AIエージェントは誰の権限で動くのか。Microsoftの作業単位の許可とリスク連動制御を確かめる

まず初めに

AIエージェントに社内の鍵を丸ごと預けるのは、仕事を頼むたびに金庫の合鍵まで渡すようなものだ。Microsoftが「新しい内部関係者」と呼ぶ対象は社員ではなく、社員の代わりに動くエージェント。今回の発表で気になるのは鍵を渡す前の作業単位の線引きと、危ない動きが見えた後にどこまで権限を絞れるかだ。最初から渡しすぎない。渡した後も見直す。ようやく鍵束の数より鍵穴の使い方を考え始めた。※個人の感想です

何が起きているのか

Microsoftは2026年10月19日、同社でCorporate Vice President(Identity and Network Access担当)を務めるNadim Abdo氏の名前で、公式セキュリティブログに「Agents are your newest insiders. Security must move at their speed.(エージェントは、あなたの新しい内部関係者だ。セキュリティはその速さに合わせて動かなければならない)」と題した記事を公開しました。記事は、コードを書く、製品を調査する、収益を分析する、経費を処理するといった作業をAIエージェントが担うようになってきたと指摘する一方、エージェントが力を発揮するには社内のデータ・アプリ・ツール・他のエージェントへのアクセス権が必要であり、そのアクセス権こそが内部関係者ないぶかんけいしゃリスク(内部の人間や仕組みが原因で起きる情報漏洩・不正などのリスク)を生むと説明しています。エージェントは悪意を持っているわけではないとしつつも、ミスをする、操られる、乗っ取られる可能性があり、出す結果が変わったり、与えられた前提(コンテキスト)が変化したり、計画が作業中に変わったりすることがあると述べています。

Microsoft会長兼CEOのSatya Nadella氏は、こうした新しい時代に必要な「信頼の設計」について、「知能を提供すること」と「その知能に権限を与えること」を分けるべきだと説明したとしています。モデル自身にセキュリティの判断をさせるのではなく、アクセスできる範囲・取れる行動・動作を続けてよいかどうかを決める仕組みは、モデルの外側に置き、モデル自身がそれを回避したり書き換えたりできない場所に置くべきだという考え方です。記事はNadella氏の発言として、「最も信頼できるエージェントシステムとは、最も信頼できるモデルを搭載したシステムではない。それは、モデルを最も信頼しなくても済むように設計されたシステムである」という言葉を引用しています。モデルを信じなくて済む仕組みを信じる、というのもなかなかねじれた話だ。

Microsoftはこの考え方に基づき、既存の「Project Perception」とセキュリティ製品群(cyber stack)を拡張し、「エージェント型の内部関係者」を守る機能を導入すると発表しました。具体的には、セキュリティの取り組みを「Know(把握する)」「Contain(閉じ込める)」「Protect(保護する)」「Adapt(適応する)」という4つの継続的な役割に整理しています。発表文は、これらは4つの別々の製品や順番に進む工程ではなく、互いに連動して動くものだとしています。

ローカル環境で動くAIエージェントの検出対象については、35種類を追加し、合計60種類のローカルエージェントに対応すると明らかにしました。現在の検出対応表には、Anthropicの「Claude Code」、OpenAIの「Codex」、GitHubの「GitHub Copilot」など、自社・他社のツールが含まれています。35種類の追加対象の内訳として個別に名指しされたわけではありません。発見したエージェントは一元化された登録簿(unified registry)にまとめ、所有者・活動内容・リスクを管理できるようにするとしています。また、エージェントごとに利用者本人とは別の専用の識別情報を持たせる仕組み「Microsoft Entra Agent ID」も拡張し、ローカルで動いていたこれまで把握できていなかったエージェントにも対応するとしています。

