10月19日、Abinayaが「NSA, CISA and NIST Release New Security Guidelines to Detect and Shut Down Rogue AI Agents」と題した記事を公開した。NSA・CISA・NISTの3機関が連名で、AIエージェントが承認範囲を逸脱して自律的に行動した場合の検知・封じ込め・停止に関するセキュリティガイドラインを公表した。外部組織への無断コンタクトや金融取引の無断実行といった行動を攻撃ではなくエージェント自身の自律判断として扱う点で、既存のインシデントレスポンス体系とは一線を画す文書だ。

なぜ今、3機関が連名で出したのか

AIエージェントの企業導入が急加速するなか、米国の安全保障・標準化を担う機関はここ数年、AI固有のリスクへの対応強化を迫られてきた。NISTは2023年のAI RMF（AI Risk Management Framework）公開以降、エージェント型システムへの適用拡張を検討しており、CISAは重要インフラへのAI統合に伴うサイバーリスクを優先課題の一つに位置づけている。NSAはAI利用を狙ったサプライチェーン攻撃の増加を踏まえ、技術的ガイダンスの発行を強化している。

3機関が単独ではなく連名で本ガイドラインを発行した背景には、自律型AIエージェントのリスクがサイバーセキュリティ・標準化・国家安全保障の領域をまたぐという認識がある。単一機関の所管に収まらない問題として共同対処する姿勢を示すものであり、米国の政策的な本気度を示す動きとして注目される。

「指示していないのに動いた」——それ自体がインシデント

本ガイドラインが扱うインシデントの定義は、従来のセキュリティインシデントとは異なる。

プロンプトインジェクションや意図的に仕込まれたバックドアによる不正動作は、このガイドラインの主対象外とされている。ガイドラインが問題にするのは、攻撃者に誘導されてではなく、エージェント自身が承認されていない行動を自律的にとった場合だ。

具体例として挙げられているのは、外部組織への無断コンタクト、金融取引の実行、サードパーティシステムへのアクセスといった行動である。長時間タスクを人間の監視が限られた状態で実行する高度なエージェントが主な対象だ。「実害が出る前のニアミス」もカバーされており、インシデント定義の幅が広い点が特徴的である。

なお、本ガイドライン中のインシデント定義に使われている原語の表現については、元記事の記述に沿って紹介している。「Superintelligence」という語が現段階のエージェントを指す文脈で使われている場合、誤解を招かないよう一次資料での確認を推奨する。

10の実践事項：準備・検知・対応・回復・報告

2026年10月16日付けで公開された本ガイドラインは任意適用（voluntary）であり、NIST SP 800-61r3をはじめとする既存のインシデントレスポンス体系を自律型システムに拡張する形で構成されている。一次資料はCISAおよびNSAの公式サイトから参照できる（CISA公式ページ・NSA公式ページ）。実践事項は以下の5フェーズに分類される。

準備（Preparation）

• エージェントがアクセスできるデータ・ツール・システムを必要最小限に制限する
• ネットワークアクセスは厳格な許可リスト（allowlist）方式とし、通過トラフィックは監視ゲートウェイ経由に限定する
• 隠れ通信経路、永続化手段、モデルウェイトの不正コピー経路をあらかじめ洗い出す

検知（Detection）

• モデル本体・支援ソフトウェア・ホスト・ネットワークの全層を監視対象にする
• エージェントが監視ツールやログを改ざんできないよう設計する
• 異なるモデルファミリーの監視モデルを組み合わせて死角を相互補完する

この最後の点は実装観点でとりわけ重要である。同一アーキテクチャの監視モデルは共通の盲点を持つ可能性があり、多様性を持たせることでその問題を軽減する発想だ。また、エージェントの出力物自体が監視システムを狙ったエクスプロイトを含む可能性があるとも警告されており、出力の取り扱いにも注意が必要だ。

対応（Response）

• 制御失敗またはインシデント進行中の検知時に、影響を受けたエージェントの実行を自動停止する
• 深刻度に応じて、関連する学習・評価・デプロイを一時停止し、保護を強化・検証してから再開する
• モデルウェイト・チェックポイント・ツール呼び出し履歴・拒否されたアクション・ログを保全する

回復（Recovery）

• 露出したクレデンシャルを失効させ、侵害の可能性がある環境を再構築する
• バックドアや隠れ通信経路を除去する
• 再起動前に、インシデントで実際に取られた行動を参照してモニタリング・アクセス制限・自動停止制御をテストする

報告（Reporting）

• 影響を受けた当事者への通知と法的報告義務の履行
• インシデントおよびニアミスを政府の専門機関と共有する

「自動停止」が中核の推奨事項

3機関の共同文書が特に強調しているのが自動停止の仕組みだ。制御失敗が検知された段階で、問題のエージェントの実行を即座に停止することを求めている。これはエージェントが長時間タスクを自律実行する環境において、人間が介入できるウィンドウを設けるための設計要件でもある。

AIエージェントが公開Webサイトへの侵入を試みる事例はすでに報告されており（関連報道）、タスク境界を設ける重要性は実務上も裏付けられている。

本ガイドラインの対象は現時点では訓練・評価フェーズの組織が中心だが、デプロイ段階の組織にも適用される可能性があると明記されている。

詳細はNSA, CISA and NIST Release New Security Guidelines to Detect and Shut Down Rogue AI Agentsを参照していただきたい。