エージェントによる実行を統制する

セキュリティは、モデル層やネットワーク層だけに後付けできるものではありません。可視性、接続性、実行を継続的に統制するエージェント型コントロールプレーンを基盤として構築する必要があります。

ガバナンスのギャップ：すべての取締役会が抱える5つの問い

AIエージェントは、ほとんどのセキュリティチームが追跡しきれないほど急速に増加しています。Gartnerの予測によると、Fortune 500に選出されているグローバルエンタープライズにおいて、エージェントの平均利用数は2025年の15未満から2028年には15万以上へと急増します。これにより、エージェントの無秩序な増加やIT環境の複雑化、管理上の課題が深刻化するとみられています。AIエージェントに適切なガバナンスを導入できていると考える組織は、13%にすぎません。こうしたギャップがあるため、サイバーセキュリティおよびコンプライアンス委員会は、次の5つの問いに立ち返って答える必要があります。

1. AIエージェントはどこに存在し、誰が所有しているのか？
2. エージェントが実行できる操作をどのように制限し、タスクから逸脱させずに運用するのか？
3. 自律的な意思決定について、事後に監査し、経緯を説明できるのか？
4. エージェントのサプライチェーン全体におけるデータ漏洩およびサードパーティに起因するリスクには、どのようなものがあるのか？
5. エージェントがが制御不能になった場合に、検証済みのキルスイッチとロールバック計画は用意されているのか？

これら5つの問いは、セクション3で解説する「Blueprint」のリファレンスアーキテクチャの4つの柱に対応しています。「ディスカバリーとアイデンティティ登録」が問い1に、「アクセス管理」が問い2に、「ランタイム認可とモニタリング」が問い3と4に、そして「アクティブな封じ込め」が問い5に答える形になっています。CISOは、単なる保証ではなく証拠に基づいてこれらの5つの問いに答えることで、規制上・運用上のリスクに見合った制御レベルを維持しつつ、エージェントの導入を安全に加速できます。これができないと、ますます深刻化・増加するセキュリティインシデントに対して、脆弱性を抱えることになるでしょう。

これらの問いは、画一的なチェックリストではなく、リスクを評価するための診断ツールとして機能します。セキュリティ要件は当然ながら運用範囲によって異なります。読み取り専用の生産性アシスタントに、金融取引を実行するエージェントほどの封じ込め制御は必要としません。実際に該当するリスクを診断することで、セキュリティチームは現実のリスク状況に応じて制御できるようになります。これにより、組織は低リスクの導入に過剰な設計を行ったり、数か月におよぶ承認遅延に陥ったりすることを回避しつつ、高リスクのエージェントに適切な運用上の境界を確実に設定できるのです。

「Blueprint」のリファレンスアーキテクチャでは、自律的な実行を統制するために不可欠な4つの運用上の問いを軸として、エージェンティック企業のセキュリティを構築しています。それぞれの問いは、リファレンスアーキテクチャの主要な柱に対応しています。

1. エージェントはどこにいるのか？ 
2. エージェントは何ができるのか？
3. エージェントは何をしているのか？
4. どのように対応すべきか？

すべての問いに共通するのは、実行時のテレメトリ、ロギング、可観測性によって継続的に供給される実行コンテキストとリスクシグナルの強固な基盤が必要だということです。これらが組み合わさることで、システムがリスクパターンを把握し、連携して応答できる「結合組織」の役割を果たします。

3.1 第1の柱：エージェントはどこにいるのか？（開発、検出、アイデンティティ）

エージェンティック企業のセキュリティを確保する上で根本的な課題となるのは、可視性です。存在を把握していないものを、組織は統制・保護できません。この柱では、企業内のあらゆる環境で包括的な追跡機能を確立し、承認済みか管理対象外かを問わず、企業インフラ間を横断するあらゆるAIエージェントを特定し、カタログ化・評価します。最終的に、検証済みのエージェントを説明責任を担う所有者を持つ統制対象アイデンティティとして登録します。これにより、第2の柱においてアクセスポリシーと結び付けるための権威インベントリが作成されます。

3.1.1 AIエージェントの検出

AIエージェントの検出は、企業におけるエージェントの稼働領域を継続的に検知する仕組みとして機能します。社内の開発パイプラインから外部のサードパーティ統合まで、AIエージェントのライフサイクル全体が明確になり、稼働中のモデルや自律的なプロセスが見えない場所で動作しないようにします。

3.1.1.1 エージェントの開発

このコンポーネントは、社内の開発環境に焦点を当て、独自エージェントの積極的な構築・学習・調整が対象となります。開発パイプラインを保護することで、エージェントが本番データにアクセスする前に、セキュリティバイデザインを確実に担保できます。

• エージェントプラットフォーム：企業が管理するオーケストレーション環境で、エージェントのホスティング、トレーニング、体系的なデプロイメントが対象となります。

• エージェントフレームワーク：開発者がエージェントのロジックを構築するために利用する基盤のソフトウェアライブラリおよびアーキテクチャ（LangChain、LlamaIndex、AutoGenなど）です。

• LLMモデル：エージェントを駆動する認知エンジンとして機能する、基盤モデルおよびファインチューニング済みの大規模言語モデルです。

• 隔離されたビルド・実行環境：テストや評価の際にエージェントコードを実行する、セキュアでコンピュートを切り離したCI/CDの境界です。これにより、セキュリティチームは静的な登録情報だけに頼るのではなく、一時的なテスト実行を検出できます。

