CISAとNSA、自律型エージェントAIのセキュリティガイドラインを公開
米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）、米国家安全保障局（NSA）、およびファイブ・アイズの国際連携機関は2026年4月、自律型人工知能（AI）ソフトウェアのリスクに対処するための共同「エージェント型AIセキュリティガイドライン」を公開しました。このフレームワークは、自律型エージェントの設計、開発、導入、運用の各段階における防御策を詳しく規定しています。企業にとって本ガイドラインは、自律型エージェントをビジネスインフラに統合する際のサービス停止の緩和、データ漏洩の防止、監査可能性の維持に向けた運用標準となるものです。
自律型システムに関するファイブ・アイズのエージェント型AIガイドライン
ファイブ・アイズによるエージェント型AIガイドラインは、LLMなどのAIモデルに依存して世界の状況を解釈・推論し、自律的にアクションを実行する1つ以上のエージェントで構成されたソフトウェアを管理するためのセキュリティ対策を規定しています。CISA、NSA、および国際サイバーセキュリティパートナーが共同で公開した本ガイドラインは、自律的な意思決定に伴うセキュリティリスクから企業インフラを保護することに重点を置いています。サイバーセキュリティ機関は、企業組織がこれらのシステムを安全に設計、実装、管理するための具体的な手順を評価し、エージェント型AIサービスの慎重な導入を計画することを推奨しています。
エージェント型AIにおける5つのセキュリティリスク
CISAのエージェント型AIセキュリティガイドラインでは、エージェント型AIの導入に関連するセキュリティリスクを5つの主要なカテゴリーに分類しています。特権リスクは、エージェントが複数のツールや環境にわたって権限を集約することで発生し、単一の侵害ポイントから広範なアクセスが許可されてしまいます。設計および設定のリスクは、不適切なアーキテクチャ、静的なアクセス制御、または過剰な権限を持つサードパーティコンポーネントに起因し、攻撃者が古い権限を悪用して横移動を行うことを可能にします。動作リスクは、予測不能なアクション、プロンプトインジェクション、データ汚染から生じます。構造的リスクは、相互接続されたシステムや多段階のワークフローから発生し、連鎖的な障害や攻撃表面の拡大につながります。説明責任リスクは、システムの不透明さによって大規模な意思決定の追跡や責任の特定が困難になることに起因します。
開発におけるNSAのエージェント型AIセキュリティのベストプラクティス
NSAによるエージェント型AIセキュリティのベストプラクティスでは、システム設計および開発の段階でセキュリティ、ガバナンス、監視体制を組み込むことを強調しています。開発者は、エージェントの動作が意図した結果と一致するように明確な指示ヒエラルキーを構築し、強力なID管理メカニズムを組み込み、重複するセキュリティ層とともに人間の監視コントロールを配置する必要があります。開発中、組織は対話的テストやレッドチーミングなどの包括的なテスト戦略を使用すべきです。徹底的な評価には脅威モデルを使用し、さまざまな文脈的条件や異なる自律性レベルでテストを行う必要があります。システムには、予期せぬ動作の影響範囲を制限するフェイルセーフの初期設定が必要であり、説明責任を向上させるための詳細なドキュメント成果物を生成する必要があります。
本番環境で自律型AIエージェントを保護するためのプロトコル
初期導入時のセキュリティを管理するため、自律型AIエージェントのセキュリティを確保する組織は、初期の露出を抑えるためにアクセスレベルと自律性を段階的に引き上げる必要があります。導入プロトコルでは、最小権限アクセスの徹底、システム隔離、および堅牢な認証コントロールが求められます。開発者と運用者は、拒否リスト、禁止ルール、オーバーライド不可能な安全制約などの強力なガードレールを導入する必要があります。これらの対策により、自律型エージェントが定義された運用境界内で機能し、隣接するビジネスシステムへの不正アクセスを防止します。
運用の監視とログ記録の手順
