10月20日、cybersecuritynews.comのGuru Baranが「Microsoft Says AI Agents Cannot Be Trusted and Could Become Insider Security Threats」と題した記事を公開した。この記事では、MicrosoftがAIエージェントを「インサイダー脅威」として扱うべきだと警告し、セキュリティ制御をモデルの外側に置く設計原則とその実装計画について詳しく紹介されている。
Microsoftが出した結論——AIエージェントは構造的に危険である
Microsoftの主張の核心はシンプルだ。AIエージェントは悪意を持っているから危険なのではなく、会社のデータ・アプリ・ツールに高速でアクセスし行動できるから危険である。
コード生成、文書レビュー、経費処理といった業務にエージェントが使われるようになった今、エージェントの挙動はその指示・データ・コンテキストによって変化する。誤動作することもあれば、文書に埋め込まれた悪意ある指示（プロンプトインジェクション）に従うこともあり、最悪の場合は侵害される。
問題は速度だ。エージェントは複数のシステムをまたいで行動できるため、人間が気づく前に機密情報が漏洩したり、業務記録が書き換えられたりする可能性がある。
セキュリティ制御は「モデルの外側」に置け
Microsoftが強調するのは、セキュリティ制御はAIモデルの内部ではなく、外部の独立したシステムとして実装すべきという原則だ。モデルが答えや計画を提示しても、データへのアクセス権限や実行できるアクションを決めるのは別のセキュリティ層でなければならない。モデル自身が自分を縛るルールを変更・回避できてはいけない。
元記事によれば、Satya Nadella CEOはX（旧Twitter）上でこのアプローチについて次のように言及している。
I recently wrote about why we need to treat models as insider risks, with security controls sitting outside the model itself.
— Satya Nadella (@satyanadella) October 19, 2026
NadellaはこのアプローチをX上で「インテリジェンスの供給と、行動する権限を分離すること」と表現している。
この原則は、従来の「最小権限の原則」をエージェントに適用したものと言える。経費申請を審査するエージェントは、申請内容の読み取りとルール確認ができれば十分であり、そのエージェントを設定した社員の全権限を自動的に継承すべきではない。
Microsoftが発表した具体的な対策
Microsoftは今回、この設計原則を実装する複数の機能拡張を発表した。
Project PerceptionおよびMicrosoft 365 Agentsの拡張
「Project Perception」はローカル環境で動作するエージェント基盤に関するMicrosoftの取り組みであり、「Microsoft 365 Agents」はその上で動作する業務用エージェント群を指す。両者は別個の概念だが、今回の発表では連動して拡張される。対応するローカルエージェントの種類を35種類追加し、合計60種類へ拡充。また、エージェントに人間とは別の独立したIDを付与する**Microsoft Entra Agent ID**の拡張により、セキュリティチームがエージェントの所有者を追跡し、人間の操作と区別できるようになる。
Dynamic Permissions / Dynamic Agent Risk / Dynamic Conditional Access
タスクに必要な最小限のアクセス権だけをエージェントに付与し、リスクの変化に応じてそのアクセスを動的に調整する仕組みだ。単純な静的なルール設定ではなく、エージェントの行動状況やリスクスコアに基づいてリアルタイムで権限を制御する点が特徴である。具体的には以下のような段階的な対応が想定されている。
- 情報の読み取りは許可しつつ、変更操作はブロック
- アクセスできるシステムの範囲を制限
- 重要な操作の前に人間の承認を要求
- リスクが高い場合はエージェントを隔離または停止
Guardian Agents
セキュリティチームがエージェントの活動を監視し、機械的な速度で対応できるよう支援する「守護エージェント」の概念だ。アラートの調査や許可されたセーフガードの適用をGuardian Agentsが担う一方、ルールの設定と重要な意思決定は人間が保持する設計となっている。エージェントによる監視をエージェントで補完するという二重構造は、今回の発表における注目点のひとつといえる。
セキュリティチームへの示唆
Microsoftのメッセージは「エージェントの展開と同時に監視の仕組みを組み込め」という点に集約される。具体的には以下の対応が求められる。
- どのエージェントが存在するかを把握・追跡する
- 各エージェントに明確なIDを割り当てる
- 権限を最小化し、必要以上のアクセスを与えない
- エージェントの活動を継続的に監視する
- 不正な動作を止める独立した手段を用意する
今回の発表はMicrosoftのセキュリティ設計方針を示すものであり、すべてのエージェント関連の脅威を防ぐことを保証するものではない点には留意が必要だ。
詳細はMicrosoft Says AI Agents Cannot Be Trusted and Could Become Insider Security Threatsを参照していただきたい。
