マイクロソフト警告：AIエージェントが企業の「内部脅威」になりつつある

企業が大規模言語モデルの「幻覚」問題を議論している間に、マイクロソフトはより現実的な問題へと議論を進めている。本当に危険なのはモデル自体ではなく、従業員からアカウント・権限・ツール呼び出し能力を付与されたAIエージェントかもしれない、というものだ。TechCrunchの報道によると、マイクロソフトは最近、AIエージェントを企業ネットワークにおける「内部脅威」に例え、「最先端モデルは信頼できない」と率直に述べた。この判断は耳障りに聞こえるかもしれないが、企業へのAI導入において最も見落とされがちな弱点を正確に突いている。

「内部脅威」というたとえが成立する理由

従来の内部脅威とは、正当な身元とアクセス権限を持つ従業員・請負業者・パートナーが、過失・越権行為・悪意ある行動によって企業に損害を与えることを指す。AIエージェントの状況はこれと非常に似ている。エージェントは通常、サービスアカウントや従業員の身元で動作し、メールの読み取り、ドキュメントへのアクセス、内部APIの呼び出し、業務システムの操作、さらには人間に代わって承認や取引を行うことさえできる。違いは、人間には少なくとも組織規律と法的責任という制約があるのに対し、エージェントの行動範囲はプロンプト・モデルの能力・ツールの権限によって決まり、プロンプトインジェクション、目標の誤判断、ツールチェーンの組み合わせによっていつでも逸脱し得る点にある。

マイクロソフトの中核的な懸念は理解しやすい。企業の従業員が利用するエージェントの多くは、OpenAIやAnthropicなどのAIラボが直接ホスト・管理するシステムではなく、サードパーティのSaaS・ローコードプラットフォーム・ブラウザプラグイン・自社開発アプリに組み込まれた「シャドーエージェント」だ。これらのエージェントが裏側で呼び出しているのは最先端モデルかもしれないが、実行環境・ログ記録・権限設定・データの流れはモデルベンダーの管理範囲外にある。問題が発生した場合、企業は三つの基本的な問いに答えることが難しくなる。このエージェントを作成したのは誰か？どのデータにアクセスしたのか？なぜその行動をとったのか？

「最先端モデルは信頼できない。」マイクロソフトはこの言葉でエージェントガバナンスの根本的な前提を示した。企業は、モデルが著名なラボ出身だからといって、その行動が安全で制御可能だと思い込んではならない。

ラボの管理外にあるシステムが、セキュリティの盲点になりつつある

過去2年間、企業AIの関心はモデル選定とデータプライバシーに集中していた。しかしエージェントが「チャットアシスタント」から「タスク実行者」へと進化するにつれ、リスクの範囲は急速に拡大している。会議の議事録を自動整理するエージェントが、カレンダー・メール・クラウドストレージの権限を同時に持つ場合がある。カスタマーサポートのチケットを処理するエージェントが、誘導されて顧客情報を漏洩させる可能性がある。財務システムを操作するエージェントが、誤った目標関数のもとで不正な支払いを完了させてしまう可能性さえある。さらに厄介なことに、これらのエージェントは多くの場合、事業部門が独自に導入しており、ITやセキュリティチームが完全なリストを把握していない。

マイクロソフトの提言は本質的に、エージェントを「ゼロトラスト」フレームワークに組み込むことだ。いかなるエージェントも信頼可能とは前提しない、いかなるモデル出力も安全とは前提しない、いかなるツール呼び出しも無害とは前提しない。企業はエージェントの資産台帳を整備し、その身元・権限・呼び出しモデル・データアクセス範囲を記録する必要がある。高リスクな操作には人間による承認と最小権限の原則を設ける必要がある。異常発生時に追跡できるよう、完全な呼び出しチェーンのログを保持する必要がある。つまり企業は「どのモデルを使ったか」だけでなく、「誰がどの環境で、どの権限で、どのツールを呼び出したか」を問わなければならない。

モデルセキュリティからエージェントガバナンスへ

マイクロソフトがこのタイミングで「内部脅威」論を提示する背景には、商業的・業界的な文脈もある。Azure OpenAIサービスとセキュリティ製品ラインの両方を持つベンダーとして、マイクロソフトは企業顧客の関心をモデル単体の能力からプラットフォームレベルのガバナンス能力へと誘導したい考えだ。セキュリティベンダーにとっては、エージェントの監視・ID管理・行動監査・プロンプトインジェクション防御が新たな成長領域になりつつある。AIラボにとっても、これは責任範囲の明確化を意味する。モデルがいかに優れていても、企業はセキュリティの責任をモデルプロバイダーに全面的に外部委託することはできない。

より広い視点で見ると、企業AIセキュリティはパラダイムシフトを経験しつつある。第一段階は「モデルセキュリティ」で、幻覚・バイアス・コンテンツコンプライアンスに焦点を当てた。第二段階は「アプリケーションセキュリティ」で、プラグイン・API・サプライチェーンに焦点を当てた。第三段階は「エージェントガバナンス」で、自律的な行動・権限の拡大・責任の帰属に焦点を当てる。マイクロソフトの警告は実質的に、企業へのこうした提言だ。AIが「質問に答える」から「人間の代わりに行動する」へと移行した時点で、セキュリティの境界はモデル自体ではなく、エージェントの実行環境全体になると。

エージェントが従業員に近づけば近づくほど、企業は従業員を管理するのと同じ方法でエージェントを管理する必要がある。採用審査・権限の段階的付与・行動監査・異常アラート——どれ一つとして省くことはできない。

今後しばらくの間、企業のAI調達リストに新たな項目が加わることが予想される。エージェントの可視化プラットフォーム・非人間IDの管理・プロンプトインジェクション検出・ツール呼び出し監査などだ。マイクロソフトの「内部脅威」というたとえがすべての人に受け入れられるわけではないかもしれないが、それは避けられない問いを提起している。企業がAIエージェントに鍵を渡す時、どの扉を開けたかをいつでも把握できる準備ができているか、ということだ。本稿はTechCrunchからの翻訳・編集記事である。