- Microsoftは、自律型AIエージェントがもたらすリスクを監視・制限・管理する「Guardian Agent」を発表
- 新たな制御機能により、リスクレベルの変化に応じてエージェントの権限、挙動、アクセスを動的に調整
- 同社は、「エージェント型インサイダー」には従来のセキュリティ対策を超えた、AIによる継続的な監視が必要と警告
AI関連の話題に関心のある方は、「Agentic Insider（エージェント型インサイダー）」と「Guardian Agent（ガーディアンエージェント）」という2つの新語を覚えておく必要がありそうです。Microsoftは、AIエージェントを運用する企業の業務を保護するための新ツールや新機能を一挙に発表した際、この2つの言葉を使いました。
MicrosoftでIdentity and Network Access担当コーポレートバイスプレジデントを務めるNadim Abdo氏が公開したMicrosoftのブログは、エージェントは本質的に悪意のある存在ではないものの、ミスを犯したり、操作や侵害を受けたりする可能性があると指摘しています。
エージェントが適切に機能するには比較的広範な権限を与える必要があります。そのため、適切に扱わなければ壊滅的な結果を招きかねないリスクが生まれます。
Agentic Overwatch（エージェントの監視）
Abdo氏はさらに、主人の命令で動くAIエージェントに、自らのセキュリティを任せることはできないと述べています。
「MicrosoftのSatya Nadella会長兼CEOは最近、この新しい時代に求められる信頼のアーキテクチャについて、知性の供給と、その知性に対する権限を切り分けなければならないと説明しました」とAbdo氏は書いています。
「モデル自身にセキュリティ上の権限を持たせるべきではありません。何にアクセスできるのか、どのような行動を取れるのか、稼働を続けてよいのかを決める制御は、モデルの外側に置く必要があります。そうすれば、モデルがそれらを回避したり、改ざんしたりすることはできません」
ここでのキーワードは「監視」です。しかし、AIエージェントは人間にはとても太刀打ちできない機械の速度で動くため、人間だけでは役割を十分に果たせません。そこで、下位のエージェントを監督する別のAIエージェントを導入する必要があるといいます。Microsoftは先に、エージェントを使った組織の防御を支援する「Project Perception」と「Microsoftサイバースタック」を発表していました。
Project Perceptionは、AIを活用したサイバーセキュリティシステムです。専門化した複数のAIエージェントを連携させ、セキュリティデータの分析、脆弱性の特定、さまざまな脅威の調査を行います。エージェントは3種類あります。弱点を探る「レッドエージェント」、潜在的な脅威を調査する「ブルーエージェント」、修正や対策を実施する「グリーンエージェント」です。
Microsoftは今回、このプロジェクトを拡張し、「エージェント型インサイダー」を保護する取り組みに乗り出すとしています。これが「Guardian Agent」です。
「Guardian Agentは、セキュリティチームが機械の速度と規模で継続的に運用できるよう支援します。サイバースタック全体にあるセンサー、コンテキスト、アクチュエーターが、変化するエージェントのリスクを把握し、それに応じて保護を継続的に適応させます」とAbdo氏は説明しました。「Project PerceptionとMicrosoft Agent 365はシグナルやコンテキストを共有し、統合レジストリを通じて、ITチームとセキュリティチームにエージェントとリスクの一貫した全体像を提供します。それぞれのチームが必要とする制御機能も備えています」
教官役のAI
Abdo氏によると、Guardian Agentは、非決定論的な知性を、決定論的な制御、独立した証拠、封じ込めの境界で取り囲むべきだというセキュリティ原則に基づいています。
これらの制御は、アイデンティティ、権限、データ、エンドポイント、ネットワーク、クラウド、ランタイムの7つの領域に分かれ、4つの責務を担います。1つ目は、どのエージェントが存在し、誰が所有し、なぜ存在し、何をしているのかを把握することです。2つ目は、各エージェントが行動する前に、アクセスできる範囲と実行できる内容を封じ込めることです。3つ目は、エージェントが使用するデータ、ツール、ランタイム、リソース、システムを保護することです。4つ目は、挙動、コンテキスト、リスクの変化に応じて、保護を継続的に適応させることです。
つまり、AIが無人機の群れを率いる教官役となります。状況の変化にリアルタイムで対応し、エージェントが適切に働き、暴走していないかを確かめるわけです。
Microsoftはまた、検出対象をさらに35種類のローカルエージェントに拡大すると発表しました。Claude Code、OpenAI Codex、GitHub Copilotなどが含まれます。さらにMicrosoft Entra Agent IDを拡張し、追加のエージェントパターンに対応するアイデンティティタイプを設けるとも明らかにしました。ローカルのエージェントに加え、セキュリティセンサーで新たに見つかった未知のエージェントも対象です。
「Dynamic Permissions（動的権限）」と「Dynamic Agent Risk（動的エージェントリスク）」により、Microsoftは、AIエージェントがアクセスできる範囲と実行できる内容を企業がより厳格に管理できるようにしつつ、その挙動とリスクレベルを監視し続けることを目指しています。Dynamic Permissionsは、エージェントのアクセスを特定のタスクに必要な範囲に限定します。一方、Dynamic Agent Riskは潜在的な脅威をチェックします。
リスクが高まった場合は、Dynamic Conditional Access（動的条件付きアクセス）が、権限の制限、特定の操作のブロック、人間による承認の要求などで対応します。さらに深刻な状況では、エージェントを停止し、隔離することも可能です。