• その他の社内ツール：開発パイプラインに統合されたカスタムコードリポジトリ、コードアシスタント、社内モデルレジストリです。

• スキル：エージェントの機能拡張に用意された、定義済み処理モジュール、コードスニペット、またはツールです。

3.1.1.2 エージェントのインポート

現代のエンタープライズが単一のインテリジェンスソースのみに頼ることはほとんどありません。代わりに、急速に変化するエージェント型機能へのリスクヘッジとして、オリジン、フレームワーク、コンピューティング境界が異なる多様なエージェントアーキテクチャを取り込んでいます。エージェントのインポートは、こうした異なる種類のエージェントが企業エコシステムに導入されるプロセスを監視・統制して、その基盤となる導入モデルに基づき、組織全体でデータがどのように流れるのかに重点を置いています。

インポートするエージェントについては、「エージェントタイプ」「カテゴリー」「チャネル」の3つの独立した問いがあります。通常、1つのエージェントはこれら3つの問いすべてに回答を持っています。エージェントゲートウェイ経由で取り込まれ、社内の人事ワークフロー（B2E）で使用されるSaaSエージェント（ベンダー製）はその一例です。

• エージェントタイプ：誰が構築したのか？

  • ファーストパーティエージェント：汎用的なコンピュート環境（Kubernetesやサーバーレス関数など）上で生のコード（PythonやLangChainなど）を用いて完全カスタム実装で構築されたものから、ランタイム、メモリ、ワークフローオーケストレーションをネイティブに処理するプロバイダー固有のエージェントフレームワークで構築されたものまで、社内で開発されたAI機能を指します。

  • SaaSエージェント：企業ソフトウェアエコシステム内で、完全に独立したエンティティとして稼働する、目的特化型のサードパーティAI製品です。

  • ローカルエージェント：従業員のローカルデバイスに直接インストールされるクライアントアーキテクチャです。推論の各ステップがリモートのクラウドLLMプロバイダーへ送信されます。人間の意図とツールの実行とに位置する非決定論的なレイヤーとして動作し、推論を呼び出すたびに組織の境界を越えてデータが送受信されます。

  • オーケストレーションエージェント：ビジュアルオーケストレーションプラットフォーム上で構築されたエージェントで、さまざまなエンタープライズAPIを連携させる「つなぎ役」として機能します。

• エージェントカテゴリ：誰のためのものか？

  • B2E（従業員向け）エージェント：社内従業員向けのAIエージェント。企業内部のアイデンティティ管理やロールベースのアクセス制御内での企業ワークフロー、IT/HR運用、従業員の日常的な生産性を自動化します。

  • B2Bエージェント：企業の境界を越えて稼働するビジネス向けのAIエージェント。企業間のワークフロー、サプライチェーン取引、テナント横断のAPI統合を自動化します。

  • B2Cエージェント：サービス、コマース、またはサポートを目的に、外部エンドユーザーと直接やり取りする消費者向けのAIエージェント。パブリックのプロンプトインジェクション、ブランドリスク、消費者のPIIの漏洩に対する徹底した防御が求められます。

  • B2B2Cエージェント：企業クライアントを通じてパートナー企業のエンドユーザーに提供される、ホワイトラベル型またはベンダー提供型のAIエージェント。多層の隔離構造と推移的な信頼境界で稼働します。

  • パーソナルアシスタントエージェント：個人と企業の双方のコンテキストにまたがり、個人に代わって稼働する、消費者グレードの一般ユーザー向けのAIアシスタント。個人データと企業データへのアクセスの間に明確な境界制御を必要とします。

• 取り込みチャネル：どのように検出されますか？

  • エージェントゲートウェイ：外部エージェントやインポートされたエージェントが、社内APIとやり取りする際の取り込み口やプロキシです。

  • エコシステムレジストリとサードパーティカタログ：外部ベンダーのネイティブレジストリからエージェントの定義を継続的に監視・取得・連携する、自動化されたコネクターパイプラインやAPIアダプターです。手動操作を介さず、自動的にエージェントをカタログ化します。

  • MCPとスキルレジストリ：パブリックまたはベンダー提供のMCPおよびスキルレジストリから、エージェントがツールのスキーマ、スキル、コンテキスト定義を取得する取り込み口です。レジストリ自体がインジェクション攻撃のベクトルになります。悪意のあるエントリーや偽装されたエントリーが自動的に取り込まれ、使用される可能性があるため、レジストリから取得されたツールやスキルはすべて、エージェントが呼び出す前に「信頼できない入力」として扱われます。セクション3.1.2に記載しているサプライチェーンスキャンの対象となるものです。

3.1.1.3 シャドーAIの検出

従業員はワークフロー効率化のために、承認されていないAIツールを自然と利用するようになり、コンプライアンス違反、データ窃取、運用セキュリティのリスクをもたらします。シャドーAIの検出は、企業の境界を動的にスキャンして、未認可エージェントの展開や利用を検知します。 ディスカバリー機能と監視機能は、適用されるプライバシー、雇用、労働、労使協議会、データ保護の要件に従って実装する必要があります。その際、適切な透明性、比例性、データ最小化、保持、アクセス制御を確保しなければなりません。

• クラウドインフラストラクチャ：アクティブなネットワークおよびAPIの検査により、クラウドコンピュートインスタンスやサーバーレス環境、管理対象外のAPIエンドポイントを検出します。

• ネットワーク：リアルタイムのトラフィック解析とエグレス監視により、外部LLMプロバイダーやAIエンドポイントへの未認識のAPI呼び出しを特定します。

• エンドポイント：デバイスレベルでの監視を行い、AIバイナリ、スクリプト、またはローカルモデルの重みに対する未認可の実行を追跡します。

• ブラウザ：拡張機能の追跡とブラウザセッションの監視により、未承認のWebベースAIプラットフォームやチャットシステムへのユーザーログインを検出します。

• モバイルデバイス管理（MDM）とエンドポイント管理：デバイスレベルの継続的な監査により、未承認のローカルAI実行ファイル、ローカルモデルの重み、CLIエージェントツール、IDE拡張機能を検出します。同時に、ベースラインとなるセキュリティ態勢を徹底し、OSレイヤーで管理対象外のエージェントランタイムをブロックします。

