Microsoftは10月19日（米国時間）、「Agents are your newest insiders. Security must move at their speed.」において、企業内で稼働するAIエージェントを監視・制御する新たなセキュリティ機能を発表した。AIエージェントの行動やリスクを継続的に評価し、危険な操作を制限する仕組みを導入する。

企業でAIエージェントの導入が進む中、社内データや業務システムへのアクセス権限を持つAIエージェント自体が、新たなセキュリティリスクになりつつある。

Microsoftは、こうしたAIエージェントを「Agentic Insider（エージェント型の内部関係者）」と位置付け、従来の従業員向けのアクセス管理とは異なる対策が必要だと指摘。

AIエージェントは、外部からの不正な指示によって操作されたり、当初の目的から逸脱した行動を取ったりする可能性がある。人間よりも高速かつ大規模に処理を実行できるため、問題が発生した場合の影響も大きくなり得る。

Microsoftは、AIモデル自体にセキュリティ上の判断を委ねるのではなく、モデルの外部に独立した監視・制御の仕組みを設ける必要があると説明している。

AIエージェントのリスクを評価、権限を動的に制御

Microsoftは、AIを活用したセキュリティシステム「Project Perception」の機能を拡張し、企業内部で稼働するAIエージェントの保護に対応する。

Project Perceptionでは、ID、データ、エンドポイント、ネットワーク、クラウド、実行環境などから収集した情報を組み合わせ、AIエージェントの行動やリスクを継続的に評価する。

  • Microsoftの各種セキュリティ製品から収集した情報を統合し、AIエージェントのリスクをリアルタイムで評価する「Dynamic Agent Risk」の仕組み（出典：Microsoft）

    Microsoftの各種セキュリティ製品から収集した情報を統合し、AIエージェントのリスクをリアルタイムで評価する「Dynamic Agent Risk」の仕組み（出典：Microsoft）

今回導入する「Dynamic Agent Risk」は、AIエージェントの設定状況やアクセス可能なリソース、実行しようとしている操作などを分析し、リスクを動的に評価する仕組みだ。

例えば、経費精算を担当するAIエージェントが、外部文書に埋め込まれた不正な指示（プロンプトインジェクション）を読み込み、本来の業務とは関係のない操作を実行しようとした場合、その行動をリスクとして検出する。

さらに、「Dynamic Conditional Access」によって、リスクの変化に応じてAIエージェントの権限を変更できる。

具体的には、データの読み取りを許可したまま書き込みを禁止する、アクセスできるリソースを制限する、重要な操作に人間の承認を求めるといった対応が可能になる。リスクが高い場合には、実行環境を隔離したり、AIエージェントの動作を停止したりすることも想定している。

別のAIエージェントが監視、危険な操作を制限

Project Perceptionでは、セキュリティ監視を担う「Guardian Agents」も導入する。

Guardian Agentsは、AIエージェントの行動やリスクの変化を継続的に監視し、必要に応じて調査や封じ込めを支援するAIエージェントだ。

企業内で数千から数十万のAIエージェントが稼働するようになると、セキュリティ担当者がすべての警告を確認し、個別に対応することは難しくなる。

そこでMicrosoftは、セキュリティポリシーや承認条件などは人間が設定し、継続的な監視や対応の一部をGuardian Agentsに任せる仕組みを提案している。

Guardian Agentsは、リスクが変化した原因を調査し、関連する証拠を分析した上で、アクセス制限などの対応を推奨または実行する。セキュリティポリシーや承認条件は人間が設定し、重要な判断についても人間が主導権を維持する。

Microsoftは、AIエージェントの処理速度に対応するには、セキュリティ対策そのものにもAIを活用する必要があると説明している。

Claude CodeやOpenAI Codexなど60種類の検出に対応

AIエージェントを監視するため、Microsoftは企業内で稼働するAIエージェントの検出機能も拡張する。

新たに35種類のローカルAIエージェントの検出に対応し、対応する種類は合計60となる。対象には、AnthropicのClaude Code、OpenAIのCodex、GitHub Copilotなどが含まれる。

検出したAIエージェントは統合レジストリで管理し、所有者や利用状況、リスクなどを把握できるようにする。

また、「Microsoft Entra Agent ID」を拡張し、AIエージェントごとに人間の利用者とは異なるIDを割り当てる仕組みも整備する。

従来のように従業員の権限をそのままAIエージェントに引き継がせるのではなく、業務に必要な範囲と期間に限定した権限を与える。

「Dynamic Permissions」では、AIエージェントの作業内容に応じて権限を付与し、作業の変更や終了に合わせて権限を縮小・削除する仕組みを導入する。