ただし、Microsoft Defender for Endpointの対応表は「検出」と「実行時保護」を別に掲載しています。検出は管理対象端末で活動が観測されてから一覧に現れ、インストールだけで必ず発見されるわけではありません。Windowsの検出欄にはClaude CodeやCopilotなどが並び、macOSとWSLの検出はプレビューです。WSL対応をLinux端末全般の対応とは扱えません。実行時保護は別表でWindowsのプレビューとして記載され、対応表に載る全ツールが同じ保護を受けるわけではありません。保護を使うには監査・ブロックの設定も必要です。

さらに、新機能として「Dynamic Permissions(動的な権限)」「Dynamic Agent Risk(動的なリスク評価)」「Dynamic Conditional Access(動的な条件付きアクセス)」を発表しました。Dynamic Permissionsは、エージェントに利用者の持つ権限をそのまま継承させず、必要な作業の分だけ、必要な時間だけ権限を与える仕組みです。Dynamic Agent Riskは、エージェントの設定・アクセス可能な範囲・影響の大きさ・意図からの逸脱の有無といった情報を継続的に組み合わせ、リスクを一度きりではなく常に更新し続けて評価します。Dynamic Conditional Accessは、このリスク評価の結果に応じて、権限の縮小、書き込みの禁止、アクセス範囲の制限、承認の要求、最終的には実行の停止までを段階的に行う仕組みです。発表文が示す例では、経費承認を行うエージェントが、外部文書に埋め込まれた不正な指示(プロンプトインジェクション)に遭遇して本来の作業から外れた操作をしようとした場合、読み取り権限は残したまま承認・書き込み権限を外し、重要な操作には暗号的に証明可能な人間の承認を必須にするとしています。リスクがさらに高まった場合は、実行環境そのものを停止するとしています。

加えて、数千から数十万のエージェントを導入する組織では、一つひとつのアラートを人手で確認する体制が追いつかなくなるとして、「Guardian Agents(ガーディアンエージェント)」と「Playbooks(プレイブック)」という仕組みも導入するとしています。人間が方針・承認の境界・権限移譲の規則を決め、Playbooksが目指すセキュリティの結果と対応手順を定義し、Guardian Agentsがその対応を実際に実行する、という役割分担です。Microsoft自身のセキュリティ部門でCVP兼副CISOを務めるTerrell Cox氏は、「エージェントは、大規模に信頼できる場合にのみ、大規模に採用される」と述べ、Microsoft自身が社内で「Customer Zero」として数十万のエージェントを運用しながら得た教訓を、今回の機能に反映したとしています。

なぜ重要なのか

今回の発表で確かめたいのは、検出できるツールの数だけではありません。Microsoftは、社員の権限をエージェントへ丸ごと継承させず、組織の方針を上限として作業に必要な権限だけを時間限定で与える「Dynamic Permissions」を説明しています。さらにリスクが変われば読み取りを残しつつ書き込みを止めるなど、段階的に制御するとしています。対応表は検出と実行時保護を分けており、Claude CodeやCopilotが検出欄にあることだけで、全OSで同じ保護や新機能が利用可能と断定できません。

発表は、AIモデルの透明性(chain-of-thoughtなど、モデルがどう考えたかを示す情報)を、エージェントのリスク評価に活用する方針も示しています。モデルが何を考えているかの情報が増えるほど、意図からの逸脱や、外部からの不正な指示に影響されていないかを見分けやすくなるとしています。ただし、発表文はこの透明性を判断材料として使う一方で、実際にアクセスを許可するか・止めるかという最終的なセキュリティの判断は、あくまでモデルの外側にある独立した仕組みが行うという立場を明確にしています。モデルの"言い分"は聞くが、"決定権"は渡さない、ということらしい。

MicrosoftのTerrell Cox氏は、同社が「Customer Zero」として数十万のエージェントを運用していると述べています。これはエージェントの数であり、端末台数ではありません。今回の機能の個別の提供開始日やすべての環境での利用可否を示す数字でもありません。