• IoT、OT、エッジインフラストラクチャ：従来のエンドポイントソフトウェアを導入できない製造装置、PLC、組み込みハードウェアに対し、小規模言語モデル（SLM）や自律型エージェントを検出する産業用セキュリティ監視およびネットワークプロトコル検査機能です。

• メールとコラボレーションのフロー：メッセージ、チャット、カレンダーのトラフィックを解析して、アクティビティがエンドポイントやネットワークのエグレスログに表示される前に、ユーザーに代わってメッセージの送信、自動返信、カレンダーの管理を行う不正なエージェントを検出します。

• 検出面としての統制された実行パス：承認済みのエージェントが、一元管理されたコントロールプレーンを介して実行するアーキテクチャ上の境界です。この境界外で稼働するエージェント型プロセスは、環境ごとに個別の検出ルールを設定することなく、シャドーAIのシグナルとして自動的にフラグ付けされます。

3.1.2 AIエージェントセキュリティ態勢管理（AIASPM）

エージェントは、検出されると継続的に評価される必要があります。AIASPMは、エージェントインベントリ全体にわたってリスクプロファイル、設定のハイジーン、ソフトウェアでの既知の脆弱性を評価する診断レイヤーを提供します。

• リスクインベントリ：検出されたエージェントについて、ライフサイクル状態に関係なく、セキュリティ態勢、脆弱性、ソフトウェアの依存関係、設定ミスを追跡する一元化された動的なリスク台帳で、IAMに重点を置いたエージェントディレクトリを補完する、セキュリティリスクの観点を提供します。

• 脆弱性：標準的なソフトウェア脆弱性管理を、エージェント依存関係とモデルエンドポイントにまで拡張します。エージェントのコードベース、サプライチェーン、基盤モデル全体のCVEを対象とし、標準化されたフレームワークにマッピングして一貫したリスクスコアリングを実現します。

• コードとイメージの来歴：本番環境での実行前に、エージェントコード、コンテナイメージ、依存関係、モデルの重み（SLSAフレームワークの構成証明など）のオリジン、ビルドの完全性、署名を暗号技術によって検証します。不要なパッケージを削除し、最新のCVEデータに照らして再構築された、最小限の事前認証済みベースイメージを利用することで、サプライチェーンの攻撃対象領域を縮小し、ビルド時の来歴検証を簡素化します。

• ツールとスキルのサプライチェーンスキャン：ローカルエージェントの命令セット、実行スキル、リモートのModel Context Protocol（MCP）ツールスキーマ（MCPおよびスキルレジストリから取得したエントリを含む）を静的および動的に自動検査し、登録前に、埋め込まれた悪意のあるコード、隠蔽された操作、不正な送信パスを検出します。

• 設定ミス：継続的なスキャンにより、エージェントの初回レビュー通過後に生じる脆弱なパラメーター設定、安全でないシステムプロンプト、ハードコードされた有効期間の長い認証情報、なりすましのベクトル、構成ドリフトを検出します。

• 敵対的検証：使い捨ての隔離された実行境界内で、既知のプロンプトインジェクション、ジェイルブレイク、データ窃取パスに対してエージェントとそのガードレールの敵対的テストを継続的かつ自動的に実行し、本番環境に影響するリスクを冒すことなく、現実世界での悪用可能性を安全に評価します。

3.1.3 エージェントディレクトリ（エージェントのアイデンティティを登録、管理）

エージェントのインポート（セクション3.1.1.2）では、検出中に来歴とメタデータを取得しますが、エージェントディレクトリは、検証済みのエンタープライズホスト型エージェントすべての暗号化認証情報、所有権、ポリシーエンタイトルメントを正式に登録・維持する、信頼できるアイデンティティリポジトリです。登録は、検出されたエージェントと管理されたエージェントを分ける境界線であり、第2の柱におけるすべてのアクセス決定の前提条件となります。

ホストされているすべてのエージェントと個別のエンタイトルメントを持つすべてのサブエージェントは、エンタープライズシステムへのアクセスを要求する前に、検証済みのプロファイル、暗号化アイデンティティ、説明責任を負う所有者、明確な構造的関係とともに、ここに登録する必要があります。人間の認証情報を共有してチームが登録を回避することがないように、登録は十分に軽量なものにしてください。親のスコープを継承するローカルエージェントとエフェメラルなサブエージェントは、個々のディレクトリのエントリではなく、以下に説明する封じ込めと委任のコントロールによって管理されます。エージェントがインポートされると、ディレクトリは、そのエージェントがエンタープライズ内でどのように稼働するのか、つまりエージェントがどのような役割を果たすのか、そして、どのように自身のアイデンティティを証明するのか、という2つの問いに答えます。

• エージェントクラス：どのような役割を果たすのか？

  • 自律型エージェント：人間の直接的な監視を受けることなく、長期的なビジネス目標を達成するために非同期で稼働する、完全に独立したエージェント。

  • OBO（On-Behalf-Of）ヒューマンエージェント：特定の人間ユーザーのセッションに直接関連付けられたタスクを実行するエージェント。代理として機能し、そのユーザーの基盤となる権限によって制約されます。

  • オーケストレーターエージェント：目的をサブタスクに分解し、ダウンストリームのサブエージェントを生成、調整、監督する親レベルのエージェント。ディレクトリは、委任チェーンと生成関係をファーストクラスの属性として追跡する必要があります。 

  • サブエージェント：個別のディレクトリ登録ではなく、継承されたセッションスコープによって管理され、個別のサブタスクを実行するために親オーケストレーターによって動的に生成または呼び出される、特殊な子エージェント。LLM内で適用されるモデル内のタスク境界は失敗する可能性があるため、サブエージェントを、継承された権限スコープを構造的に適用する隔離された実行境界内でラップし、権限昇格による推論エラーを防ぐ必要があります。

