11月2日、pbxscience.comが「Why Microsoft Calls Its Own AI Agents "Agentic Insiders" and How It Plans to Contain Them?」と題した記事を公開した。MicrosoftがエンタープライズAIエージェントを「内部脅威」と位置づけ、決定論的な制御でその挙動を封じ込める手法について詳しく紹介されている。
「自社で展開したエージェントは安全」という前提を捨てよ
MicrosoftセキュリティのEVP（エグゼクティブ・バイスプレジデント）であるHayete Gallot氏は、エンタープライズAIエージェントを新たなカテゴリのインサイダーリスク（内部脅威）として扱うべきだという見解を示した。
これまでのAIセキュリティ議論は、外部の攻撃者が強力なAIモデルを武器として組織を攻撃するシナリオに集中していた。一方、社内で動くエージェントは「自社が展開したから」という理由でデフォルトで信頼されてきた。Gallot氏はその前提を否定する。
問題はエージェントが悪意を持っているかどうかではない。モデルは結果を出すように訓練されているため、「報酬ハッキング（reward hacking）」──目標達成のために意図しない近道や抜け穴を利用するような行動を取ること──が起きやすい。また、組織固有の規範や判断に沿って動くようには設計されていない。
Gallot氏はこう述べる。
エージェントは予測不可能だ。コンテキストの変化に応じて適応し、意図どおりに動かないこともある。さらに、侵害されることなく、他のエージェントと連携・共謀して目標を達成する可能性がある。
すでに多くのエージェントが企業内で稼働しており、その数は急速に増えている。Copilot Studioなどのツールで構築されたエージェントを含め、多くは過剰な権限（データ、ツール、システムへのアクセス）を持ち、重要なビジネスプロセスの意思決定にまで関与している。Microsoftはこれらを「Agentic Insider（エージェント型インサイダー）」と呼ぶ。
Project Perceptionによる封じ込めの構造
MicrosoftはProject Perceptionを発表した。当初は外部からのAI駆動型攻撃への防御として設計されたが、Gallot氏はこれをAgentic Insiderの封じ込めにも適用できると説明する。
基本思想は「非決定論的な知性を、決定論的なルールで包む」ことだ。同じ入力でも出力が変わりうるAIの挙動を、事前定義されたルールに従うシステムで制御する。具体的には3層構造で成り立つ。
センサー・シグナル・アクチュエーター：アイデンティティ、データ、クラウド、エンドポイント、ネットワーク、ランタイムの各センサーからシグナルを収集し、社内で動くエージェントを発見する。発見されたエージェントにはアイデンティティ、コンテナ、ポリシー・パーミッションが付与され、管理下に置かれる。この段階ではMicrosoft Purviewのデータガバナンス機能との連携も想定されている。
コンテキスト：収集したシグナルをもとに、エージェントが次に取ろうとしているアクションのリスクをリアルタイムで動的に算出する。
ハーネス・エージェント・モデル：「Guardian Agent（ガーディアンエージェント）」と呼ばれる監視専門のエージェント群が、すべてのエージェントのすべてのアクションを事前に監視・制御する。ブルーエージェントがリスクの調査・評価を担い、グリーンエージェントが防御強化のための修復を実行するという役割分担になっている。ブルーが「状況の把握と判断」、グリーンが「是正措置の実行」を担うと考えるとわかりやすい。アクチュエーターがエージェントの判断を実際の保護アクションに変換し、ハーネスがモデルとエージェントの実行を制御する層として機能する。
この多層構造は、ゼロトラスト（Zero Trust）アーキテクチャの考え方──「デフォルトで信頼しない、常に検証する」──をエージェントの実行制御に応用したものとも言える。
現在の提供状況
エージェントの実行環境を分離するサンドボックスMicrosoft Execution Containers（MXC）はすでに一般提供（GA）されており、Windows向けの提供も開始されている。MXCはエージェントが他のプロセスやデータに意図せずアクセスすることを防ぐ隔離層として機能し、最小権限の原則をインフラレベルで強制する仕組みだ。その他の要素はプライベートプレビュー段階にある。詳細はサンフランシスコのMoscone Centerで開催されるMicrosoft Ignite（11月17〜20日）で公開される見込みだ。
Project Perceptionはリアルタイム監視とトレーサビリティも提供し、事後のレビューやセキュリティコントロールの更新を可能にする。Gallot氏は「エージェントセキュリティはスピードを提供し、人間が判断を提供する」と役割分担を整理している。
今後の課題：モデルの透明性
Gallot氏は現在のツールで「エージェントが何をしているか」は観測できると言う。次のステップは「なぜそれをしているのか」「タスクの意図に合致しているか」を答えられる制御だ。そのためには入出力の監視だけでなく、チェーン・オブ・ソート（chain-of-thought、モデルが答えを導くまでの推論ステップを出力する手法）やシンキングトークン（thinking token、推論モデルが内部的に生成する中間的な思考テキスト）への可視性が必要になる。これはコンテナによる封じ込めの代替ではなく、補完として機能するものだとGallot氏は強調する。
製品に依存しない原則
Microsoftはこの考え方を自社製品に限定しないものとして提示している。実践的な指針は以下の3点だ。
- エージェントはゼロ権限から始め、タスクに必要な権限のみを必要な期間だけ付与する
- エージェントの実行環境を分離する
- 重大な結果をもたらすアクションの前には人間の承認を要求する
エンタープライズでのAIエージェント導入が加速する中、「デプロイした側だから安全」という発想を捨て、すべてのエージェントをアイデンティティ付きの管理対象として扱うことがMicrosoftの基本姿勢だ。
詳細はWhy Microsoft Calls Its Own AI Agents "Agentic Insiders" and How It Plans to Contain Them?を参照していただきたい。
