—·
全てのコンテンツはAIによって生成されており、誤りが含まれる可能性があります。ご自身でご確認ください。
エージェント型AIは、インシデント発生時のシステムの挙動を大きく変える可能性があります。本ガイドでは、「CI Fortify」の隔離・復旧の原則を、エージェントのワークフローに適用可能な具体的な管理手法へと翻訳します。
エージェントに広範なアクセス権限を与えてしまうと、一度の誤操作が致命的な事態を招きかねません。重要インフラにおけるエージェント型AIのセキュリティチームが問うべきは、単に「モデルが安全か」という点ではありません。「エージェントが誤った判断を下したり、侵害されたり、設定を誤ったりした場合でも、稼働環境の安全が保たれるか」という点です。これこそが「CI Fortify」の前提であり、継続的な正しさを過信せず、コンポーネントを隔離し、復旧を可能にすることで、機能が低下した状態でも設計を維持するという考え方です。
NIST（米国国立標準技術研究所）も、エージェントをセキュリティ上の重要な転換点と捉えています。NISTの研究では、エージェント型AIを単なるテキスト生成にとどまらず、自律的なアクションを実行可能なシステムと定義し、その挙動を大規模に評価・テストすることの重要性を強調しています（Source）。現実には、アクションの実行はバグや攻撃の被害範囲（ブラスト半径）を拡大させます。この被害範囲を制限する戦略こそが「設計による隔離（Isolation-by-design）」です。
ワークフローの途中でベンダーやクラウドのコンポーネントが機能不全に陥った際、唯一有効なアプローチがこの隔離です。エージェント型AIの導入は、外部ツール（チケット管理、コードリポジトリ、ジョブランナー、メッセージングシステム、ストレージ）やリモート実行パスに依存しています。これらの依存先が低下した際、隔離されていないエージェントは再試行を繰り返したり、権限を昇格させたり、現在の安全状態では不適切なステップを継続したりする恐れがあります。
結論： エージェント型AIの実行を、失敗の可能性を考慮した本番環境の自動化と同様に扱い、隔離と復旧の仕組みをエージェントの実行環境設計に組み込んでください。インシデント発生時に場当たり的に対処するのではなく、あらかじめ設計しておくことが重要です。
CI Fortifyの隔離・復旧の指針は、次の4つの運用要件に翻訳できます。（1）依存関係の把握、（2）必要最小限の権限の維持（最小権限の原則）、（3）ツール実行の制限と記録、（4）復旧後も有効な監査証跡の生成。これは、NISTが強調するエージェントの評価とツールに関連するリスクとも合致しています。「モデルの推論能力が高い」という理由だけで安全だと想定してはなりません。システム境界、ツールインターフェース、実行状態に対して適切な管理を行う必要があります（Source）。
依存関係のマッピングとは、エージェントのどのステップがどのシステムに接触し、どのIDや認証情報を使用しているかをグラフ化することです。重要インフラにおいては、単なるIT資産目録にとどまらず、「アクションの依存関係」マップが必要です。例えば、「変更チケットを開く」という操作が「パイプライン実行」を誘発し、それが「設定のデプロイ」につながり、最終的に「本番サービスの再起動」を引き起こすといった連鎖を可視化します。
NISTの研究は、ツールを駆使するエージェントに対し、大規模なレッドチーミングを含む現実的な環境でのテストを推奨しています（Source）。運用上のニーズは、エージェントのアクションがどこに影響を及ぼし、どのツール呼び出しが重大なリスクとなり得るかを理解することにあります。
「設計による隔離」モデルにおいて、依存関係マップは実行環境を制限するための基礎となります。このグラフがあれば、隔離イベント発生時に何を維持し、何を遮断すべきかを明確に判断でき、重要なOT（運用技術）や重要サービスを停止させることなく運用を継続できます。
結論： 権限を厳格化する前に、エージェントのステップと具体的なシステム・認証情報を紐づけたアクション依存関係マップを作成してください。それがなければ、最小権限の原則は当てずっぽうになり、隔離訓練も効果を測定できません。
エージェント型AIにおける最小権限の原則は、IAMロールだけでなく、ツールの許可リスト化と権限定義によって実現します。許可リスト化とは、エージェントが呼び出し可能なツールを「設定の読み取り専用検索」「チケット作成」「承認済み自動化ジョブの実行」など、有限のセットに限定することを指します。権限定義は、各ツールに対してエージェントが何を実行できるか（どのリポジトリ、どの名前空間、どの変更ウィンドウか）を細かく指定します。