  • 物理/身体性エージェント：ロボット、アクチュエーター、その他の物理システムを制御するエージェントです。このアーキテクチャはアイデンティティとアクセスを統制しますが、既存のプラント安全性、OTセキュリティ、変更管理の制御を置き換えるのではなく、補完するものです。

  • ガーディアンおよびセキュリティエージェント：セキュリティコントロールプレーン内で稼働する、特化型の管理AIエージェント（SOCトリアージエージェント、動的ポリシーエンジン、継続的なASPMスキャナーなど）。テレメトリを検査し、封じ込めアクションを実行するための高い特権を持つため、ガーディアンエージェントのアイデンティティには、必須の暗号化ワークロード証明、厳格な職務の分離、および所有者による継続的なサインオフが必要です。 

• アイデンティティ基盤：それが本当にそのエージェントであることを何が証明するのか？

  • エージェントアイデンティティのメタデータプロファイル：エージェントの意図、オリジン、リネージ、運用コンテキストを定義し、リスクベースのアクセス判断に情報を提供する豊富なメタデータプロファイル（CIMD）です。

  • ワークロードアイデンティティ：動的なクラウド環境全体でエージェントに安全で検証可能なIDを発行するために使用される、暗号化され、プラットフォームに依存せず、標準ベースのアイデンティティ生成フレームワークです。

  • エージェントのガバナンスメタデータ：エージェントのディレクトリレコードに紐付けられた構造化メタデータで、説明責任を負う人間の所有者、指定された運用チーム、またはオンコールキュー、ライフサイクルの状態（アクティブ、一時停止、廃止など）、リスク階層、運用スコープなどの情報が含まれます。このメタデータは、アクセス制御のオーサリングとランタイム評価のために、ポリシーエンジンによって継続的に使用されます。 

  • A2Aエージェントプロトコル：標準化された相互運用性フレームワークを活用して動的に機能を検出し、タスクを委任し、エンタープライズの境界を越えてピアツーピアで連携するAIエージェント。共有ディレクトリやトラストルートを持たない組織間でやり取りする場合、エージェントは暗号的証明とトークン交換標準（WIMSE/AIMS、OAuth Token Exchange、HTTP Message Signaturesなど）を利用して、委任チェーンを維持し、仲介者間で主体のアイデンティティを検証します。

3.2 第2の柱：何ができるのか？（アクセスとエンタイトルメント）

自律型エージェントは、本質的に行動するために設計されており、そのためにはデータ、API、システムに接続する必要があります。第1の柱で確立された検証済みアイデンティティを基盤として、この柱では、人間が直接委任したセッションと、複雑なマルチエージェントのワークフローの両方において、エージェントが企業リソースとやり取りする方法を統制する境界と権限を定義します。これにより、人間中心のレガシーモデルを、マシンツーマシンのAIガバナンスで強化します。

3.2.1 アクセスポリシー（アクセスポリシーの定義）

アクセスポリシーは、アイデンティティが検証されたエージェントが何を読み取り、書き込み、実行できるかを定める運用上の境界を定めたものです。生成AIの出力は予測不可能な性質を持つため、こうしたポリシーは、コンテキストに深く対応した、アダプティブなものである必要があります。

• 大まかなコントロール：エージェントが接続できる高レベルの環境やマクロサービスを定義する、ロールベースの幅広いコントロール。

• きめ細かなコントロール：属性ベースおよびオブジェクトレベルの権限により、エージェントを特定のデータベース行、ファイル、または特定のAPIメソッドに制限します。企業のデータ分類ラベル（機密情報、PIIなど）を明示的に考慮して、コンプライアンスに準拠したデータ境界を徹底します。ポリシーの構成要素は、データの分類、エージェントのアイデンティティ、リスクのスコープ、環境コンテキスト、アクションの種類にまたがることがあります。

• 関係性ベース：エージェントのグラフ関係（生成元、誰の代理か、どの階層の下に属しているか）から派生するアクセス。 

• インテントベース：リソースへのアクセスを付与する前に、エージェントのプロンプトやプランが意味する意図を分析する高度なポリシーエンジンです。現在のツールでプランを検査することは可能ですが、ユーザーのプロンプトをそのまま唯一のトリガーとして扱うのは理想論にすぎません。なぜなら、エージェントは必ずしもプロンプトだけに基いて行動するとは限らないからです。一時的かつ期限付きの特権は、特定のタスクの実行中のみを対象として作成され、タスク完了後すぐに取り消されます。

• ネットワークベース：エンタープライズVPC間のエージェントトラフィックを制限するマクロセグメンテーションと、エージェントとターゲット間の通信を承認済みのIP範囲またはサービスメッシュに制限するL3/L4マイクロセグメンテーションコントロールを組み合わせたものです。

• 時間制限付き：時間制限付きの権限付与は、単一のタスクまたはセッションにスコープが限定され、完了またはタイムアウトすると自動的に取り消されます。自動承認および自動失効する権限付与だけではコントロール値は限定的なため、期限付きのスコープとセクション3.3.1.2で説明する異常検知を組み合わせて使用してください。有効期限のみを安全策として使用しないでください。

• アプリ間のアクセス：エージェントが個別のアプリケーションエコシステム間を横断する能力を統制するポリシーフレームワークと境界のコントロールです。これにより、エージェントがさまざまなエンタープライズプラットフォーム間でワークフローをオーケストレーションする際に、安全なデータ変換、トークン交換、および関数実行が可能になります。

• 委任と継承：サブエージェントの実効許可境界は、混乱した代理人（Confused Deputy）問題のエスカレーションを防ぐため、サブエージェント自身のエンタイトルメントと、委任元のエージェントまたは人間が持つエンタイトルメントの交差部分として計算されます。また、ポリシーでは、無制限な拡散を防ぐため、委任の幅と深度に上限を設けるべきです。

