10月6日、Googleが「Open and Emergent Problems in Agentic Privacy and Security: A Contextual Angle」と題した記事を公開した。自律型AIエージェントが直面するプライバシーおよびセキュリティの未解決問題を「文脈的整合性」理論を軸に体系的に整理した研究ワークショップの報告で、従来のセキュリティ手法がなぜエージェントに通用しないのか、どう対処すべきかを実装レイヤーまで踏み込んで論じている点が読み応えある。
Googleを中心に50人以上の研究者・業界リーダーが参集した「Google Contextual Agent Privacy and Security（CAPS）ワークショップ」（ニューヨーク開催）の成果が公開された。ワークショップの具体的な開催日については元記事に明記されていないが、本レポートは2025年時点での研究の現状を整理したものだ。AIエージェントのセキュリティ問題はこれまで断片的に論じられることが多かったが、本レポートはその全体像をスタック横断的に整理した点で参照価値が高い。
なぜ既存のセキュリティ手法が通用しないのか
AIエージェントは従来のソフトウェアと根本的に異なる3つの特性を持つ。
- 非構造化インターフェース：自然言語や画像で命令を受け取るため、「期待される動作」を定義しにくく、プロンプトインジェクションのような敵対的操作への防御が困難になる。悪意ある第三者がWebページや外部ドキュメントに仕込んだ指示をエージェントが誤って実行するシナリオは、従来の入力バリデーションでは防ぎきれない
- 確率的な制御フロー：LLMが動的にプランを生成するため、実行パスが確率的になり、従来のテスト手法でカバーしきれない。同じ入力でも異なる実行経路を取り得るため、静的な権限チェックやホワイトリスト方式の防御がすり抜けられる可能性がある
- 自律性と委任：長時間タスクやサブエージェントへの委任が増えると、ユーザーが逐一確認する「Notice and Choice」モデルは機能しなくなり、確認疲れ（confirmation fatigue）を引き起こす
このうち最後の「確認疲れ」は実装上の問題として特に深刻だ。エージェントが多数の細粒度アクションを自動実行する状況では、ユーザーに都度承認を求めることが現実的でなくなる。かといって承認を省略すれば、意図しない権限行使を許容することになる。この二律背反が、既存の同意モデルの根本的な限界を示している。
核心：「文脈的整合性」でエージェントを縛る
レポートの理論的支柱となっているのが、Contextual Integrity（CI、文脈的整合性）だ。これはHelen Nissenbaum（Cornell Tech）が提唱したプライバシー理論で、「プライバシーとは秘密にすることではなく、確立された社会規範に沿った適切な情報の流れである」と定義する。
CIは情報フローを3つの要素で定義する：
- アクター：誰が誰について情報を送受信するか
- 情報の種類：医療記録や財務データなど具体的なカテゴリ
- 伝送原則：機密保持や互恵性など、情報の流れを規律するルール
例として挙げられているのが「ギフトのショッピングリスト」だ。バーチャルショッピングアシスタントには共有してよいが、家族や友人には共有したくない。同じ情報でも文脈によって適切かどうかが変わる。
これを機械可読なポリシーに落とし込む仕組みとして、レポートでは文脈的ポリシーエンジンを提案している。従来の静的な権限設定（たとえばOAuthスコープや固定のACL）やエキスパートが手書きしたポリシーではスケールしない。レポートが示す構成では、LLMをスーパーバイザー層として組み込み、エージェントが外部ツールやデータソースへのアクセスを要求するたびに、そのリクエストが現在の文脈規範（アクター・情報種類・伝送原則の三つ組）と整合するかをリアルタイムで評価する。評価結果に基づいてアクセスを許可・拒否・ユーザーへのエスカレーションのいずれかに振り分ける設計だ。静的なルールではなく「その場の文脈」に基づいてポリシーを動的生成する点が従来手法との本質的な違いであり、LLMが自然言語で記述された社会規範をある程度推論できるようになった今だからこそ実現可能なアプローチといえる。
スタック全体をカバーする多層防御
理論だけでなく、実装レイヤーの整理も本レポートの特徴だ。システム・モデル・ユーザー・エコシステムの4層にわたって課題と研究機会を整理している。
システム層では、従来のOSがファイルやネットワークへのアクセスを静的に制限するサンドボックスをエージェント向けに拡張し、文脈の変化に応じてエージェントの権限を動的に付与・剥奪する仕組みの構築を提案する。タスクの性質やステップの進行状況に応じて権限スコープが変化する「動的サンドボックス」の概念は、既存のコンテナ技術やポリシーエンジンの延長線上に位置するが、LLMの確率的挙動を前提とした設計が求められる点で実装難度は高い。
モデル層では、曖昧なユーザープロンプトの解釈や、変化する文脈規範に基づく行動の適切さを推論する能力を将来の研究課題として挙げる。現状のLLMは規範推論において一定の能力を示すものの、文化・ドメイン固有の規範に対する汎化性能は未解決のままだ。
マルチエージェント間のインタラクションについては、複数エージェントが協調して複雑なタスクを処理する際、エージェント同士が共謀して文脈規範を侵害しないようにするガードレールの整備が必要だと指摘する。オーケストレーター・エージェントがサブエージェントに過剰な権限を委譲するケースや、複数エージェントが個別には無害な情報を集約することでプライバシー侵害が生じるケースなどが想定されるが、これはまだ研究が薄い領域で、レポートでも「新たに浮上している問題」として位置付けられている。
エコシステム層では、文脈規範の収集・共有・競合解決・コンプライアンス検証の仕組み構築が課題として挙がっている。異なるサービス間でエージェントが協調する場面では、規範の定義主体が複数存在するため、競合解決のプロトコル整備が不可欠になる。
評価手法の刷新も必要
レポートはセーフティ評価の在り方についても問題提起する。現在のベンチマークは高度に自律的なマルチエージェント系には不十分であり、研究者が複雑な連鎖的インタラクションを安全にシミュレートできる「Agent Gym」と呼ぶ動的なオープンソース環境の整備を提案している。静的なQ&A形式のベンチマークではエージェントの長時間・多段階の行動を評価しきれないという問題意識に基づくもので、学術界と産業界が共通のプライバシー・セキュリティ基準を持てるようにすることが目標だ。評価環境の整備は研究加速の前提条件でもあり、レポートが単なる問題提起にとどまらず実践的な提言を含む点として評価できる。
AIエージェントのセキュリティ問題を扱う研究は増えているが、理論的フレームワーク・実装アーキテクチャ・評価手法まで横断的に整理したレポートは少ない。本レポートが示す未解決問題の多くはまだ「問いの整理」段階にあるが、文脈的整合性をエージェントのポリシーエンジンに組み込む方向性は、今後の実装設計の参照点になり得る。
詳細はOpen and Emergent Problems in Agentic Privacy and Security: A Contextual Angleを参照していただきたい。
