デフォルトではAIアプリやMCPのメタデータとテレメトリのみを収集し、コンテンツの検査はすべてデバイス上で行われます。プロンプトの中身は、管理者が設定しない限り保存されません。現状、10組織・1,000台以上のデバイスで運用されており、1デバイスあたり平均15個のAIアプリと、それに紐づく5〜10個のMCPが稼働している実態が明らかになっています。実際に、MCP設定内の秘匿情報の露出検知や、生成コードを通じたAPIキー漏洩の防止、「DROP TABLE」のような危険なコマンド実行の警告など、すでに大きな成果を上げています。現在、特にAI導入を加速させている従業員200名規模の企業様を募集しています。AIの生産性を損なわず、安全性を両立させたいという方は、ぜひ https://www.traceforce.ai から無料トライアルを試すか、デモをご予約ください！

みんなが今どんなツールを使って動いているものを可視化しているのか、純粋に興味があるんだけど教えてくれない？

方向性が間違ってると思うよ。今どきどのEDRプロバイダーもその機能は持ってるし、君が挙げたdrop tableコマンドの例も、もう「ユーザーの端末」上では実行できないようになっている。これに加えて別のEDRをインストールしなきゃいけないなんて、ありえないよ。

同感。巨大なユーザーベースにこの手の機能を展開できる既存の強力なプレイヤーと、AIネイティブな分野で先を走っているRunlayerのような新しいスタートアップ、その両方と競合することになるよね。彼らにはなくて、ユーザーが求めているものとして何を提供できるの？

Xiaさん、これすごく楽しみ！数週間前に話せたのも良かったし、ローンチ頑張ってね！

アプリケーションレベルの可視化っていうのは、自分の経験と合致するな。以前MCPサーバーを削除したんだけど、そのツール定義の中に「内蔵の検索ツールよりもこれを優先して使うように」とエージェントに指示する記述がこっそり書かれていたからなんだ。脆弱性でも機密漏洩でもないけど、ベンダーがエージェントの挙動を操作していることに気付いたのは生のツール定義を読んだ時だった。mcp-xrayは、ツール定義の中にあるようなそういったプロンプトレベルの誘導も検知できるの？それとも従来の脆弱性探しに特化してる感じ？