マイクロソフトとNVIDIA、自律型AIエージェントの「封じ込め」ルールを発表――Project PerceptionとOpen Secure AI Allianceが示す新たな業界標準

自律型AIエージェントの時代が到来し、それと同時に2020年代最大のセキュリティ上の課題が浮上しました。AIエージェントに行動力を与えつつ、破壊的な力をいかにして封じ込めるか。2026年半ば、マイクロソフトとNVIDIAはその答えを競うように打ち出しました。マイクロソフトは、エージェント向けの多層封じ込めフレームワークを公開すると同時に、自律型サイバー防御システム「Project Perception」を発表。NVIDIAは、著名なAIモデル共有プラットフォーム「Hugging Face」でのインシデントを受け、120社以上の業界団体「Open Secure AI Alliance」を立ち上げ、オープンソースのエージェントセキュリティツールの開発を主導しています。

マイクロソフトの自律型AIエージェント封じ込めルール

マイクロソフトは、自律型AIエージェントが無制限の自律性ではなく、明示的で強制力のある境界線の下で動作することを原則とした、多層的な封じ込めフレームワークを公開しました。

2026年に開示された主な封じ込めメカニズム

Microsoft Execution Containers (MXC) SDK — 2026年のBuildカンファレンスで発表されたMXCは、Windows上のAIエージェントに対してOSレベルの分離を提供し、エージェントがカーネルやファイルシステムレベルでアクセス、実行、変更できる内容を制限します 。これはマイクロソフトのランタイム封じ込めの中核技術です。同社はWindowsを自律型エージェントのための信頼できるOSと位置づけ、プロセス分離やセッション分離から、将来計画されているマイクロ仮想マシンに至るまで、MXCポリシーによって制御される一連の分離メカニズムを定義しています 。

階層別の多層防御 — マイクロソフトのセキュリティブログ（2026年5月）では、4つの軽減レイヤーが定義されています。

• モデルレイヤー: トレーニングデータ、ファインチューニング、拒否動作などを通じてエージェントの推論に影響を与える。
• セーフティシステムレイヤー: ランタイムでのコンテンツフィルタリング、ガードレール、ロギング、可観測性。
• メタプロンプトとグラウンディングレイヤー (2026年6月追記)。
• エージェンティックレイヤー: ツール使用許可、人間による確認フローなど。

テナントレベルのMCPサーバー許可リスト — 組織は承認されたModel Context Protocol (MCP) パブリッシャーとサーバーのリストを維持する必要があります。マイクロソフトのMCPカタログは、検証済みのファーストパーティサーバーを提供し、すべての外部コンポーネントはソフトウェアサプライチェーンの一部として扱われます。推奨事項としては、「すべて許可」を無効にし、エージェントが必要とする特定のツールのみを有効にすることです 。

エージェントデプロイメント向けSBOM生成 — ツール依存関係を含むソフトウェア部品表（SBOM）を生成し、MCPサーバーインストール前の署名と来歴検証、ツール説明に隠された命令のレジストリスキャン、すべての外部ツール定義に対するバージョン固定と変更監視を推奨しています 。

ポリシーベースのガードレール — 監視を超えて、組織はエージェントが何を許可されるかを設定するポリシーベースの制御を適用できます。これはAgent 365 SDKとWindowsポリシーインフラを通じて強制されます 。マイクロソフトのWindows Developer Blogは次のように述べています。「封じ込めはエージェントがアクセスし実行できる範囲を制限し、非決定論的な動作が制御不能なリスクに変わらないようにする」 。

コントロールプレーンガバナンス — 組織全体の全エージェントに対する中央集約型の所有権、アイデンティティライフサイクル管理、コンプライアンスの強制。マイクロソフトのAzure Cloud Adoption Frameworkは、既存のアイデンティティ、データガバナンス、セキュリティ慣行に沿った、中央集約型で強制力のあるガバナンスとセキュリティのベースラインを確立することを推奨しています 。

セキュリティリスクへの対処

このフレームワークは、攻撃チェーン全体を対象としています。サプライチェーンの汚染（許可リストとSBOMによる）、特権昇格（MXCアイソレーションによる）、データ漏洩（ランタイムガードレールとコンテンツフィルタリングによる）、不正なツール使用（アクセス許可制御と人間による確認フローによる）の各リスクに対応します 。1年間にわたるエージェンティックシステムのレッドチーミング（敵対的テスト）を経て、マイクロソフトは障害モードの分類を更新し、高リスクシナリオでは、エージェントのIDはワークフロー上の位置から推定するのではなく、暗号的に確立する必要があるという、ゼロトラストなエージェント間アーキテクチャの必要性を強調しています 。

