8月5日、Mary K. Prattが「How the AEGIS framework mitigates agentic AI risks」と題した記事を公開した。この記事では、Forrester Researchが提唱するAEGISフレームワークを用いてエージェンティックAIのリスクを管理する方法について詳しく紹介されている。
エージェンティックAIが突きつける「従来のセキュリティモデルの限界」
エージェンティックAI（自律的に判断・行動するAIエージェント）の企業導入が急速に進んでいる。元記事によれば、すでに多くの組織がエージェントを本番環境に投入しており、今後2年以内に本格展開を計画している企業も相当数に上るという。
しかし、この動きに対してセキュリティ体制が追いついていない実態がある。大半の組織では、エージェントが何を決定できるかの明確な境界がなく、リアルタイムの行動監視も監査ログも存在しないのが現状だ。自律エージェントのガバナンスについて成熟したモデルを持つ組織は依然として少数派にとどまっている。
問題の核心は、従来の「ブロックかアローか（block or allow）」型のセキュリティモデルがエージェント時代に十分機能しない点にある。人間が最終的にアクションを実行する前提で設計された既存のセキュリティアーキテクチャは、マシンスピードで自律動作し、動的に振る舞いを変えるAIエージェントへの対応を想定していない。Forresterは、CISOはこのアプローチを「成功確率の継続的評価（probability of success）」モデルへ転換する必要があると主張する。
AEGISフレームワークとは何か
Forrester Researchが提唱するAEGISは、CISO・CIO・CTOがエージェンティックAIを安全かつ責任ある形で展開するための、アーキテクチャと運用の基盤を構築するフレームワークである。なお、フレームワーク名の正式な展開表記については元記事の原文を参照されたい。
AEGISは以下の3原則を軸にしている。
- 最小エージェンシー（Least Agency）：AIエージェントに与える能力・ツール・権限を最小限に絞る。セキュリティ分野でいう「最小権限の原則（Least Privilege）」のエージェント版だ。最小権限がユーザーのリソースアクセスを制限するように、最小エージェンシーはエージェントの意思決定と行動そのものを制限する。
- 継続的リスク管理によるトラスト維持：エージェント・モデル・データをリアルタイムで継続監視し、瞬間ごとに安全性を担保する。
- 説明可能なアウトカム：エージェントは静的ルールではなく学習・文脈・意図に基づいて判断するため、セキュリティガードレールの結果を人間もシステムも理解・説明できる必要がある。
6つのドメイン：実装の具体的な構成要素
AEGISはフェーズを分けて導入すべき6つのドメインで構成されている。
- ガバナンス・リスク・コンプライアンス：リアルタイムのリスク・コンプライアンス監視、振る舞いドリフトの自動検出、ポリシー・アズ・コード（Policy as Code：ポリシーをコードとして記述し、機械が自動実行・適用できる形式で管理する手法）によるポリシー適用。
- アイデンティティとアクセス管理：AIエージェントをファーストクラスのエンティティとして管理し、所有権・クレデンシャル・ライフサイクル・監査可能性を確保。ジャスト・イン・タイムかつ最小権限の認可を実施。
- データセキュリティとプライバシー：センシティブデータの統一定義、目的に限定したデータアクセス、データ損失防止（DLP）、マスキング・暗号化・合成データといったプライバシー保護技術の適用。
- アプリケーションセキュリティ：AI固有の脅威モデリング、エージェント生成コードの厳格な検証、AI-BOM（AI Software Bill of Materials：AIシステムを構成するモデル・データセット・依存コンポーネントの一覧表。ソフトウェアサプライチェーンにおけるプロバナンス〔provenance：コンポーネントの出所・来歴の追跡可能性〕管理に活用される）の整備、セキュアなプロンプトエンジニアリング。
- 脅威管理：プロンプト・アクション・推論ステップの詳細ログ、プロンプトインジェクション・ハルシネーション・ドリフトの検出、エージェント行動に対するパープルチーミング（攻撃側〔レッドチーム〕と防御側〔ブルーチーム〕が協調して脆弱性を発見・修正する手法）、自動化されたレスポンスプレイブック。
- ゼロトラストアーキテクチャ：マイクロセグメンテーション、APIゲートウェイ、アクセスブローカー、ネットワークレベルの封じ込め。
導入上の現実的なハードル
AEGISの実装にはAIシステムとエンタープライズセキュリティアーキテクチャの両面での専門知識が必要だ。レガシーシステムを抱えるハイブリッド環境では、特にアイデンティティ管理やゼロトラストアーキテクチャとの統合に相当な近代化投資が求められる可能性がある。
元記事はAEGISをフェーズ分割で段階的に導入することを推奨しているが、それでも長期的な組織コミットメントが前提となる。具体的には、まず自組織のエージェント利用実態を棚卸しし、リスクの高いユースケースからガバナンス整備を優先するアプローチが現実的だ。専門知識の不足が懸念される場合は、外部の専門家やForresterのガイダンスを活用することも視野に入れるべきだろう。
それでもForresterがAEGISで強調する本質的なメッセージは明確だ。エージェンティックAIは「また一つ新しいアプリ」ではなく、エンタープライズ内の全く新しいカテゴリのアクターであり、それに見合った専用のガバナンスと保護が求められる。
詳細はHow the AEGIS framework mitigates agentic AI risksを参照していただきたい。
