階層別の多層防御 — マイクロソフトのセキュリティブログ（2026年5月）では、4つの軽減レイヤーが定義されています。

• モデルレイヤー: トレーニングデータ、ファインチューニング、拒否動作などを通じてエージェントの推論に影響を与える。
• セーフティシステムレイヤー: ランタイムでのコンテンツフィルタリング、ガードレール、ロギング、可観測性。
• メタプロンプトとグラウンディングレイヤー (2026年6月追記)。
• エージェンティックレイヤー: ツール使用許可、人間による確認フローなど。

テナントレベルのMCPサーバー許可リスト — 組織は承認されたModel Context Protocol (MCP) パブリッシャーとサーバーのリストを維持する必要があります。マイクロソフトのMCPカタログは、検証済みのファーストパーティサーバーを提供し、すべての外部コンポーネントはソフトウェアサプライチェーンの一部として扱われます。推奨事項としては、「すべて許可」を無効にし、エージェントが必要とする特定のツールのみを有効にすることです 。

エージェントデプロイメント向けSBOM生成 — ツール依存関係を含むソフトウェア部品表（SBOM）を生成し、MCPサーバーインストール前の署名と来歴検証、ツール説明に隠された命令のレジストリスキャン、すべての外部ツール定義に対するバージョン固定と変更監視を推奨しています 。

ポリシーベースのガードレール — 監視を超えて、組織はエージェントが何を許可されるかを設定するポリシーベースの制御を適用できます。これはAgent 365 SDKとWindowsポリシーインフラを通じて強制されます 。マイクロソフトのWindows Developer Blogは次のように述べています。「封じ込めはエージェントがアクセスし実行できる範囲を制限し、非決定論的な動作が制御不能なリスクに変わらないようにする」 。

コントロールプレーンガバナンス — 組織全体の全エージェントに対する中央集約型の所有権、アイデンティティライフサイクル管理、コンプライアンスの強制。マイクロソフトのAzure Cloud Adoption Frameworkは、既存のアイデンティティ、データガバナンス、セキュリティ慣行に沿った、中央集約型で強制力のあるガバナンスとセキュリティのベースラインを確立することを推奨しています 。

セキュリティリスクへの対処

このフレームワークは、攻撃チェーン全体を対象としています。サプライチェーンの汚染（許可リストとSBOMによる）、特権昇格（MXCアイソレーションによる）、データ漏洩（ランタイムガードレールとコンテンツフィルタリングによる）、不正なツール使用（アクセス許可制御と人間による確認フローによる）の各リスクに対応します 。1年間にわたるエージェンティックシステムのレッドチーミング（敵対的テスト）を経て、マイクロソフトは障害モードの分類を更新し、高リスクシナリオでは、エージェントのIDはワークフロー上の位置から推定するのではなく、暗号的に確立する必要があるという、ゼロトラストなエージェント間アーキテクチャの必要性を強調しています 。

より広範な業界の動き：厳格な管理下での能動的サイバー防御

2026年半ばの2つの主要な取り組みは、サイバーセキュリティにおいてAIエージェントを攻撃的・防御的に活用しつつ、同時により厳格なガードレールを課すという業界の転換を示しています。

マイクロソフトのProject Perception

2026年7月27日に発表されたProject Perceptionは、アラート生成を超えて継続的な自動行動を実現する「エージェンティックセキュリティシステム」です 。マイクロソフトはこれを「継続的に学習する防御システム」と表現し、「人間の確実な制御下で、機械の速度で推論、優先順位付け、行動できる」と説明しています 。