• ガードレール：エージェントの意図やきめ細かい特権に関係なく、自律的な推論ループをオーバーライドして、コンプライアンスに違反するアクション、有害な出力、リスクの高い運用手順をグローバルに防止する、厳格で決定論的な安全上の制約および行動上の境界です。

3.2.2 ガバナンス

ガバナンスは、コンプライアンスのベースラインと継続的な監視ループを提供します。手作業による形式的なレビューではなく、自動化されたツールを使用して、エージェントの特権が、エージェントの速度に合わせた最小権限の原則に沿ったものであるよう維持します。

• 条件付きレビュー：エージェントのアクションが、付与された技術的な権限の範囲内であるかどうかにかかわらず、定義された金額または業務上のしきい値（$ 1,000を超える購入や予約など）を超えた場合に、自動または人間が介在する承認ワークフローをトリガーします。

• アクセスレビュー：システム所有者が不適合な権限を検証する際に役立つ、自動化された継続的なエンタイトルメントのスキャンです。

• アクセスリクエスト：既存のエージェントに新しい機能、モデル、またはシステムアクセスをプロビジョニングするための、正式な監査済みのワークフローです。リクエストは、人間の所有者から、または実行時にエージェントから動的に発行される場合がありますが、エージェントが自動化されたワークフローを操作して過剰なアクセス権を付与するのを防ぐために、エージェントが開始したリクエストは静的な権限の上限に照らして厳密に評価され、スコープを拡大するには所有者による検証が必要です。

• 職務の分離（SoD）：財務トランザクションの作成と承認など、単一のエージェントが相反する特権を保有することを防ぐアルゴリズムベースのルールです。

• 入社・異動・退職（JML）：人間のアイデンティティライフサイクルで用いられるオンボーディング、変更管理、デプロビジョニングの規律を、エージェントのスコープ、所有権、またはモデルバージョンの進化にも同様に適用します。

3.3 第3の柱：何をしているのか？（ランタイムの認可と制御）

インラインのランタイム監視と制御実施がなければ、可視性とアイデンティティは効果を発揮しません。この柱では、エージェントがタスクを実行する際にそのアクションをリアルタイムで傍受、検査、認可することに重点を置いています。これにより、エージェントが悪意のある行動を取ったり、機密データの取扱いを間違ったり、重要な企業資産を危険にさらしたりすることを防ぎます。

3.3.1 ランタイムの認可と監視

ランタイムの認可と監視は、ライブエージェントセッションのアクティブな検査レイヤーとして機能します。実行パスに直接配置され、エージェントへの入力と、エージェントから外へ拡散するアクションや出力の双方を分析します。

3.3.1.1 ゲートウェイ（アクセスポリシーを適用）

ゲートウェイは、多層防御チェーンにおいてポリシー適用ポイント（PEP）として機能します。エージェント型レイヤーとエンタープライズスタックの他の部分との間のトラフィックを傍受し、プロトコルを解析して、不正な呼び出しが宛先に到達する前にブロックします。ダウンストリームAPIゲートウェイは、アップストリームのAI/エージェントゲートウェイがすでに何を検査したかに関わらず、すべての呼び出しに対して独自の検証を実行し、最終的な認可権限を有します。AI/LLM、MCP、セキュリティ、エージェント、APIゲートウェイは、多くの場合まとめて展開されますが、それぞれが個別のコントロールポイントを持っています。AI/LLMゲートウェイはモデルとAPI間のトラフィックを統制し、MCPゲートウェイはツール/コンテキスト共有プロトコルのトラフィックを統制します。セキュリティゲートウェイはプロトコルに依存しない脅威の検査を提供し、エージェントゲートウェイはエージェント固有のアイデンティティと委任に関する問題を管理します。そして、APIゲートウェイは、エージェントが呼び出すツールやサービスに対して、従来のAPIレイヤーの制御を適用します。

• AI/LLMゲートウェイ：基盤モデルへの低レベルのAPI呼び出しを傍受し、レート制限、トークン数、システムプロンプトのオーバーライドを管理します。

• MCP（Model Context Protocol）ゲートウェイ：MCPサーバーに重点を置き、エージェントとアプリケーション間のコンテキスト共有プロトコルとオープン標準の統合を管理するために最適化された、特化型プロキシです。

• セキュリティゲートウェイ：エージェントのやり取りに対して、専用のコンテンツセキュリティとプロトコル検証を提供するインラインの脅威軽減レイヤーです。トラフィックフローに直接配置され、TLSを終端してリアルタイムでペイロードを深く検査し、複雑なプロンプトインジェクション、ジェイルブレイク、隠された敵対的なテキスト文字列、悪意のあるコードペイロードがエージェントやダウンストリームのリソースに到達する前に積極的に傍受して取り除きます。 また、データ分類スキャンを実行して外部に送るデータを編集したり、モデル出力の構造的整合性チェックや暗号化されたエージェントペイロードの暗号的検査を実行したりします。

• エージェントゲートウェイ：エージェント固有のランタイムコントロールプレーンとして機能します。すべてのリクエストにエージェントのアイデンティティをバインドし、エージェントが利用するツール/MCPレジストリを維持し、アイデンティティ、コンテキスト、およびリクエストされた特定のアクションに基づいて、アクセスだけでなくエージェントのアクションも管理します。 安全でないやり取りをリアルタイムで停止します。組み込みポリシーとカスタムポリシーによって、リスクのあるモデルトラフィックをブロックまたは無害化し、機密性の高いツールのアクションを拒否するか承認を要求します。また、エージェントが永続的なエンタープライズAPIキーやサービスアカウントのシークレットを処理、保存、公開することがないよう、実行時にシークレットレスで有効期間の短いダウンストリーム認証情報をAPI呼び出しに挿入します。サポート対象のマルチエージェントインタラクション全体で管理されたテレメトリーを提供し、設定されたポリシーと機能に従ってPIIを含む機密データを検出またはマスキングすると同時に、安全でない動作や悪意のあるプロンプトベースの攻撃から防御します。

