Microsoftは、機密データやアプリケーション、業務ワークフローへのアクセス権を組織がAIエージェントに与えるにつれ、AIエージェントが企業にとってのインサイダーリスクになり得ると警告しました。
問題視しているのは、エージェントが本質的に悪意を持っているという点ではありません。高い能力を持つシステムであっても、ミスを犯したり、侵害されたり、細工された指示に従ったりする可能性があります。しかもそれが機械の速度で実行されることが懸念されています。
MicrosoftでIDおよびネットワークアクセス担当のコーポレートバイスプレジデントを務めるNadim Abdo氏は、セキュリティに関する発表の中で、封じ込めを中心とするアプローチを示しました。モデル自身による自己統制に頼るのではなく、エージェントのID、権限、実行環境、アクションを独立して制御するという考え方です。
この警告は、企業はインテリジェンスと権限を切り離すべきだという、MicrosoftのCEOであるSatya Nadella氏の主張とも重なります。アクセスやアクションを管理する制御はモデルの外側に置く必要があります。そうすれば、モデルが保護策を回避したり、自身の挙動を評価するための証拠を操作したりすることを防げます。
Microsoftは、エージェント型のインサイダーリスクに対処するため、Project Perceptionを拡張します。セキュリティシグナル、適応型の強制、Guardian Agentsを組み合わせたもので、Microsoft Agent 365との統合により、共有コンテキストと統合エージェントレジストリを提供します。
同社によると、検出の対象範囲は35種類のローカルエージェントが加わって拡大し、合計で60種類になります。Claude Code、OpenAI Codex、GitHub Copilotなども含まれます。
Microsoftのドキュメントは、検出とランタイム保護を区別しています。エージェントを特定できたからといって、ランタイムでの強制がそのエージェントに対応していたり、保護していたりするとは限りません。
各エージェントには、その担当者である従業員とは別のIDを付与すべきだとしています。Microsoft Entra Agent IDは、認証、認可、ガバナンス、監査のための専用のID構成要素を、Microsoftとサードパーティのプラットフォームにまたがって提供します。
このようにIDを分離すれば、エージェントの活動を人間の直接的な操作と混同することなく、組織が帰属を特定できます。Microsoftはさらに、Microsoft Execution Containerなどの制御された実行環境を推奨しています。エージェントがデバイスの無制限の特権を引き継ぐことを防ぐためです。
強制の境界は、エージェント自身が無効化できない場所に置く必要があります。アクセス制御は加えて、ツールやAPI、Model Context Protocolサーバー、ほかのエージェントへの呼び出しを仲介しなければなりません。その際には、やり取りされるコンテンツの機密性と出所も検査します。
Microsoftが導入するDynamic Permissionsは、従業員のアクセス権を自動的にコピーするのではなく、タスクごとに期限付きの権限をエージェントに与える仕組みです。許可される最大範囲は組織のポリシーで定め、重大な影響を伴う操作には、検証済みの人間による承認を求めることもできます。
Dynamic Agent Riskは、ID、エンドポイント、データ、クラウド、ネットワーク、ランタイム環境、エージェントの活動から得たシグナルを組み合わせます。導入時に固定のスコアを割り当てるのではなく、エージェントの権限が適切な状態を保っているかどうかを継続的に評価します。
Dynamic Conditional Accessは、変化するリスクを段階的な制限に反映します。セキュリティチームは、読み取りアクセスを維持したまま書き込みをブロックしたり、到達可能なリソースを絞り込んだり、一時的な権限を取り消したり、ネットワーク経路を制限したり、実行を隔離したりできます。
たとえば、経費処理を担うエージェントが外部文書でプロンプトインジェクションに遭遇した場合、安全な読み取り機能は残したまま、承認権限だけを失う、といった対応が可能です。リスクが高まれば、ランタイムの隔離や終了を発動することもあります。
新たなGuardian AgentsとPlaybooksは、人間が定めた承認の境界の下で、証拠の調査、封じ込めの調整、ポリシーの強化を担うことを想定しています。Microsoftの中心的なメッセージはアーキテクチャに関するものです。モデルはインテリジェンスを提供しますが、権限は組織が保持するという考え方です。
透明性やモデルレベルのシグナルは検知の材料になります。ただし、エージェントに何を許可するかは、独立した制御が決めなければなりません。Nadella氏は、モデルの推論だけではセキュリティ境界として十分でも、信頼できるものでもないと警告しています。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。チームで試してみる
翻訳元: https://cyberpress.org/microsoft-warns-ai-agents-insider-threats/