運用フェーズにおいては、異常な動作、不正なアクション、あるいは新たに発生するリスクをリアルタイムで検知するために、継続的な監視が不可欠です。組織は、すべてのビジネスに不可欠な機能全体で監査と説明責任を支援するため、エージェントの意思決定とアクションに関する詳細なログを維持する必要があります。詳細なログ成果物により、セキュリティチームは自動化された意思決定の軌跡を追跡し、多段階ワークフローでの障害を調査し、組織の安全規則への準拠を検証できます。
ガイドラインが企業の導入環境にもたらす変化
本ガイドラインは、事業活動全体においてサービスの停止、データ漏洩、監査可能性の喪失につながる企業の中核的な脆弱性に対処します。特権の集約と相互接続されたワークフローを特定することにより、本フレームワークは企業のセキュリティアーキテクトが共有インフラ全体の単一障害点を防ぐのに役立ちます。フェイルセーフ初期設定、段階的な自律性、および重複するセキュリティコントロールを実装することで、予期せぬエージェントのアクションによる影響範囲が制限され、企業は運用の監視と説明責任を維持しながらエージェント型AIを採用できるようになります。
質問と回答
エージェント型AIのセキュリティに関するファイブ・アイズのガイドラインとは何ですか？
CISA、NSA、および国際サイバーセキュリティパートナーが共同で発行したファイブ・アイズのガイドラインは、エージェント型AIシステムを慎重に導入するための実践的なフレームワークを提供します。指示ヒエラルキー、対話的テスト、段階的なアクセス導入、オーバーライド不可能なガードレール、継続的な運用ログ記録など、AIシステムのライフサイクル全体にわたるセキュリティ対策を規定しています。
CISAによると、自律型AIエージェントの主なサイバーセキュリティリスクは何ですか？
CISAは5つの主要なリスクカテゴリーを挙げています。集約されたアクセス権限による特権リスク、静的な制御による設計および設定のリスク、プロンプトインジェクションやデータ汚染を含む動作リスク、多段階ワークフローの連鎖障害による構造的リスク、そして不透明な自律的意思決定に起因する説明責任リスクです。
CISAの推奨事項に基づき、企業はどのようにエージェント型AIの導入を保護できますか？
企業は、アクセスレベルと自律性を段階的に付与し、厳格な最小権限コントロールとシステム隔離を実施し、拒否リストのようなオーバーライド不可能なガードレールを確立し、監査可能性を確保するために詳細な意思決定ログを用いた継続的な監視を行うことで、導入環境を保護できます。
MOZGIIの視点
私たちならこう作ります
エージェント型システムにこれらのセキュリティガイドラインを適用するなら、私たちがすべての自律エージェントのリクエストを隔離された認可ゲートウェイ経由でルーティングするでしょう。プロンプトのアーキテクチャ内に明示的な指示の階層を定義し、下流のすべてのツールに対して最小権限のアイデンティティトークンを徹底するでしょう。高リスクとしてフラグが立てられたアクションは、実行前に人間のセキュリティアナリストが確認するでしょう。上書き不可能な拒否リストにより、制限されたネットワーク呼び出しをインフラレベルで直接ブロックするでしょう。
プロンプトインジェクションが最上位の指示を回避した場合や、多段階のワークフローが接続されたツール間で権限を集約してしまうと、システムは破綻します。複雑な文脈を伴うタスクは、エージェントに意図しないAPI呼び出しを実行させたり、無限ループを引き起こしたりする可能性があります。私たちが主要な運用指標として追跡するのは、未認証のツール試行頻度となるでしょう。ブロックされた呼び出しの急増は、潜在的なインジェクション攻撃やワークフローロジックの失敗を示すでしょう。
次に、私たちがさまざまな自律性レベルでエージェントの限界を継続的にテストする自動レッドチームパイプラインを構築するでしょう。また、コンプライアンスレビューに向け、エージェントの推論ステップを変更不能な監査ログへストリーミングする構造化された意思決定ロギングを導入するでしょう。
出典
この記事の事実の出典です。