AIエージェント時代に求められる多層セキュリティ設計

自律的に判断・行動するAIエージェントをシステムに組み込む企業が増える中、従来のアプリケーション層だけのセキュリティ対策では不十分だという見方が広がっている。Nutanixのプロダクトマネジメント担当シニアディレクター、オスカー・ワールバーグ氏は、悪意あるプロンプト（AIへの指示文）を遮断するガードレールがあっても、エージェントが誤った判断でデータベースを削除したり、本来の用途以外に認証情報を使って機密データを漏洩させたりするリスクは防げないと指摘する。これがエージェントを実験段階から本番環境へ移行させる際の根本的な課題だ。

AIエージェントとは、人間が都度指示しなくても自ら状況を判断し、複数のシステムをまたいで処理を実行できるソフトウェアのことだ。便利である反面、一度データセンター内での実行権限を与えると、その行動範囲は広く複雑になる。従来の「入口だけを守る」発想では、エージェントが内部で引き起こすリスクを網羅できないという問題がある。こうした状況を受け、インフラ・ストレージ・コンピュート・ネットワーク・制御基盤をまたぐ多層防御（ディフェンス・イン・デプス）の考え方が改めて注目されている。

ワールバーグ氏が示すアーキテクチャは、大きく三つの層で構成される。第一の層はインフラ層だ。ここでの主な役割は「どのエージェントが環境内で動いているか」という信頼の起点を確立することにある。プラットフォームの正当性確認（アテステーション）、機密コンピューティング、セキュアブートといった技術を用いて、ハードウェアレベルで信頼の根拠を設ける。エージェントが操作を要求した際、その要求が本物のエージェントから来ているかどうかをシステムが検証できる状態を作ることが目的だ。

第二の層はネットワーク層で、エージェントが他のエージェントやAPI、社内システムと通信する際の経路を管理する。エージェントが多数同時に動作すると通信の複雑さが急増するため、どの経路でどのような通信を許可するかを厳密に定める必要がある。第三の層は制御基盤（コントロールプレーン）で、インフラとネットワークの両層をまたいで全体のポリシーを統括する役割を担う。それぞれの層が異なるリスクカテゴリに対処することで、同じ制御を重複させるのではなく、セキュリティの隙間をなくす構造になる。

この設計思想の核にあるのはゼロトラストの原則、つまり「何も最初から信頼しない」という考え方だ。エージェントが正当であると確認されるまですべてのアクセスを制限し、確認後も必要最低限の権限だけを与える。ワールバーグ氏は、単一のセキュリティ製品や一社のベンダーだけでこうした多層防御を実現することはできないと明言しており、複数の技術・製品が連携して初めて有効に機能すると説明する。

AIエージェントのセキュリティ設計は、従来の「侵入を防ぐ」発想から「内部での行動そのものをどう制御するか」という段階へ移行しつつある。エージェントが本番環境で扱う情報の範囲や実行できる操作が広がれば広がるほど、どの層にどのリスクを割り当てるかを明確にしないまま運用することの危うさは増す。特に金融などの規制産業では、AIワークロードを他のシステムから物理的・論理的に分離し、エージェントが与えられた範囲の外で動けない仕組みを作ることが不可欠になる。多層防御の原則をAIエージェント時代の文脈に合わせて具体的な実装方針へと落とし込む動きは、今後の企業セキュリティ設計における重要な論点の一つと位置づけられる。