• APIゲートウェイ：エージェントとMCPサーバーが使用するツールやサービスに対して、従来のAPIレイヤーの制御、レート制限、クォータ、スキーマ検証、mTLS、WAF、トラフィックシェーピング、ゲートウェイでの権限取り消しを適用し、アップストリームのAI/エージェントゲートウェイがすべての異常をすでに検出したと想定するのではなく、すべての呼び出しに対して独自の最終認可チェックを実行します。

3.3.1.2 監視（ランタイムの監視）

監視機能は、詳細な可観測性、脅威検知、および能動的な制御適用を提供します。ランタイムのテレメトリーをスキャンして、異常な動作、データ漏洩、外部からの脆弱性悪用の試みを検知し、サンドボックス化やエンドポイントの隔離といった制御をリアルタイムで適用します。

• サンドボックス化：エージェント（特に信頼できないエージェント、サードパーティエージェント、または新しく更新されたエージェント）の実行を、安全で制約のあるランタイム内に隔離することで、ラテラルムーブメントを防止し、構造的な境界を設けて実行リスクを封じ込めます。

• エンドポイントの隔離と許可リスト登録：OSレベルのサンドボックス化、エンドポイントアプリケーションの許可リスト登録、ローカルデバイスの態勢チェックなど、エンドポイントでホストされるエージェントのローカルランタイム制御により、ローカルエージェントのコマンド実行とファイルアクセスを制限します。 

• ツール/データアクセス：ダウンストリームのツールやリポジトリに渡される引数、ペイロード、スキーマ、クエリをリアルタイムで構造的に検査・監査します。実行境界の内部またはその直近で検査を実行することで、動的な実行プランが認可済みのパラメーターから逸脱したり、セッションの途中で意図しない変更が加えられたりすることを確実に防げます。

• 脅威/異常検知：機械学習エンジンがエージェントの行動ベースラインを追跡し、データアクセスにおける異常な急増、APIの急速なループ、通常とは異なる実行パターンにフラグを立てます。

• プロンプトインジェクション：エージェントのコアロジックを乗っ取ったり、システム命令をオーバーライドしたりすることを目的とした、直接的および間接的な敵対的テキスト文字列を検出するように設計されたインラインスキャナーです。

• DLP/出力フィルタリング：データ漏えい対策（DLP）ツールがエージェントの出力をスキャンし、独自のソースコード、PII、企業秘密が外部プロバイダーや不正なユーザーに漏洩するリスクを軽減します。

• トレース：プライマリーユーザープロンプトによってトリガーされる正確な実行パス、コールスタック、サブエージェントの呼び出しを記録する、包括的なトランザクションマッピングです。

• コストとパフォーマンス：トークンの使用状況、運用コスト、レイテンシー、リソース消費量を追跡し、エージェントの無限ループやリソース枯渇攻撃を防止します。

• ワークフローインザループ：リスクの高いアクションに対してエージェントの実行を一時停止するプログラムによるトリガーで、続行する前に、自動化されたポリシーのクロスチェックや人間による明示的な承認にルーティングします。

• 継続的な監視：きめ細かいトレース、監査証跡のロギング、エージェントのアクションの否認防止など、エージェントのアクティビティを継続的に監視し、エクスポートする機能です。 

3.3.1.3 継続的な意図と整合性の適用

継続的な意図と整合性の適用により、エージェントが実行中、委任されたタスクの範囲内にとどまっているか、または不正な目的拡大に向けてドリフトしていないかを判断します。これは初期アクセスポリシーを補完するものです。インテントベースのポリシーはエージェントが最初に何にアクセスできるかを決定しますが、継続的な整合性の適用では、変化するマルチステップの行動が長期にわたって適切であり続けるかどうかを評価します。

主な機能は次のとおりです。

• 目的のバインディング：委任元のユーザー、エージェントのアイデンティティ、承認済みのワークフロー、要求されたタスクの間で厳密な連携を徹底します。

• 計画とアクションの評価：計画されたツールコールと観測されたアクションをランタイムで比較し、タスクのドリフト、インジェクションによる逸脱、および混乱した代理人（Confused Deputy）問題を検出します。

• コンテキストに対応する適用：許可、拒否、修正、ステップアップ承認、スコープの縮小、一時停止、封じ込めなどのアクションをリアルタイムで実行します。

• 追跡可能な意思決定の証拠：それぞれの重要なアクションが許可、変更、またはブロックされた理由を説明する、否認防止機能を備えた監査ログを維持します。

3.3.2 リソースアクセス

リソースアクセスは、エージェントの実際の影響範囲を明確に示します。エージェントがやり取りできる多様なダウンストリームターゲットを分類し、すべてのインターフェイスが適切なセキュリティラッパーで保護されるようにします。

3.3.2.1 ターゲットリソース（アクセスするコンポーネント）

ターゲットリソースは、エージェントのアクションの宛先を表します。コンテキストのプルと変更のプッシュのどちらを実行する場合でも、こうしたエンドポイントを継続的にカタログ化して防御する必要があります。

• MCPサーバー：Model Context Protocolを介してエージェントとコンテキスト情報（構造化データ、ドキュメント、埋め込み、ツール、状態）を共有するように明示的に構成されたデータリポジトリおよびユーティリティサーバーです。

