- 50人以上の研究者が参加したCAPSワークショップの成果をGoogle Researchが公開
- エージェントは非構造化入力・確率的制御フロー・自律と委任の3点で従来ソフトと異なる
- 文脈対応のポリシーエンジン、多層防御、共通の評価環境を提言
公開された報告書の概要
Google Researchは2026年10月5日、AIエージェントのプライバシーとセキュリティに関する新しいワークショップ報告書「Open and Emergent Problems in Agentic Privacy and Security: A Contextual Angle」を公開した。執筆を担当したのはResearch ScientistのEugene Bagdasarian氏とPrincipal ScientistのMarco Gruteser氏で、50人以上の学界・産業界の関係者が参加した共同作業の成果とされている。
この報告書は、2025年後半にニューヨーク市で開催されたGoogle Contextual Agent Privacy and Security（CAPS）ワークショップでの議論をもとにまとめられた。内容は、自律的なエージェントが直面するプライバシーとセキュリティの基礎的な課題を整理し、システム・モデル・ユーザー・エコシステムという複数の層で協調した防御が必要だと論じるものだ。
報告書は特定の製品や実装を提示するものではなく、研究コミュニティに向けた問題提起と研究方向の提示が中心となっている。
従来ソフトとの3つの違い
報告書はまず、エージェント型AIの根本的な難しさを「有用であるために個人データへのアクセスと、広い範囲で結果を伴う行動を起こす能力が必要になる点」に置いている。アクセスの広さと行動の柔軟さが組み合わさることで、従来のソフトウェアとは意味的に異なる設計が必要になるという。
違いとして挙げられているのは3点だ。第一に、自然言語や画像といった非構造化入力を扱うため「期待される振る舞い」を定義しにくく、プロンプトインジェクションのような攻撃への防御が難しい。第二に、生成的な計画によって実行経路が確率的になり、従来のテスト手法では安全を担保しにくい。第三に、長いタスクを任されたり別のエージェントに下位タスクを委任したりすると、利用者による監視が有効に働きにくくなり「確認疲れ（confirmation fatigue）」を招くおそれがある。
文脈に応じた適切さの判断
報告書の理論的な土台になっているのがContextual Integrity（文脈的完全性、CI）だ。CIはプライバシーを「秘密にすること」や「自分で制御すること」ではなく、確立され正当化できる社会規範に照らした「適切な情報の流れ」として定義する。情報の流れは、誰が誰についての情報を送受信するかという行為者、医療や金融といった情報の種類、守秘や互酬といった伝達の原則によって規定される。
報告書では例として、ギフトの買い物リストを仮想のショッピングアシスタントには共有できても、家族や友人には共有したくない、という状況が挙げられている。同じ情報でも、誰が受け取るかによって適切さが変わるという考え方だ。
報告書はこの考え方を情報共有だけでなく、エージェントの行動の適切さ（contextual security）にも拡張している。行動を実行する前に、その行動が社会的・文脈的に適切かどうかを評価する仕組みを設計できないか、という問いを立てている。
ポリシーエンジンと多層防御
報告書は、モデルやユーザーインタラクションの改善と合わせて、文脈的なポリシーエンジンを監督層（supervisor layer）の一部として組み込むことを提言している。このポリシーエンジンは、利用者の要求と、実行時に発見される新しいツールや能力を含む動的な文脈に合わせてリアルタイムにポリシーを生成するループを持つとされる。情報が利用者の作業空間から出る前に、その流れが適切かどうかを評価する狙いだ。
対策は一層では済まない。報告書は、システムレベルではエージェントの能力を動的に制限するサンドボックスやエージェントの識別、文脈の変化に応じたデータアクセスの許可・取り消しを挙げる。モデルレベルでは、曖昧な指示の明確化や、変化する文脈規範のもとでの適切さの推論が求められるとする。
利用者向けには、従来の「Notice and Choice（通知と選択）」型の枠組みが前提としてきた予見可能性が自律エージェントには当てはまりにくいとして、動的で文脈依存、個人に合わせた制御へ移行する方向が示されている。加えて、エージェント同士が結託して文脈規範を破ることを防ぐガードレールや、領域や組織をまたいだ規範の衝突を解決・交渉・検証するエコシステムのガバナンスも課題に挙げられている。
評価基盤と未解決の課題
安全性の評価についても、報告書は新しいアプローチを提案している。標準化されたマルチエージェント向けベンチマークと、長期間にわたる複雑で連鎖的な相互作用を安全にシミュレーションできる動的な「Agent Gym」環境の必要性を挙げ、オープンソースのサンドボックスによって学界と産業界が共有できるプライバシー・セキュリティ・安全性の基準を確立したいとしている。
ただし、報告書は現時点で具体的な実装やベンチマークの公開時期には触れていない。文脈的なポリシーエンジンの実装方法や規範の衝突の解決策は、今後の研究に委ねられた未解決の問いとして提示されている。報告書は、安全で信頼できるエージェントのエコシステムは単一分野や単一組織では作れないとして、学界・政府・市民社会・産業界をまたぐ協力を呼びかけている。
| 観点 | AIエージェントの特徴 | 研究コミュニティが解くべき課題 |
|---|---|---|
| 入力インターフェース | 自然言語や画像などの非構造化入力を処理する | 「期待される振る舞い」を定義しにくく、プロンプトインジェクションなどへの防御が難しい |
| 制御フロー | 生成的な計画により実行経路が確率的になる | 従来のテスト手法では安全性を担保しにくい |
| 自律性と委任 | 長いタスクを遂行し、他のエージェントに下位タスクを委任する | 従来の利用者監視が有効に働きにくく、「確認疲れ」のリスクがある |
To be useful, AI agents must understand and be constrained by contextual behavioral norms to ensure they act appropriately.