NISTのAIリスク管理フレームワーク（AI RMF）では、AIリスクをライフサイクル全体で構造化することを推奨しています（Source）。これを運用に落とし込むと、ツール権限やアクセス権を一度きりの設定ではなく、デプロイ、監視、ガバナンスを通じたリスク管理の一部として扱うべきだという結論になります。
「設計による隔離」は、この境界線に依存します。エージェントが許可されたツールというサンドボックス内でのみアクションを実行できるのであれば、遠隔操作や侵害された意思決定ループが、安定性を維持すべきシステムにまで達する可能性を低減できます。
結論： エージェントのツール呼び出しに許可リストを導入し、ツールごとの権限を定義してください。そうすることで、「エージェントの自律性」が無制限のアクセスを意味しないようにします。
最小権限の原則は、往々にして静的な権限モデルとして扱われがちです。しかし、エージェント型AIのセキュリティには運用的なアプローチが必要です。つまり、権限はエージェントの現在の「安全状態」に合わせて動的に変化し、復旧モード開始時には自動的に変更されるべきです（Source）。
ワークフローステップの重要度に応じて権限階層を定義し、階層の変更を自動的かつ可視化された、取り消し可能なものにします。例えば： ・階層0：監視（読み取り専用、変更不可） ・階層1：リクエスト（チケット作成、変更提案） ・階層2：実行（承認済みジョブの実行、変更の適用） ・階層3：緊急上書き（人間による承認が必要）
各階層を、以下の3つの軸で強制力のある契約として定義します。
各階層は、別々のツール権限とIDコンテキスト（ワークロードIDやサービスプリンシパル）にマッピングする必要があります。隔離がトリガーされると、エージェントの階層は自動的に引き下げられます。重要なのは、実行中のコンテキストをフリーズさせ、ダウングレード信号が発信された後にエージェントが特権的な作業を「完了」できないようにすることです。
運用上、以下の安全状態の条件に基づいた、決定論的なダウングレード経路が必要です。 ・ツールの依存関係の低下（例：ジョブランナーのタイムアウト） ・ポリシーゲートの失敗（ツール乱用を示唆する反復的な許可/拒否の結果） ・証跡の整合性異常（監査ログの欠落、予期せぬログの途切れ） ・ツール呼び出しの異常な頻度（ステップ間のレート異常）
結論： 最小権限を一度設定して終わりにしてはなりません。ステップの階層ごとに権限を割り当て、定義した安全状態のトリガーに基づいて自動的にダウングレードを行い、実行中の特権作業をフリーズさせてください。これにより、復旧を単なる「意図の縮小」ではなく、「実効性のある制御」にできます。
エージェントを、オペレーターアカウントとは独立した独自のIDを持つ「アクター」として扱ってください。オペレーターが意思決定を承認する一方で、エージェントには人間に与えられる広範な権限を継承させてはなりません。これは、認証情報を再利用するワークフローを通じた権限昇格を防ぐための「設計による隔離」です。
NISTのAIリスク管理フレームワークも、AIシステムにおけるライフサイクル管理としてIDの分離を支持しています（Source）。エージェント導入においては、誰が、あるいは何がツール呼び出しを承認したのかを追跡できるよう、分離されたログと属性管理が不可欠です。これは、モデル内部の推論プロセスに関わらず有効な、数少ないセキュリティ管理策の一つです。
結論： エージェントには個別のスコープを持つ専用のIDを実装し、階層3のアクションには人間の承認を義務付けてください。これにより、エージェントの判断のみに依存しない復旧体制を構築できます。
重要環境において、エージェント型AIのセキュリティに監査可能性は必須です。エージェントが計画を立て、実行し、自己修正を行う場合、各ステップの証拠が必要です。つまり、ツール呼び出しに至ったプロンプトと状態、呼び出しのパラメータ、応答、そしてそれを許可または拒否したポリシー判断の記録です。これらの証拠は、システムがロールバックや再起動された後も有効でなければなりません。
NISTのCAISI（AIシステムにおける自律的セキュリティ）研究ブログでは、ツール使用に対する大規模なレッドチーミングが議論されています（Source）。レッドチーミングの価値は、敵対的なシーケンスの中でログ、封じ込め境界、ツール制約が実際に機能したことを証明するようチームに強制する点にあります。
