Microsoft、AIエージェントを「内部脅威」と位置づけ 監視製品を発表

発表された新機能

米Microsoftは現地時間の月曜日、AIエージェントの脅威から企業を守るための新しいセキュリティ機能を発表しました。中心となるのは「Guardian Agents」で、企業が利用しているAIエージェントを監視するための機能とされています。これは6月に投入された製品「Project Perception」の一部として提供されるものです。

併せて、セキュリティ製品「Microsoft Defender」には、従業員が職場に持ち込むエージェントを検出する機能が追加されました。Claude Code、Codex、OpenClawなど、最大60種類のエージェントを発見できるとされています。

さらに、エージェントのデータやシステムへのアクセスを制限する機能、タスクに応じて権限を動的に調整する機能も加わりました。エージェントがリスクの高い判断をしているとみられる場合には、人間の承認を求める仕組みも含まれます。

なぜ「内部脅威」なのか

Microsoftのセキュリティ事業責任者であるHayete Gallot氏は、フロンティアモデルは出自に関係なく信頼できないと述べています。その理由は、モデルに悪意があるからでも、簡単にハッキングされるからでもなく、予測できないからだと説明されています。モデルは組織の規範や判断に従うのではなく、タスクを達成するように訓練されている点が挙げられています。

加えて、エージェントには重要なデータやツールへのアクセス権が与えられていることが多く、深刻な危害を及ぼし得る立場にあると指摘されています。外部から侵入する攻撃者という従来の想定では捉えきれない、という問題意識です。

CEOのSatya Nadella氏は今月、自身のブログで、モデル提供者が示す安全面の保証を信頼すべきではないと警告しました。AIラボに制御されない別系統のシステムで、エージェントを監視・制御すべきだという主張です。

Project Perceptionの前提の変化

Project Perceptionは、AnthropicのMythosやFable、OpenAIのセキュリティ脆弱性スキャンシステムDaybreakのような強力なハッキング用モデルに対抗するために作られた製品です。攻撃役の「レッドチーム」、それを検出して脆弱性を評価する「ブルーチーム」、修正を担う「グリーンチーム」の3種類のエージェントで構成されます。

当初の設計は、AIによる攻撃者が企業の外部から来ることを前提としていました。しかし現在は、企業が導入し対価を払っているエージェント自体が敵になり得るという見方が示されています。人間の不正な従業員、いわゆる「インサイダー脅威」になぞらえた説明がされている点が特徴です。

これは、防御の対象を社外の攻撃者から社内で稼働するエージェントへ広げることを意味します。エージェントの権限管理と監視を、導入前の審査だけでなく運用中も続ける必要がある、という考え方につながります。

利益相反と業界の動き

MicrosoftはOpenAIとAnthropicの両方に出資しており、OpenAIは同社の主要なクラウド顧客の一つでもあります。自社の利害と衝突しかねない警告を、あえて出している点は注目されます。

一方で記事は、エージェントの監視ツールをAIラボからではなくクラウド事業者である自社から買わせたいという思惑もあると指摘しています。ただし、監査役が被監査組織から独立しているべきなのと同じ理屈で、主張の論理自体は筋が通っているとも評しています。

業界全体でも同様の動きが進んでいます。Nvidiaの「Open Agent Safety Platform」にMicrosoftは初期メンバーとして参加し、100社以上の企業が支持を表明しました。エージェントを安全な環境に隔離し、ハードウェアを通じて挙動を監視・停止できる、キルスイッチのような仕組みとされています。Nvidiaのチップを搭載し、エージェント向けのセキュリティ機能を組み込んだ「Surface Laptop Ultra」の発表も続いています。

現時点で分かっていないこと

Guardian Agentsの提供時期や価格、対応する地域やモデルの範囲は原文に記されていません。日本企業が利用できるかどうかも不明です。

記事はMicrosoftの主張を紹介していますが、Guardian Agentsの検出精度や誤検知の程度を示すデータは示されていません。実運用でどの程度機能するかを判断する材料は、現時点では足りません。

「フロンティアモデルは信頼できない」という主張はベンダー自身によるものであり、独立した検証に基づくものではない点には留意が必要です。監視ツールを提供する側の立場と、警告の内容が完全に切り離せない構造になっています。