有用であるためには、AIエージェントは文脈に応じた行動規範を理解し、それによって制約され、適切に行動する必要がある。
今後の見通し
報告書が示した方向性が具体的な成果につながるかは、今後公表される実装やベンチマークにかかっているとみられる。文脈的なポリシーエンジンが実際にどのような形でエージェント基盤に組み込まれるのか、Agent Gymのような環境がオープンソースで公開され、学界と産業界の共通の評価基準として使われるようになるかが注目点になる。規範が領域や組織をまたいで衝突したときの解決メカニズムについても、具体的な仕組みが示されれば導入判断がしやすくなる。まずは技術報告書の詳細と、CAPSワークショップ以降の研究の進展を追うことで、実務への応用可能性が見えてくるとみられる。
日本の開発者・IT企業にとっての意味
日本のIT企業にとって、この報告書はエージェント製品を設計する際の論点を整理する材料になる。エージェントに広い権限を渡すほど便利になる一方で、利用者がすべての確認をこなせなくなる「確認疲れ」や、プロンプトインジェクションによる意図しない操作は、実運用を見据えた段階で現実的なリスクになる。報告書が提言する監督層としてのポリシーエンジンは、権限管理をアプリケーションロジックに埋め込むのではなく、モデルやツールの外側で文脈に応じて判断する発想であり、設計をどう分離するかを考えるヒントになる。マルチエージェント構成での共謀防止や、規範の衝突を扱うガバナンスも、業務システムにエージェントを組み込む際に避けて通れない論点だ。標準ベンチマークが整備されれば、自社実装の安全性を比較評価する物差しとして使える可能性がある。
気になる点
- この報告書は誰でも読めるのか
- Google Researchのブログ記事から技術報告書へ案内されているため、内容を確認することは可能とみられる。ただし報告書のライセンス条件や日本語訳の有無については原文に記載がない。利用条件を判断するには、配布ページの記載を直接確認する必要がある。
- 日本企業のエージェント開発にすぐ使える実装はあるのか
- 現時点では公表されていない。報告書は研究方向と課題の整理が中心で、ポリシーエンジンの具体的なアーキテクチャやコードは提示されていない。まずは権限判断を監督層として分離する考え方を設計に取り入れるなど、指針として参照する形が現実的と考えられる。
- 既存のエージェントに後から対策を追加できるのか
- 報告書はシステム・モデル・ユーザー・エコシステムの各層での取り組みが必要だとしているため、単一の対策を後付けするだけでは不十分とみられる。特に利用者による確認に頼る従来型のフローは、長時間・大量のタスクを扱うエージェントでは機能しにくいと指摘されている。
用語解説
- Contextual Integrity（CI）
- プライバシーを「適切な情報の流れ」として捉える理論。行為者、情報の種類、伝達の原則によって文脈ごとの規範を定義する。
- AIエージェント
- 大規模言語モデルを基盤に、計画を生成して外部ツールを呼び出しながら、多段階のタスクを自律的に進めるシステム。
- プロンプトインジェクション
- エージェントが読み込む外部テキストなどに悪意ある指示を混ぜ、意図しない動作をさせる攻撃手法。
- サンドボックス
- プログラムの実行環境を隔離し、ファイルやネットワークへのアクセスを制限する仕組み。被害の範囲を限定する。
- 確認疲れ（confirmation fatigue）
- エージェントが多くの確認を求めることで、利用者が内容を吟味せずに承認してしまう状態。
出典
Open and Emergent Problems in Agentic Privacy and Security: A Contextual Angle
AI導入も顧問も、お任せください
何から手をつけるか、どこまでAIに任せるか。自社の業務に合わせて整理し、導入から運用まで伴走します。相談だけでも構いません。
AI導入について相談する