Google、AI時代のセキュリティモデル「Beyond Zero」を発表

Googleは研究論文を通じて、「Beyond Zero」と呼ぶ新しいセキュリティモデルを発表した。これは、これまでのセキュリティの考え方である「ゼロトラスト」をAIエージェントにも対応できるよう拡張したもので、同社は「AI時代のセキュリティモデル」と位置づけている。

ゼロトラストとは、「社内ネットワークにいるから安全」という前提を捨て、すべてのアクセスを常に検証するという考え方だ。GoogleはBeyondCorpと呼ばれるゼロトラスト型のセキュリティフレームワークを以前から提唱しており、Beyond ZeroはそのBeyondCorpの後継として位置づけられる。

Beyond Zeroが既存のアプローチと大きく異なる点は、アクセスの判断をどこで行うかにある。従来はアプリケーション全体に対してアクセスを許可するかどうかを決めていたが、Beyond Zeroでは個々のリソースやアクション、つまりより細かい単位ごとに判断を下す仕組みをとる。また、あらかじめ決められたルールによる静的な制御と、AIが状況に応じてリアルタイムで行う動的な判断を組み合わせることで、人間とAIエージェントの双方に対して機械的な速度でアクセス制御を実行できるとしている。

この枠組みが求められる背景には、AIエージェントの急速な普及がある。AIエージェントとは、人間の指示を受けながら自律的にタスクをこなすAIシステムのことで、メールの送受信やファイルの操作、外部サービスへのアクセスなど、従来は人間が行っていた操作を代わりに実行する。こうしたエージェントは利便性をもたらす一方で、不正利用や意図しない操作が起きた場合のリスクも高まるという側面がある。

従来のセキュリティ設計は、判断を下すのが人間であることを前提としていた。しかしAIエージェントは人間よりもはるかに高速かつ大量にアクションを起こすため、従来の人手を介した承認フローや静的なルールだけでは対応しきれない場面が増えている。Beyond Zeroはこのギャップを埋めることを目指したモデルという見方ができる。

GoogleはBeyondCorpの公開以降、業界全体のゼロトラスト普及に一定の影響を与えてきたとされる。今回のBeyond Zeroも、Googleが自社内での実践知を論文という形で外部に共有したものであり、セキュリティ業界での議論や標準化の動きに影響を与える可能性があると位置づけられる。具体的な製品化や一般提供の時期については、今回の論文では明らかにされていない。

今後の注目点は、この概念がどのように実装・標準化されていくかにある。AIエージェントの活用が企業のシステムに深く組み込まれていく流れの中で、エージェントを対象とした細粒度のアクセス制御という考え方は、セキュリティ設計の基本方針として広く参照されるものになり得るという見方ができる。各社がどのようにこのアプローチを採用・応用していくかが、今後の焦点となりそうだ。