自己修正とは、エージェントがツールの結果を受け取ったりエラーを検知したりした後に計画を修正することです。証拠チェーンがなければ、自己修正は監査の死角となります。不完全なコンテキストに基づいてエージェントがアクションを変更してしまう可能性があるからです。
運用上のアプローチとして、以下を記録してください。
NISTの研究は、エージェントシステムをツール使用のプローブ（調査）で評価することを支持しており、これらのプローブはインシデント後にレビュー可能な監査成果物を生成する必要があります（Source）。
結論： ログと証拠チェーンはツール呼び出しとポリシーゲートを中心に設計してください。エージェントの「自己修正」をオペレーターが精査する必要がある際、これこそが検証可能な唯一の手段となるからです。
エージェントのオーケストレーションフレームワークは、複数のサービス間にまたがる計画、ツール使用、ステップ実行を調整します。セキュリティの観点から見ると、オーケストレーションはモデルとツールの間に位置するため、信頼境界が最も壊れやすい場所です。NISTのガイダンスは、オーケストレーション層におけるポリシーゲート、ステップごとの権限強制、ツールアクションの完全な証拠取得を推奨しています（Source）。
特定のベンダーフレームワークを採用する必要はありません。求められる管理策は構造的なものです。 ・ポリシー決定点（PDP）およびポリシー強制点（PEP）としてのオーケストレーション ・承認済みツールへの決定論的なルーティング（自由形式のツール実行の禁止） ・隔離状態（通常、隔離、復旧）をサポートするステートマシン ・すべてのツール呼び出しにおける監査フック
オーケストレーション層は、エージェントの「自己修正」を抑制すべきです。モデルが新しいツールや拡張されたスコープを提案した場合、人間が承認したポリシー更新が適用されるか、エージェントが明示的に監視階層へダウングレードされるまで、オーケストレーターは実行を拒否すべきです。
インシデント対応を実用的に維持するため、以下の回答を1分以内に得られるように計装（計測・監視）してください。 ・現在、エージェントはどの階層にあるか？ ・どのツール/関数呼び出しが試行されたか？ ・どのポリシー規則がそれを許可/拒否したか？ ・オーケストレーターは実行中の特権作業をフリーズさせたか？
オーケストレーターがこれらに答えられない場合、最も必要な瞬間に証拠チェーンが不完全な状態となります。NISTの英国内の政策ガイダンスでも、AIのモデルレベルの安全性だけでなく、システムレベルの制御と実用的な制約の重要性が強調されています（Source）。
結論： エージェントが自らの権限を拡張できないようオーケストレーションを設計してください。隔離をオーケストレーターのステートマシンにおける「第一級の状態」とし、ツール境界に監査ゲートを設置して、階層やポリシー判断、証拠が復旧時にすべて可視化されるようにしましょう。
エージェント型AIのセキュリティは、「ツール使用の実験」から「企業の本格導入」へと移行しています。そのため、「設計による隔離」は一度きりの評価ではなく、繰り返される管理策として運用されるべきです。NISTの研究は、エージェントを安全に採用するための継続的な評価とテストを強く示唆しています（Source, Source）。
2026年5月7日現在、推奨されるタイムラインは以下の通りです。 ・60〜90日以内：主要な重要ワークフローに対する依存関係マッピングとステップ階層ごとの権限付与を実装する。 ・120〜180日以内：エージェント評価用プローブを用いた隔離トリガー訓練を実施し、復旧時の証拠チェーン検証を行う。 ・6〜9ヶ月以内：ツールの許可リストと権限定義をオーケストレーションの変更管理に統合し、新しいツールには明示的なポリシー更新を必須とする。
この予測はNISTの継続的な評価プローブの研究に基づいたものです。四半期ごとの実施は、NISTの評価重視の姿勢から導き出される推奨事項です。
重要サービスまたはその周辺でエージェント導入を管理している場合、「エージェント隔離ランブック」の公開を義務付けてください。そこには（a）隔離中にダウングレードされるステップ階層、（b）利用可能なツール許可リスト、（c）インシデントを終了させるために必要な監査証拠、を定義します。権限拡大の承認は、人間によるレビューを伴う変更管理ワークフローと紐づけてください。
もしチームの認識を統一するためのシンプルなルールが必要であれば、こうしてください。「エージェント型AIの自律性は、隔離時には縮小される特権である」と定義し、それを証明する証拠チェーンを要求することです。