• 3つの特殊エージェントタイプを展開します。レッドエージェント（攻撃者のように調査）、ブルーエージェント（脅威を調査・トリアージ）、グリーンエージェント（修復・強化）です。これらは発見・トリアージ・修正のサイクル全体で連携します 。エージェントはオーケストレーションされたワークフローを通じて情報を共有し、「発見が修正に変わる、能動的に、すべてのステップで引き継ぎなし」を実現します 。
• このプラットフォームは、マイクロソフト初の内製サイバーセキュリティモデル MAI-Cyber-1-Flash を基盤としており、マイクロソフトは「主要モデルの50%のコストでワールドクラスのパフォーマンスを提供する」と主張しています 。
• マイクロソフトは自社のセキュリティ運用のかなりの部分をこのAIモデルに移行し、計算コストを約50%削減したと報じられています 。
• Project Perceptionは2026年8月3日からMicrosoft Defender内でパブリックプレビューが開始されました 。影響の大きいアクションについては、引き続き人間の承認が必要です 。

重要性: これは、AIエージェントがシステムを調査し、脆弱性にパッチを当て、人間の指示を待たずに脅威に対応するという、能動的で自律的な役割をサイバー防御で与えられた具体的な例です。同時に、上記の封じ込めルールと同様に、Project PerceptionエージェントもMXCコンテナ内で、ポリシーベースのガードレールの下、可観測性と人間の監督を備えて動作します 。

NVIDIAのOpen Secure AI Alliance (OSAA)

2026年7月27日、自律型AIエージェントの制御喪失リスクに警鐘を鳴らしたHugging Faceでの注目インシデントから数日後、OSAAはAIエージェント向けのオープンソースセキュリティツールを構築する業界連合として設立されました 。

• 設立メンバー（37組織）: マイクロソフト、IBM、Cisco、CrowdStrike、Cloudflare、Dell、Hewlett Packard Enterprise、Linux Foundation、Hugging Face、Adobe、Capital One、Salesforce、SAP、SpaceXAIなど 。注目すべき点として、OpenAIとGoogleは参加を見送りました 。
• 急成長: 設立から1週間で、加盟組織は 120以上 に急増しました 。
• 主要なオープンソース貢献: NVIDIAは、エージェントのテスト、トレース、監査、ガバナンスを容易にする研究用ハーネス NOOA (Nvidia Open Omniverse Agent) をGitHubで公開しました 。また、Linux Foundationを通じて、透明性のある脆弱性開示と協調的な防御のためのガイドライン を提案しています 。
• 対象範囲: ツールは、IDとアクセス許可、エージェントハーネス、ランタイムガードレール、可観測性、評価、インシデント対応など、AIセキュリティスタック全体をカバーします 。

重要性: OSAAは、自律型エージェントのセキュリティを単一ベンダーで確保することは不可能であるという業界全体の認識を表しています。オープンモデルと共有ツールへの重点は、クローズドでプロプライエタリなアプローチへの意図的な対抗手段です。より広範なコミュニティがセキュリティツールにアクセスできるようにすることで、攻撃者を出し抜くことができるという賭けです 。NVIDIAは次のように述べています。「オープンモデルは防御能力を民主化し、防御側の透明性を高め、データを保護しながらサイバー防御を可能にし、カスタマイズ可能でローカライズされた制御でフロンティアのクローズドモデルを補完する」 。

まとめ：2つのトレンド

このパターンは明らかです。AIエージェントを能動的で自律的なサイバー防御の役割に押し進めている同じ企業が、それらのエージェントが次世代のセキュリティ脅威となるのを防ぐための封じ込めとガバナンスの構造構築を競っているのです。

階層別の多層防御 — マイクロソフトのセキュリティブログ（2026年5月）では、4つの軽減レイヤーが定義されています。

• モデルレイヤー: トレーニングデータ、ファインチューニング、拒否動作などを通じてエージェントの推論に影響を与える。
• セーフティシステムレイヤー: ランタイムでのコンテンツフィルタリング、ガードレール、ロギング、可観測性。
• メタプロンプトとグラウンディングレイヤー (2026年6月追記)。
• エージェンティックレイヤー: ツール使用許可、人間による確認フローなど。

テナントレベルのMCPサーバー許可リスト — 組織は承認されたModel Context Protocol (MCP) パブリッシャーとサーバーのリストを維持する必要があります。マイクロソフトのMCPカタログは、検証済みのファーストパーティサーバーを提供し、すべての外部コンポーネントはソフトウェアサプライチェーンの一部として扱われます。推奨事項としては、「すべて許可」を無効にし、エージェントが必要とする特定のツールのみを有効にすることです 。