• SaaSアプリ：企業の機密データが大量に保存されている、エンタープライズの生産性向上および基幹業務アプリケーションです。

• データストアとナレッジリポジトリ：ベクトルデータベース、データレイク、ウェアハウス、トランザクションストレージシステムなどを含む構造化および非構造化リポジトリで、エージェントがビジネスコンテキストを抽出したり、運用上の出力をコミットしたりするために利用します。これらのリポジトリは、データセキュリティ態勢管理（DSPM）プラクティスによって管理されており、エージェントが各ストアにアクセスする際にリネージと分類を追跡します。

• CLIツール：エージェントがシステムレベルのスクリプト、構成、または運用コマンドを実行できるようにするコマンドラインインターフェイスです。

• その他のエージェント：より広範なワークロードの一部の構成要素を実行するよう割り当てられた、ダウンストリームのサブエージェントまたは特化型エージェントです。

• 特権付きリソース：ルートディレクトリ、アイデンティティストア、マスター構成コンソールなど、機密性の高いターゲット環境です。

• 標準エンドポイントとレガシーエンドポイント：MCPなどのエージェント型コンテキストプロトコルをネイティブにサポートしない、エンタープライズREST/GraphQL API、データベース、およびレガシーアプリケーション。

• 決済システム：金融ネットワーク、トランザクションゲートウェイ、会計台帳には、最高レベルの暗号検証人nによる監視が求められます。

• ブラウザ：エージェントが公開情報をスクレイピングしたり、Webベースの外部コンソールを操作したりするために利用する、Webの自動化されたセッションです。

• スキルのランタイムと実行可能コード：コードインタープリター、スクリプト実行サンドボックス、およびエージェントによって動的に呼び出されて生成コードを実行するプロシージャルモジュールで、ランタイムエスケープのリスクを軽減するために、隔離されたコンピューティング境界を必要とします。 

• 基盤モデル：重みがホストされる未加工のインテリジェンスプロバイダーで、安全で検証済みのモデルAPIキーを必要とします。

• コミュニケーションおよびコラボレーションチャネル：エージェントがやり取りを行うメール、チャット、チケットシステムで、ペイロードの深い検査とスキャンの対象となる、信頼できないプロンプトの入力パスを表します。 

3.3.2.2 目的に応じたデータセキュリティ 

目的に応じたデータセキュリティでは、委任された目的、ユーザーの権限、エージェントのアイデンティティ、ワークフローの状態、データの分類、受信者、宛先、ダウンストリームのアクションに基づいて、特定のデータを特定のエージェントがアクセス、処理、変換、要約、開示、または送信すべきかどうかを評価します。アクセス時だけでなく、使用時にもデータ制御を適用します。エージェントは、システム間でデータを組み合わせ、機密性のない入力から機密情報を推測し、出力、API、メッセージ、ファイル、サブエージェントの呼び出しを通じて結果を開示するため、この点は重要です。データの分類とDLPによって、そのデータが何であるか、機密情報であるかどうかが判断されます。一方、目的に応じたデータセキュリティによって、その状況でそのデータを使用することが適切かどうかが判断されます。主な機能は次のとおりです。ユーザーのリクエスト、エージェントのタスク、データソース、許可された用途の間の目的の紐付け。アクセスと開示が現在のワークフローのステップに適しているかどうかのランタイム評価。要約、変換、エクスポート、アプリ間の移動、サードパーティのエージェントへの開示に対する制御。データの過剰な取得、過剰な検索、不正な推論、不適切な共有の検知。編集から、マスキング、部分的な応答、承認ワークフロー、ログ記録、ブロック、封じ込めにわたる強制適用。

3.4 第4の柱：どのように対応すべきか？（アクティブな封じ込め）

このブループリントの最後の柱は、テレメトリーを即時の封じ込めに変えることです。監視システムが異常な動作、認証情報の侵害、またはプロンプトインジェクション攻撃を検出した場合に備えて、エンタープライズには、自社の対応によって停止を引き起こしかねない破壊的なアクションを取るのでなく、問題の規模に応じて影響を最小限に抑えた対応（レート制限や隔離など）を優先する、高度に自動化された精緻な緩和メカニズムが必要です。

3.4.1 対応/強制適用（スロットリングと封じ込め）

自動化された運用制御ループは、リスクシグナルにリアルタイムで対応するように設計されています。これは単一の一元的なチョークポイントとしてではなく、連携した制御レイヤーとして機能し、技術スタック全体にわたって、適切なセキュリティレスポンスを実行します。

強制適用は、標準化された通知プロトコルと組み合わせることで最も効果を発揮します。つまり、リスクを検出したシステムがキルスイッチイベントを発行し、サブスクライブしているシステムがそれに基づいて動作し、その結果を確認シグナルとして返すシステムです。

3.4.1.1強制アクション（軽減メカニズム）

強制アクションとは、セキュリティチームや自動化されたオーケストレーターが、問題のあるエージェントや侵害されたエージェントを隔離、封じ込め、または完全に無力化するために実行できる、具体的かつ多層的な手段のことです。これらのアクションは、隔離された単発のスイッチではなく、SOCが所有する対応オプションのライブラリを形成します。対応担当者は、集約されたリスクシグナルに応じて、最も影響の少ないアクションを選択します。ガーディアンエージェントによってトリガーされる封じ込めアクション（一時停止、隔離、終了）では、ターゲットエージェントが、マネージドクラウドサービス、SaaSアプリケーション、コンテナ化されたランタイムのいずれで実行されているかにかかわらず、きめ細かいセッションレベルのコントロールに対応する実行境界内で動作する必要があります。隣接するワークフローに付随的な影響を与えることなくエージェントを一時停止するための基盤となるプラットフォームやランタイムのサポートがなければ、API主導の封じ込めは誤った安心感を与えることになります。 物理的な機器やOTに紐づけられたエージェントを封じ込める場合、突然の隔離によって工場の現場で物理的安全上の危険や運用上の危険が生じないように、自動化されたトリガーを調整する必要があります。

