Microsoftが社内AIエージェントを「内部脅威」と呼ぶ理由は？ 「3つの封じ込め策」とともに紹介：セキュリティニュースアラート

「フロンティアモデルは提供元にかかわらず信用できない」――Microsoftのセキュリティ責任者はこう断じる。攻撃者によるAIの悪用に注目が集まる一方、自社で展開したAIエージェントは暗黙のうちに信用されがちだ。Microsoftがこうしたエージェントを過剰な権限を持つ「内部脅威」と位置付ける理由と、封じ込めのための3つの対策を紹介する。

[ITmedia]

　Microsoftは2026年10月19日（米国時間）、企業内で稼働するAIエージェントのリスクと対策について、同社のハイヤッテ・ギャロ（Hayete Gallot）氏（セキュリティ担当エグゼクティブバイスプレジデント）の見解を公式ブログで公開した。

　ギャロ氏によると、ここ数カ月でAIの安全性に関わる事案が相次いで公になり、高性能なAIモデルは扱いを誤れば大きな脅威になることが明らかになった。ただし、これまで懸念の中心は攻撃者が高性能なモデルを悪用することにあり、自社で稼働するエージェントは自ら展開したものであるため、暗黙のうちに信用されてきたと同氏は指摘する。

　その信用に根拠はないというのが同氏の見方だ。「残念ながら、フロンティアモデル（最先端のAIモデル）は提供元にかかわらず信用できない」。理由はモデルが悪意を持つからではない。モデルは結果を出すように訓練されるため、目的を果たそうとして開発者が意図しない手段を取る「報酬ハッキング」に陥りやすい。組織の規範や判断に沿うように最適化されてもいない。エージェントは状況に応じて振る舞いを変え、意図通りに動くとは限らず、乗っ取られていなくても目的を遂げるために他のエージェントと結託することがあるという。

　ギャロ氏によると、企業では既に多数のエージェントが稼働し、その数は急増している。こうしたエージェントは過剰な権限を持っていることが多く、データやツール、システムにアクセスして、重要な業務プロセスで判断や実行を担うこともある。同氏はこうしたエージェントを「エージェンティックインサイダー（agentic insider）」と呼び、企業活動に能動的に関与する存在だと位置付ける。

信用できないAI、どう管理下に置く？　Microsoftの3つの封じ込め策

　ギャロ氏は、エージェントの監視と保護を継続的な取り組みにする必要があると述べる。エージェントが今何をしているのか、その行動がどのようなリスクを生むのかをリアルタイムに把握し、行動できる範囲を調整するためだ。Microsoftが2026年7月27日に発表したエージェンティックセキュリティシステム「Project Perception」（注1）は、企業の外部からAIを使って仕掛けられる攻撃を防ぐためのものだが、この基盤は企業内のエージェンティックインサイダーの管理にも使えるという。

　同社がこの基盤で実装する3つの対策と、他環境でも取り入れられる考え方とは何か。

　ギャロ氏は、Project Perceptionをエージェンティックインサイダーの封じ込めに使うことを、「非決定論的な知能に対して決定論的な制御を実装する」ことだと説明する。同じ入力でも出力が一定しないAIの振る舞いを、あらかじめ定めたルール通りに働く仕組みで囲むという意味だ。対策は次の3つから構成される。

1. センサー、シグナル、アクチュエーター：　ID、データ、クラウド、エンドポイント、ネットワーク、ランタイムの各センサーからシグナルを集めて統合し、企業内のエージェントを発見する。発見したエージェントにはIDとコンテナ、一連のポリシーと権限を割り当てて管理下に置く
2. コンテキスト：　集めたシグナルを使い、エージェントが実行しようとしている行動に伴うリスクを動的に算出する
3. ハーネス、エージェント、モデル：　動的に算出したリスクに基づき、ブルーエージェントとグリーンエージェントから構成される「ガーディアンエージェント」のチームが、全てのエージェントの全ての行動を継続的に監督する。リスクが高まった場合は、リアルタイムで対象を絞って対処する

　アクチュエーターはエージェントの判断を実際の防御措置に変える仕組み、ハーネスはモデルやエージェントの処理を統制する仕組みを指す。ガーディアンエージェントは、ギャロ氏によると業界で定着した用語だ。MicrosoftがProject Perceptionを発表した際の説明（注1）によると、ブルーエージェントはリスクを調査して評価し、グリーンエージェントは是正措置を実行して防御を強化する役割を担う。

　ギャロ氏のブログ記事に掲載された図版の注記によると、エージェントの実行環境を隔離するサンドボックス「Microsoft Execution Container」（MXC）（注2）は一般提供済みで、その他の機能は正式提供前のプライベートプレビューの段階にある。Microsoftが2026年11月17〜20日に開催するイベント「Microsoft Ignite」で、提供範囲を広げる予定だ。

　Project Perceptionはリアルタイムの監督に加え、何が起きたのか、なぜリスクが生じたのかを担当者が検証するためのトレーサビリティーを提供する。担当者はそれを基に判断を下し、セキュリティシステムを更新する。「エージェンティックセキュリティがスピードを、担当者が判断を提供する」とギャロ氏は述べ、これによって防御側は相手となるシステムと同じ速度で動けるようになると説明する。

　次の段階としてギャロ氏が挙げるのがモデルの透明性だ。現在のセキュリティシステムはエージェントの行動を確実に観測でき、そのシグナルは封じ込めるべき対象を示す。同氏は、同氏は、今後のセキュリティ制御は「何が起きているか」だけでなく「なぜ起きているか」「タスクの意図と整合しているか」を問えるようにする必要があると指摘する。そのためには、入出力のトークンだけでなく、思考（thinking）や思考の連鎖（chain of thought）に当たるトークンまで見通せる透明性がモデル自体に必要だという。同氏によると、モデルの透明性は封じ込めに代わるものではなく、封じ込めをより高度で強固なものにする。説明責任とトレーサビリティーの向上にもつながるという。

　これら3つの対策はProject Perceptionの構成要素だが、Microsoftはその土台にある考え方を、製品に依存しない原則としても示している。「Microsoft Security Blog」では、非決定論的な知能を決定論的な制御で囲むことを原則に挙げ、エージェントには権限を持たない状態から始めて、タスクに必要な分だけを必要な期間与えるべきだとしている（注2）。同ブログは、実行環境の隔離や、重大な結果を招き得る行動を実行する前に人間の承認を求めることも、対策として挙げている。

（注1）Rethinking security for the age of AI（Microsoft公式ブログ、2026年7月27日）

（注2）Agents are your newest insiders. Security must move at their speed.（「Microsoft Security Blog」、2026年10月19日）