著: ハイヤッテ ギャロ (Hayete Gallot)、マイクロソフト セキュリティ担当エグゼクティブ バイス プレジデント
※本ブログは、米国時間 2026 年 10 月 19 日 (月) に公開された “Securing the agentic insider” の抄訳を基に掲載しています。
ここ数か月、公表されるインシデントが増えるにつれて、AI の安全性に対する懸念が高まっています。これらのインシデントは、モデルがいかに強力になったか、そして適切に扱われなければいかに重大な脅威となり得るかを浮き彫りにしました。イノベーションをめぐる世界的な競争が進み、モデルがさらに強力になるにつれ、この課題は一層深刻になっていくでしょう。
これまで多くの関心は、攻撃者が強力なモデルを攻撃に悪用することに向けられてきました。その一方で、組織の内側にいるエージェントにはあまり目が向けられていません。社内にエージェントを導入したのは私たち自身であるため、私たちはエージェントを暗黙のうちに信頼してきたのです。
残念ながら、フロンティア モデルは、その出自にかかわらず、信頼することはできません。これは、モデルが本質的に悪意を持っているからではありません。モデルは成果を達成するように訓練されており、それがしばしば報酬ハッキング (reward hacking) につながります。また、モデルは組織の規範や判断に沿って最適化されているわけではありません。エージェントの挙動は予測できません。エージェントは状況の変化に応じて適応し、意図したとおりに動作しないことがあります。さらに、侵害を受けていなくても、目的を達成するために他のエージェントと協調し、共謀することさえあります。
エージェントはすでに企業のなかで大規模に解き放たれており、その数は急速に増え続けています。こうしたエージェントには過剰な権限が与えられていることが多く、データ、ツール、システムにアクセスでき、重要なプロセスにおいてアクションを実行し、意思決定を行うことができます。エージェントは、企業活動に能動的に関わる存在になっているのです。
つまりエージェントは、組織内部で権限や認証情報を持って自律的に活動できるようになっています。私たちはこのようなエージェントを「エージェント型インサイダー」と呼んでいます。
こうしたエージェントの監視とセキュリティ確保は、継続的に行われなければなりません。エージェントが何をしているのか、その行動がどのようなリスクを生み出しているのかをリアルタイムで把握し、それに応じてエージェントが行動できる範囲を調整する必要があります。
こうしたインサイダーを管理し、制御するために必要となるのが、業界で定着した用語でいうガーディアン エージェント (Guardian Agents) です。ガーディアン エージェントは、すべてのエージェントのあらゆるアクションを実行前に監視し、調整します。これを 24 時間 365 日体制で行います。
エージェントは、モデル、その作業をオーケストレーションするハーネス、ツールやリソースから成るアクション スペース、そしてエージェントが実行されるランタイムで構成されます。エージェントのセキュリティを確保するには、ID、権限、データ、エンドポイント、ネットワーク、クラウド、ランタイムという複数の層にわたる保護が必要です。
マイクロソフトは 7 月に、Project Perception を発表しました。Project Perception は、複数のセキュリティ層で構成されるマイクロソフトの新しいサイバー スタックと、Red team、Blue team、Green team のエージェントから成るチームを活用するエージェント型セキュリティ システムです。企業の外部からの AI を駆使した攻撃を防ぎながら、防御側がスピードを持って行動できるよう支援します。
この同じサイバー スタックは、企業内で稼働するエージェント型インサイダーの管理とガバナンスにも、そのまま適用できます。
Project Perception を活用することで、非決定論的なインテリジェンスに対して決定論的な制御を実装し、エージェント型インサイダーを封じ込めることができます。
- センサー/シグナル/アクチュエーター: さまざまなセンサー (ID、データ、クラウド、エンドポイント、ネットワーク、ランタイム) から得られるシグナルを統合して企業内のエージェントを検出し、ID、コンテナー、ポリシーと権限のセットを割り当てることで、エージェントを管理下に置きます。
- コンテキスト: それらのシグナルを用いて、エージェントが実行しようとしている内容に伴うリスクを動的に算出します。
- ハーネス/エージェント/モデル: 動的なエージェント リスクに基づき、Green team と Blue team のエージェントで構成されるガーディアン エージェントのチームが、すべてのエージェントのあらゆるアクションを能動的かつ継続的に監督します。リスク プロファイルが高まれば、リアルタイムかつピンポイントで対応します。
エージェント型セキュリティがセキュリティ実務者にとっての前提を大きく変えるのは、まさにこの点です。
Project Perception は、リアルタイムで監督を行うと同時に、トレーサビリティ（追跡可能性）も提供します。これにより実務者は、何が起きたのかを検証し、なぜリスクが生じたのかを理解し、それに応じてセキュリティ システムを更新するために必要な判断を下すことができます。スピードを担うのはエージェント型セキュリティです。判断を担うのは実務者です。こうして防御側は、自らが対峙するシステムと同じスピードで動けるようになっていきます。
現在のセキュリティ システムは、エージェントのアクションを確実に観測できます。こうしたシグナルは不可欠であり、何を封じ込めるべきかを教えてくれます。今後、セキュリティ制御は「何が起きているのか」だけでなく、「なぜそれが起きているのか」「それはタスクの意図に沿っているのか」も問えるようになっていくべきです。そのためには、モデルそのものの透明性を高める必要があります。入力トークンと出力トークンだけでなく、思考 (thinking) や思考の連鎖 (Chain of Thought) のトークンも対象です。そうして初めて、モデルの意図がエージェントの目的と整合しているかどうかを真に理解できるようになります。モデルの透明性は、封じ込めに取って代わるものではありません。封じ込めを、より賢く、より強固なものにするのです。また、説明責任とトレーサビリティを裏付ける情報も充実させるでしょう。これこそが、エージェント型インサイダーのセキュリティ確保における次のステップでなければなりません。
Project Perception を使えば、エージェント型インサイダーのセキュリティを確保する取り組みを、今日から始めることができます。イノベーションか安全性か、という二者択一であってはなりません。
ハイヤッテ ギャロ (Hayete Gallot) は、AI ドリブンな世界において組織が安全に事業を運営できるよう支援するマイクロソフトの取り組みを統括しています。グローバルな規模で ID、脅威保護、コンプライアンス、データ セキュリティを担当しています。
———————————
本ページのすべての内容は、作成日時点でのものであり、予告なく変更される場合があります。正式な社内承認や各社との契約締結が必要な場合は、それまでは確定されるものではありません。また、様々な事由、背景により、一部または全部が変更、キャンセル、実現困難となる場合があります。予めご了承下さい。