• トークンの失効：アクティブなOAuthトークンまたはAPIアクセストークンを即座に無効にし、エージェントが接続先のアプリケーションを呼び出す機能を直ちに停止させます。　

• セッショントークンの失効：アクティブなOAuthトークンを無効にし、接続されているエンタープライズサービス全体でダウンストリームのセッションコンテキストを失効させること、および/またはエージェントの広範なアイデンティティを必ずしも削除することなく、単一の特定のインタラクション文字列のアクティブなランタイム接続を切断すること。

• 継続的な認可：リスク態勢が変化した瞬間に権限を即座にダウングレードする、セキュリティコンテキストの動的かつリアルタイムな再評価。

• プロセスの終了：隔離が失敗した場合の最終手段として、コンピューティングランタイムを強制終了します。ただし、終了するとメモリ内のフォレンジックテレメトリが失われるため、可能な限りネットワークの隔離、セッションの中断、または実行環境の中断を選択してください。

• ネットワークの隔離：マイクロセグメンテーションのルールを利用してエージェントのホスティング環境を隔離し、内部ネットワークとオープンなインターネットの双方との通信を遮断します。

• クラウドサービスの終了：不正なエージェントをホストしている基盤のクラウドインスタンス、サーバーレス関数、または仮想マシンクラスターを即座にシャットダウンします。

• エージェントプラットフォームの終了：一元化されたエージェントオーケストレーションプラットフォームに対し、エージェントの運用アカウントを一時停止し、スケジュールされたすべてのタスクを停止するよう指示する、最上位の管理コマンドです。

• スロットリングとレート制限：適度な初動対応として、エージェントのリクエストレート、トークンバジェット、または同時実行性を段階的に制限し、セッションを完全に切断することなく機能を低下させます。

3.4.2アクセス復旧 

キルスイッチは制御ループの半分にすぎません。すべての封じ込めアクションには、検証済みで既知の直近の正常状態に戻すための、対応するパスが必要です。アクセス復旧は、封じ込め、隔離、または終了されたエージェントをサービスに復元する方法を規定し、強制措置が自動的に取り消されるのではなく、復帰が意図的で、文書化され、追跡可能であることを確認します。完全に自動化・標準化された復旧ワークフローは依然として目標の状態であり、今日のほとんどの組織では、以下のいずれか1つ、またはそれ以上のステップで手動による承認を必要としています。

• 再構成証明：アクセスを復元する前に、新しく隔離された実行インスタンスで、エージェントのアイデンティティ、コード、構成を既知の正常なベースラインと照合して再検証します。

• 段階的な再登録：すべての特権を一度に復元するのではなく、アクセス権を段階的に復元します（例：書き込みの前に読み取り専用、本番環境の前にサンドボックス環境など）。

• 根本原因の承認：エージェントを再度有効にする前に、人間の担当者またはセキュリティチームが根本原因と修復について文書化することを必須とします。

• 監査証跡の完結：元のキルスイッチイベント、修復アクション、再登録の決定を、完結した監査可能な単一のインシデントレコードにリンクします。

3.5 横断的な基盤コンポーネント 

これらのアーキテクチャレイヤーはサイロ化されているわけではなく、4つの柱すべてにまたがる横断的な基盤を提供し、可視性、アイデンティティ、監視、対応を1つのセキュリティファブリックにつなぐ結合組織として機能します。

3.5.1 実行コンテキストとリスクシグナル

実行コンテキストとリスクシグナルは、このブループリントの要素をつなぐ分析的な組織として機能します。リアルタイムのランタイムテレメトリ、セキュリティ態勢評価、および委任元のユーザーアイデンティティシグナル（アカウント侵害のインジケーターや高権限の主体リスクなど）から継続的に情報を受け取るこのオーケストレーションエンジンは、個別では低リスクの状態でも相関的に有害な組み合わせとなる脅威を動的に評価します。問題が発生した場合のアラートだけでなく、何が有効かに関する既知の構造的な確認情報、つまり正常な実行コンテキストも公開します。しきい値を超えた場合（例えば、唐突なプロンプトインジェクションと財務データ窃取の試みの組み合わせなど）、リスクシグナルが対応する対応/強制適用メカニズムを直接的かつプログラム的に作動させます。異種ベンダー環境全体でリアルタイムの相互運用性と協調的な対応を確保できるよう、このシステムはShared Signals Framework（SSF）や継続的なアクセス評価（CAEP）などのオープンなセキュリティエンジニアリング標準を活用して、ゼロトラストの状態変更を非同期で公開および利用できます。

3.5.2AIエージェントのテレメトリ、ログ、可観測性

これは、リファレンスアーキテクチャのすべての柱を支える、基礎となるベースラインレイヤーです。これは不変のデータプレーンとして機能し、エンタープライズスタック全体で実行メタデータをキャプチャします。また、必須のインラインペイロード編集によって、PII、シークレット、認証情報がログレイクに入るのを防ぎます。このような構造化された高精度のロギングレイクがなければ、自動化された脅威検知は不可能になり、態勢評価にはデータが不足し、フォレンジックインシデントレスポンダーはまったく状況を把握できなくなります。複雑なマルチエージェントインタラクションにおける一貫性を確保し、ベンダーのサイロ化を軽減するために、このレイヤーではOpen Cybersecurity Schema Framework（OCSF）などのオープンな標準を活用して、多様なログストリームを単一の統一されたセキュリティ分類に正規化できます。

• 改ざん防止テレメトリのオリジン：自己報告型のエージェントログに依存するのではなく、実行境界でテレメトリをキャプチャすることで、否認防止を徹底できます。これにより、侵害されたエージェントが実行記録を隠蔽、変更、改ざんすることを防ぎます。