より広範な業界の動き：厳格な管理下での能動的サイバー防御

2026年半ばの2つの主要な取り組みは、サイバーセキュリティにおいてAIエージェントを攻撃的・防御的に活用しつつ、同時により厳格なガードレールを課すという業界の転換を示しています。

マイクロソフトのProject Perception

2026年7月27日に発表されたProject Perceptionは、アラート生成を超えて継続的な自動行動を実現する「エージェンティックセキュリティシステム」です 。マイクロソフトはこれを「継続的に学習する防御システム」と表現し、「人間の確実な制御下で、機械の速度で推論、優先順位付け、行動できる」と説明しています 。

• 3つの特殊エージェントタイプを展開します。レッドエージェント（攻撃者のように調査）、ブルーエージェント（脅威を調査・トリアージ）、グリーンエージェント（修復・強化）です。これらは発見・トリアージ・修正のサイクル全体で連携します 。エージェントはオーケストレーションされたワークフローを通じて情報を共有し、「発見が修正に変わる、能動的に、すべてのステップで引き継ぎなし」を実現します 。
• このプラットフォームは、マイクロソフト初の内製サイバーセキュリティモデル MAI-Cyber-1-Flash を基盤としており、マイクロソフトは「主要モデルの50%のコストでワールドクラスのパフォーマンスを提供する」と主張しています 。
• マイクロソフトは自社のセキュリティ運用のかなりの部分をこのAIモデルに移行し、計算コストを約50%削減したと報じられています 。

重要性: これは、AIエージェントがシステムを調査し、脆弱性にパッチを当て、人間の指示を待たずに脅威に対応するという、能動的で自律的な役割をサイバー防御で与えられた具体的な例です。同時に、上記の封じ込めルールと同様に、Project PerceptionエージェントもMXCコンテナ内で、ポリシーベースのガードレールの下、可観測性と人間の監督を備えて動作します 。

NVIDIAのOpen Secure AI Alliance (OSAA)

2026年7月27日、自律型AIエージェントの制御喪失リスクに警鐘を鳴らしたHugging Faceでの注目インシデントから数日後、OSAAはAIエージェント向けのオープンソースセキュリティツールを構築する業界連合として設立されました 。

• 設立メンバー（37組織）: マイクロソフト、IBM、Cisco、CrowdStrike、Cloudflare、Dell、Hewlett Packard Enterprise、Linux Foundation、Hugging Face、Adobe、Capital One、Salesforce、SAP、SpaceXAIなど 。注目すべき点として、OpenAIとGoogleは参加を見送りました 。
• 急成長: 設立から1週間で、加盟組織は 120以上 に急増しました 。
• 主要なオープンソース貢献: NVIDIAは、エージェントのテスト、トレース、監査、ガバナンスを容易にする研究用ハーネス NOOA (Nvidia Open Omniverse Agent) をGitHubで公開しました 。また、Linux Foundationを通じて、透明性のある脆弱性開示と協調的な防御のためのガイドライン を提案しています 。

重要性: OSAAは、自律型エージェントのセキュリティを単一ベンダーで確保することは不可能であるという業界全体の認識を表しています。オープンモデルと共有ツールへの重点は、クローズドでプロプライエタリなアプローチへの意図的な対抗手段です。より広範なコミュニティがセキュリティツールにアクセスできるようにすることで、攻撃者を出し抜くことができるという賭けです 。NVIDIAは次のように述べています。「オープンモデルは防御能力を民主化し、防御側の透明性を高め、データを保護しながらサイバー防御を可能にし、カスタマイズ可能でローカライズされた制御でフロンティアのクローズドモデルを補完する」 。

まとめ：2つのトレンド

領域	マイクロソフト	業界全体（OSAA / NVIDIA）
制御の哲学	OSレベルの封じ込め（MXC）、ポリシーガードレール、サプライチェーン制御	オープンソースの共有ツール、透明性ガイドライン（SAFE）、コミュニティ主導の防御
能動的防御	Project Perception — 脆弱性を発見・修正・修復する自律型レッド/ブルー/グリーンエージェント	安全なエージェント運用を可能にするオープンエージェントハーネスとランタイムガードレール
対処するリスク	不正なエージェント行動、データ漏洩、サプライチェーン汚染	エージェント制御の喪失、不透明な脆弱性開示、断片化したセキュリティツール
主要な制約	エージェントはロックダウンされたコンテナ内で、人間が定義したポリシーの下で動作	共有されたセキュリティベースラインとオープンフレームワークがベンダーロックインを防ぎ、全体の底上げを図る

このパターンは明らかです。AIエージェントを能動的で自律的なサイバー防御の役割に押し進めている同じ企業が、それらのエージェントが次世代のセキュリティ脅威となるのを防ぐための封じ込めとガバナンスの構造構築を競っているのです。