Microsoftは月曜日、企業環境で動作するAIエージェントのうち、暴走の恐れがあるものを監視・制限する新たな制御機能を発表しました。同社は、組織はこうしたエージェントを信頼できるソフトウェアではなく「インサイダー」として扱うべきだと主張しています。
今回の機能は、同社が7月に発表したエージェント型セキュリティシステム「Project Perception」を拡張するものです。Perceptionは当初、外部からのAI駆動型攻撃への防御策として打ち出されました。今後は、企業が社内で運用するエージェントにも適用されます。
Microsoft Securityのエグゼクティブバイスプレジデントであるヘイエテ・ガロ（Hayete Gallot）氏は、企業は自社で導入したエージェントを、デフォルトで信頼してしまいがちだと指摘しました。同氏は、フロンティアモデルは成果を出すように訓練されており、組織の規範や判断力を前提に作られているわけではないと警告しています。「こうしたエージェントは、しばしば過剰な権限を持っています。データ、ツール、システムにアクセスでき、重要なプロセスで行動や意思決定を行う可能性があります」とガロ氏は書いています。
MicrosoftのアイデンティティおよびネットワークアクセスB担当コーポレートバイスプレジデントであるナディム・アブド（Nadim Abdo）氏は、インサイダーという呼称の意図を説明しました。「これは、エージェントが本質的に悪意ある存在だという意味ではありません。ユーザーが重要なシステムへのアクセス権を与えられる、高い能力を持つツールだということです。エージェントはミスをしたり、操られたり、侵害されたりする可能性があります」と述べています。
新機能の一つである「Dynamic Permissions」では、エージェントには当初、権限を一切与えないか、必要最小限の権限のみを与えます。アクセス権はタスクごとに付与され、タスクの変化や終了に応じて失効または縮小されます。影響の大きい操作には、人間による確認が必要です。
「Dynamic Agent Risk」は、各エージェントにリスクスコアを割り当て、継続的に更新します。算出にはエージェントの活動に加え、アイデンティティ、データ、エンドポイント、クラウド、ネットワーク、ランタイムの各シグナルを使用します。スコアには、エージェントのセキュリティ構成、アクセス可能なリソース、問題が起きた場合の被害の大きさ、ユーザーや組織の意図から逸脱していないかどうかが反映されます。
「Dynamic Conditional Access」は、Entra Conditional Accessをエージェントに適用する機能で、こうしたリスクの変化に応じて対処します。エージェントを単に許可またはブロックするのではなく、権限の縮小、読み取りのみで書き込みを許さない設定、アクセス可能なデータやネットワークリソースの制限、重大な操作に対する人による承認の要求などが可能です。リスクが十分に高まった場合は、エージェントのランタイムを隔離したり、実行を停止したりできます。
これを大規模に運用するため、MicrosoftはProject Perceptionに「Playbooks」と「Guardian Agents」のチームを導入します。人間がルールと承認の上限を定め、Playbooksがセキュリティ対応で達成すべき目標を規定し、Guardian Agentsがそれを実行します。Guardian Agentsは、エージェントのリスクが変動した理由を調べ、封じ込めを提案または実施します。
Microsoftはさらに、探索機能の対象をローカルエージェント35種類追加し、対応数を合計60種類に拡大します。対象にはClaude Code、OpenAI Codex、GitHub Copilotが含まれます。
