Anthropicは、AIアシスタント「Claude」のエンタープライズ向けセキュリティの可視性を、Compliance APIによって強化しました。この機能を使うと、アクティビティ、会話、ファイル、プロジェクト、エージェントセッションに関するデータを、組織が既存のガバナンス基盤やセキュリティ運用基盤に取り込めます。
Compliance APIは、Claude EnterpriseとClaude Platformの両方の顧客が利用できます。ただし、アクセスできるデータの範囲は製品によって異なります。
Dictionaries& Encyclopedias
このAPIは、組織全体でClaudeがどのように使われているかを、セキュリティ、法務、コンプライアンスの各チームが監視するのに役立ちます。データ漏えいの可能性の調査や、規制対応のための記録保持に加え、AIの利用状況をID、エンドポイント、クラウド、SaaSのテレメトリと突き合わせる作業も支援します。
Claude Compliance API
Claude Enterpriseの顧客は、Compliance APIを通じて、チャットの会話、アップロードされたファイル、プロジェクトにアクセスできます。CoworkとClaude Codeのセッション記録も含まれます。これには、プロンプト、モデルの応答、ツール呼び出しの内容、そしてトランスクリプト上のテキストとして表示されるスキルやアーティファクトが含まれます。
対象範囲は、ClaudeのMicrosoft 365アドイン（Excel、Word、PowerPoint、Outlook）にも及びます。Anthropicがベータ機能として掲げるClaude Scienceも対象です。
これらのデータには、プロンプトや応答のほか、生成された文書テキスト、数式、作成されたメールの下書きなども含まれます。企業におけるAI利用の有用な監査証跡になる可能性があります。
また、このAPIはActivity Feedの記録も提供します。ユーザーのログイン、管理操作、設定変更などのイベントが対象です。
Claude Platformの顧客は、管理・システム・リソース関連のイベントにアクセスできます。具体的には、メンバーシップの変更、APIキーの作成、アカウント設定の変更、ファイルの作成やダウンロード、スキルの変更などです。ただし、Claude Platform環境については、Compliance APIからプロンプトやモデルの応答は取得できません。
Anthropicは、対応する連携先として、DLP（データ損失防止）、SASE（Secure Access Service Edge）、SIEM（セキュリティ情報イベント管理）、セキュリティ運用、IDガバナンス、eDiscovery、AIセキュリティ態勢管理、テレメトリ基盤を挙げています。
セキュリティベンダーは、このフィードを活用することで、機密データの漏えい検知、不審な挙動の調査、サーバー利用状況の監視、未承認エージェントの特定、ガバナンスポリシーの適用を実施できます。専用のダッシュボードを別途用意する必要はありません。
連携の例としては、次のようなものがあります。CrowdStrikeは、Claudeのアクティビティを自社のFalconプラットフォームに統合し、SIEMや自動対応ワークフローに活用します。Splunkは、正規化されたイベント、検知、ダッシュボード、利用状況分析を提供します。Microsoft Purviewは、Claudeのアクティビティとチャットに関するインサイトを一元化し、データセキュリティ態勢管理と監査に役立てます。Proofpointは、AIとのやり取りに対して、DLP、内部脅威の検知、eDiscovery、保持の各機能を実装します。
このエコシステムが重要なのは、エージェントベースのワークフローによって新たな監視要件が生じるためです。チャットのプロンプトだけでなく、AIを活用したワークフローが呼び出すツール、スキル、コネクタ、サーバー、アーティファクトや、どのIDが操作を開始したのかも、チームが把握する必要が出てくる可能性があります。
Compliance APIは、/v1/compliance/* 配下のエンドポイントを使用し、APIキーによる認証が必要です。Compliance Access Keyはサポートされるすべてのエンドポイントにアクセスできますが、Admin API KeyはActivity Feedのみに限定されます。Anthropicは、コンプライアンス用エンドポイントに対して、親組織ごとに毎分600リクエストの共有レート制限を設けています。
Claude Enterpriseでは、組織のPrimary Ownerだけが、Organization settings > APIからこのAPIを有効化できます。このロールは、リンクされた組織をまたぐキーを作成できます。一方、Ownerは自組織に限定したキーを作成できます。標準のAdministratorは、この設定にアクセスできません。
Compliance APIは、主に事後の監視と証拠収集のためのツールであり、インラインで制御を強制する仕組みではありません。Anthropicは、推論フックとは区別しています。推論フックは、推論の前に規制対象のプロンプトを処理し、リアルタイムでリクエストを拒否できる可能性があります。
セキュリティ担当者にとって、このAPIは実践的な調査プロセスを支えます。リスクのあるアップロードやプロンプトを特定し、関連するアクティビティとトランスクリプトのデータを取得します。それを、操作を開始したユーザー、IPアドレス、デバイス、エンドポイントのテレメトリと突き合わせ、連携したツールやエージェントが後続の操作を実行したかどうかを判断できます。
これにより、Claudeのアクティビティを、既存のSOC（セキュリティオペレーションセンター）、DLP、内部リスク、コンプライアンスの各ワークフローで扱いやすくなります。企業でAI技術の導入が進むなか、その意義は特に大きいといえます。
SOCのアラート調査をすべて21分短縮。即座にIOCのコンテキストを得て、迅速な対応を実現： TI LookupをSOCに統合
翻訳元: https://gbhackers.com/claude-compliance-api/