私たちへの影響

今回の発表は、Microsoft Entra・Microsoft Defender・Microsoft Purview・Microsoft Sentinelなど、主に企業向けのセキュリティ製品群を対象とした機能拡張です。一般の個人利用者が直接何かを設定する必要はありませんが、勤務先がMicrosoftのセキュリティ製品を導入している場合、社内で使っているAIエージェント(コーディング支援ツールやチャットボットなど)の存在や使い方が、これまでより詳しく会社側に把握されるようになる可能性があります。

業務用の管理対象端末でClaude CodeやGitHub Copilotを使う場合、Microsoftの対応表では検出対象に含まれます。ただし検出は端末上の活動を観測して初めて行われ、個人用端末を自動的に監視するという説明ではありません。エージェントのIDと権限を利用者本人から分け、作業ごとの許可やリスク変化を追うことが、この発表の主題です。

初心者が知っておくべきこと

「AIエージェント」とは、人間からの指示を受けて、自ら計画を立てながら複数の作業を自動的に進めるAIの仕組みのことです。ゼロトラストぜろとらすととは、社内にいるかどうかにかかわらず、利用者や機器を都度確認してから許可する、情報セキュリティの考え方です。「最小権限の原則さいしょうけんげんのげんそく」とは、利用者やプログラムに与える権限を、必要な作業に必要な分だけに絞るという考え方です。今回の発表は、この二つの考え方を人間の利用者だけでなく、AIエージェントにもそのまま当てはめたものだと言えます。「プロンプトインジェクション」とは、文書やウェブページなどに、AIへの不正な指示を埋め込んでおき、AIがその指示に従って意図しない動作をしてしまうよう仕向ける攻撃手法です。

Q. 個人でClaude CodeやGitHub Copilotを使っている場合も、今回の発表の対象になりますか。 A. 出典は、企業が導入するMicrosoft Security製品群の機能拡張について説明しており、個人が私用の環境のみで使っている場合の扱いには触れていません。勤務先が対応するMicrosoft Security製品を導入し、端末が管理対象である場合、掲載されたローカルAIエージェントの活動は検出対象になり得ます。OSや機能による差があり、検出だけで実行時保護も有効になるわけではありません。

Q. 社内でAIエージェントを安全に使うために、何を意識すればよいですか。 A. 出典は、組織に求められる取り組みとして「Know(どのエージェントが存在し、誰が所有し、何のために使われているかを把握する)」「Contain(行動する前にアクセスできる範囲を制限する)」「Protect(データ・ツール・実行環境を保護する)」「Adapt(状況の変化に応じて保護を調整する)」という4つの継続的な取り組みを挙げています。

IT Postの見方――「鍵を配ってから数える」のはいつも後手

IT Postは、今回Microsoftが示した枠組みそのものは、方向性としてまっとうだと考えます。モデル自身にセキュリティ判断をさせない、権限は必要な分だけ・必要な時間だけ与える、リスクが上がれば段階的に絞る——どれも、これまで人間の利用者に適用してきたセキュリティの基本を、AIエージェントにも当てはめただけの話であり、驚くほど目新しいわけではありません。

ただ、IT Postが気にするのは、エージェントを見つける機能と、実行中の行動を止める機能の間にある距離だ。登録簿に名前が載っただけでは鍵は細くならない。どの作業にどの権限を渡し、いつ取り上げるかを決め、実際に適用して初めて統制になる。社員を「危険な内部関係者」と呼ぶ話ではない。社員とエージェントの行動を区別し、機械側に渡す鍵を必要なときだけ使わせる話だ。対応OSやプレビューの範囲を見ずに「全部守れる」と考えるのは、鍵束を数えて鍵を閉め忘れるのと同じだ。※個人の感想です

今後どうなりそうか

Microsoftは、今回発表した機能の詳細について、同社のWebサイトや、2026年11月17日から20日に開催される「Microsoft Ignite」で説明するとしています。IT Postでは、これらの機能が実際に企業へどのように導入され、現場でどのような運用がなされるのか、続報が確認できた時点であらためて取り上げます。