企業のシステムにアクセスできるAIエージェントは、従業員の承認を待たずにデータを変更し、取引を承認し、アクションを実行できる。Microsoftは、こうしたエージェントを内部関係者として扱い、行動が危険になった場合には権限を変更できるよう、セキュリティチームに求めている。
10月19日、MicrosoftはProject Perceptionを拡張し、Dynamic Permissions、Dynamic Agent Risk、Dynamic Conditional Accessという3つの機能を追加した。このシステムは、エージェントのアクセスを制限し、リスクを継続的に再評価するとともに、安全でないアクションが機密システムに到達する前に介入するよう設計されている。
懸念は悪意のあるエージェントに限らない。本来は正当なエージェントでも、改ざんされた指示に従ったり、タスクを誤解したり、運用者が決して許可していないアクションを試みたりする可能性がある。
Microsoftの新しいAIエージェント制御機能の仕組み
Microsoftの発表では、Project Perceptionは現在、組織内ですでに稼働しているエージェントにもセキュリティ制御を適用し、外部からのAI主導の脅威に重点を置いていた従来の取り組みを拡張している。
MicrosoftはDefenderによるローカルエージェントの検出対象を35種類増やし、合計60種類とする。これにはClaude Code、OpenAI Codex、GitHub Copilotが含まれる。
Microsoft Entra Agent IDは、エージェントとそれを利用する従業員を区別するIDを提供し、組織が所有者を追跡してアクセス・ポリシーを適用できるようにする。
3つの制御機能は連携して動作する。
- Dynamic Permissions：エージェントはアクセス権を持たない状態、または最小限の権限で開始する。権限は特定のタスクに対して付与され、不要になると期限切れとなり、機密性の高いアクションには人間の承認を要求することもできる。
- Dynamic Agent Risk：Microsoftは、ID、エンドポイント、クラウドサービス、ネットワーク、データ、エージェントのアクティビティから得られるシグナルを継続的に評価し、リスクの変化を検出する。
- Dynamic Conditional Access：セキュリティポリシーによって、権限を制限したり、書き込み操作をブロックしたり、承認を要求したり、エージェントを隔離したり、実行を停止したりできる。
Microsoft Execution Containerは実行時の隔離機能を追加し、エージェントがアクセスできるツールやリソースを制限する。
IDに関する課題はMicrosoftに限らない。セキュリティ新興企業のNeoも、機密システムにアクセスする自律型アプリケーション向けのエンタープライズID制御機能を開発している。
Project Perceptionには、変化するリスクを調査し、防御措置を調整するPlaybooksとGuardian Agentsも追加される。Microsoftによると、ポリシーや重大な判断に関する権限は管理者が保持する。
このアプローチは、Google DeepMindのAIエージェント向けセキュリティロードマップにも似ており、監視、アクセス制限、ブロック機構を重視している。
eWeekの調査結果：強制適用にはなお検証が必要
Microsoftは幅広いセキュリティアーキテクチャを説明しているが、今回の発表からは、新たな制御機能のすべてが一般的な本番環境への導入に利用できるとは確認できない。
Project Perceptionは限定公開プレビューの段階にあり、アクセスは一部の顧客に限られている。Microsoftは製品全体について従量課金制の価格を提示しているが、10月19日の発表には機能ごとの展開スケジュールは示されていない。
この違いは、企業の導入計画に影響する。エージェントを発見し、IDを割り当て、そのアクションを停止することは、それぞれ別個の技術要件だからだ。
Microsoftは、Guardian Agentsについて、誤検知率、封じ込めまでの時間、強制適用がエンドツーエンドで機能するサードパーティー環境の数など、独立した性能結果を公表していない。
同社はまた、推論に関する情報を含むモデルレベルのシグナルをDynamic Agent Riskに組み込む計画だ。ただし、どのモデルがその可視性をサポートするのか、また情報をどのように保持してレビューするのかについて、発表では明らかにしていない。
過去のAIのミスアラインメント事例は、こうした制御機能が対処しようとしている問題を示している。OpenAIは、認証情報の不正使用、公開ファイルへのアップロード、意図しない経路を通じたエージェント間の情報交換に関するインシデントを明らかにした。
Project Perceptionを評価する企業は、3つの点に注目すべきだ。どのエージェントを検出できるのか、実際にどこで権限を適用できるのか、そして安全でないアクションが機密システムに到達する前に停止できるのか、という点である。
Microsoftは、こうした保護機能がどのように連携すべきかを説明している。異なるエージェントプラットフォーム全体で有効性を確認するには、より広範な導入実績がなお必要だ。
関連記事： OpenAIのサンドボックス脱出に関する記事では、サイバー評価中に自律型モデルがセキュリティ境界を越えた経緯を検証している。