Falcon Guardianに追加された新機能により、セキュリティチームはAIエージェントの終了、再起動のブロック、ネットワークアクセスの遮断を行えます。
企業ネットワーク内で、自律型AIエージェントが想定外の動作をする事例が目立って増えています。こうした状況を受け、CrowdStrikeは企業向けの「AIキルスイッチ」を発表しました。モデルが暴走した際に、セキュリティチームがモデルを遮断し、無効化できるようになります。
このAIキルスイッチは同社のFalcon Guardianプラットフォームに統合されています。セキュリティチームは人の判断で、エージェントが動作している場所でその根本から終了させ、再起動をブロックし、さらに企業ネットワークへのアクセスまで遮断できます。
今回の発表の背景には、機密データにアクセスし、人間の監督が限られた状態でタスクを実行できる自律型AIエージェントを、企業が急速に導入しているという事情があります。
Counterpoint Researchのプリンシパルアナリスト、Soumen Mandal氏は次のように述べています。「こうしたエージェントは、機密データへのアクセスやコマンドの実行、業務アプリケーションとのやり取りを自律的に行えます。そのため企業は、有害なインシデントが起きた後で初めて気付く可能性があります。既存のセキュリティツールはエンドポイント、ネットワーク、IDを保護しますが、エージェントの指示や推論、ツール呼び出し、その後の行動までは十分に把握できない場合があります」
CrowdStrikeのAIキルスイッチの仕組み
AIキルスイッチは、企業内で稼働するAIエージェントを検出できるFalcon Guardianをベースに構築されています。Falconセンサーを使い、エージェントが何を指示され、何を通信し、何を実行しているかを追跡します。
まず、Falconセンサーはゲートウェイ上で、稼働中のエージェントを終了できます。これにより、悪意のあるエージェントや不正な動作をするエージェントが、調査中に動き続ける事態を防ぎます。CrowdStrikeは発表の中で、エンドポイント上での終了にも対応する予定で、近く利用可能になるとしています。次に、Falcon Guardianのポリシーを使い、対象のホストまたはホストグループでエージェントが再び起動するのを防ぎます。さらに、エージェントの企業ネットワークへのアクセスを遮断します。
この操作は、権限を持つ管理者が開始でき、すべての操作は監査証跡に記録されます。
Primus Partnersのマネージングディレクターで共同創業者のDevroop Dhar氏は、次のように述べています。「CrowdStrikeのAIキルスイッチのようなソリューションは、AIエージェントが予期せぬ動作をしたり、侵害されたり、悪意ある指示やスクリプトで操作されたりした場合に、企業が迅速に介入する手段となります。重要な安全策であり、危険または無許可のエージェントの活動を、大きな被害が出る前に封じ込められます」
一方、Gartnerのシニアプリンシパルアナリスト、Apeksha Kaushik氏は、キルスイッチは巻き戻しボタンではなく、緊急ブレーキとして捉えるべきだと指摘します。追加の行動は防げても、すでにアクセスされたデータ、変更されたシステム、送信された通信、開始された取引をすべて元に戻せるとは限らないと同氏は述べています。有効性は、異常な挙動をどれだけ早く検知できるか、どの環境を対象とするか、そしてエージェント自体やセキュリティ基盤が侵害されていないかにも左右されるといいます。
緊急ブレーキであり、AIリスクの特効薬ではない
公表された内容を見る限り、AIキルスイッチは有望に見えます。しかしアナリストは、実際の効果は本番環境で広く使われて初めて明らかになると警告しています。また、出発点としては良いものの、企業のAIセキュリティを単独で担う解決策とは見なせないとしています。
Dhar氏は次のように付け加えています。「CISOには、より統合的なアプローチが必要です。無許可のエージェントを特定するAI検出ツール、エージェントの挙動を追跡するランタイム監視、堅牢なID・アクセス管理、そしてインシデント対応と復旧の仕組みを組み合わせることが求められます」
同氏はさらに、厳格なAIセキュリティテストと、エージェントがアクセスし実行できる範囲を定めた明確なポリシーも同様に重要だと指摘しました。権限やアクセス制御、エージェントが動作を許される境界に、曖昧さがあってはなりません。目指すべきは、問題が起きてからキルスイッチで介入することに頼るのではなく、AIエージェントのライフサイクル全体にセキュリティ制御を組み込むことだといいます。
Dhar氏は、企業のAIエージェントは機密性の高いシステム、データベース、アプリケーション、認証情報、APIにアクセスできることが多いとも述べています。そのため、侵害されたエージェントや誤った指示を受けたエージェントは、脆弱性の起点になり得ます。こうした活動はしばらく気付かれない可能性もあり、組織が脅威を特定して封じ込めるのを難しくしている点も課題です。
