AIエージェントをネットワーク層で監視、BrexがCrabTrapで安全性を確保

背景と発表

VB Transform 2026で、BrexのCEOであるPedro Franceschi氏が講演し、AIエージェントを本番環境で安全に運用するための設計思想を披露しました。同氏は「エージェント」という呼称はあまり意味がないと述べています。その代わりに、Slack上に存在し、メールアドレスを持ち、会議に参加できる「仮想従業員」という概念を提案しています。

この構想を実現するには、従来のセキュリティの枠組みを変える必要があります。Brexは社内業務の自動化にOpenClawを導入しようとしましたが、セキュリティチームはコード実行能力を持つエージェントを制御できないとして拒否しました。そこで開発されたのが、ネットワークレベルで通信を監視するCrabTrapです。

OpenClawと既存対策

OpenClawはコーディングモデルの成熟により登場したオープンソースのエージェントで、自己ブートストラップが可能です。つまり、事前に定義された静的ツールではなく、自身のコードベースを維持・更新しながらタスクをこなせます。一方で、その柔軟性がセキュリティ上のリスクにもなっています。

エージェントのセキュリティ対策としては、Nvidiaが提供するNemoClawのようにツール利用を制限する方法があります。しかしFranceschi氏は、コード生成能力を無効化することでエージェントの価値が損なわれると指摘しました。Brexが選んだのは、エージェントが何でもできると想定し、通信内容を監視するという方法です。

CrabTrapの仕組み

CrabTrapはBrexが開発したオープンソースのHTTPプロキシです。コンテナ内のコードを制御する代わりに、コンテナとインターネット間の外向きトラフィックをすべて監視し、LLMが各リクエストが承認済みポリシーに合致するかを判定します。この発想は、エージェントがすでに侵害されている可能性を前提にしています。

ただし、すべてのリクエストをLLMで判定すると応答時間が数千ミリ秒に達することがあります。そこで、低リスクな操作は静的ルールで即座に許可し、高リスクな操作（メール送信など）だけをLLM判定に回す二段構えを採用しました。採用エージェントがLinkedInのプロフィールを閲覧する程度の操作は静的ルールで通過します。この設計により、LLMの遅延を受けるのは複雑なリクエストの約2%に抑えられています。

成果と展望

LLMジャッジが期待以上に機能した理由について、Franceschi氏はLLMが膨大な数のWebページやHTTPリクエストを学習しているためだと説明しています。このため、リクエストの意図を判定するというタスクがLLMに適していたとみられます。同氏は、コード監視ではなくネットワーク監視がエージェント時代のセキュリティの基本形になると考えているとみられます。

CrabTrapはオープンソースとして公開されているため、他社でも導入して試すことができます。一方で、今回の発表はBrexの内部での運用に基づいており、すべての企業にそのまま当てはまるとは限らないでしょう。実際の効果を見極めるには、各社が自社の環境で検証する必要があります。