エージェントデプロイメント向けSBOM生成 — ツール依存関係を含むソフトウェア部品表（SBOM）を生成し、MCPサーバーインストール前の署名と来歴検証、ツール説明に隠された命令のレジストリスキャン、すべての外部ツール定義に対するバージョン固定と変更監視を推奨しています 。

ポリシーベースのガードレール — 監視を超えて、組織はエージェントが何を許可されるかを設定するポリシーベースの制御を適用できます。これはAgent 365 SDKとWindowsポリシーインフラを通じて強制されます 。マイクロソフトのWindows Developer Blogは次のように述べています。「封じ込めはエージェントがアクセスし実行できる範囲を制限し、非決定論的な動作が制御不能なリスクに変わらないようにする」 。

コントロールプレーンガバナンス — 組織全体の全エージェントに対する中央集約型の所有権、アイデンティティライフサイクル管理、コンプライアンスの強制。マイクロソフトのAzure Cloud Adoption Frameworkは、既存のアイデンティティ、データガバナンス、セキュリティ慣行に沿った、中央集約型で強制力のあるガバナンスとセキュリティのベースラインを確立することを推奨しています 。

セキュリティリスクへの対処

このフレームワークは、攻撃チェーン全体を対象としています。サプライチェーンの汚染（許可リストとSBOMによる）、特権昇格（MXCアイソレーションによる）、データ漏洩（ランタイムガードレールとコンテンツフィルタリングによる）、不正なツール使用（アクセス許可制御と人間による確認フローによる）の各リスクに対応します 。1年間にわたるエージェンティックシステムのレッドチーミング（敵対的テスト）を経て、マイクロソフトは障害モードの分類を更新し、高リスクシナリオでは、エージェントのIDはワークフロー上の位置から推定するのではなく、暗号的に確立する必要があるという、ゼロトラストなエージェント間アーキテクチャの必要性を強調しています 。

より広範な業界の動き：厳格な管理下での能動的サイバー防御

2026年半ばの2つの主要な取り組みは、サイバーセキュリティにおいてAIエージェントを攻撃的・防御的に活用しつつ、同時により厳格なガードレールを課すという業界の転換を示しています。

マイクロソフトのProject Perception

2026年7月27日に発表されたProject Perceptionは、アラート生成を超えて継続的な自動行動を実現する「エージェンティックセキュリティシステム」です 。マイクロソフトはこれを「継続的に学習する防御システム」と表現し、「人間の確実な制御下で、機械の速度で推論、優先順位付け、行動できる」と説明しています 。

• 3つの特殊エージェントタイプを展開します。レッドエージェント（攻撃者のように調査）、ブルーエージェント（脅威を調査・トリアージ）、グリーンエージェント（修復・強化）です。これらは発見・トリアージ・修正のサイクル全体で連携します 。エージェントはオーケストレーションされたワークフローを通じて情報を共有し、「発見が修正に変わる、能動的に、すべてのステップで引き継ぎなし」を実現します 。
• このプラットフォームは、マイクロソフト初の内製サイバーセキュリティモデル MAI-Cyber-1-Flash を基盤としており、マイクロソフトは「主要モデルの50%のコストでワールドクラスのパフォーマンスを提供する」と主張しています 。
• マイクロソフトは自社のセキュリティ運用のかなりの部分をこのAIモデルに移行し、計算コストを約50%削減したと報じられています 。
• Project Perceptionは2026年8月3日からMicrosoft Defender内でパブリックプレビューが開始されました 。影響の大きいアクションについては、引き続き人間の承認が必要です 。

重要性: これは、AIエージェントがシステムを調査し、脆弱性にパッチを当て、人間の指示を待たずに脅威に対応するという、能動的で自律的な役割をサイバー防御で与えられた具体的な例です。同時に、上記の封じ込めルールと同様に、Project PerceptionエージェントもMXCコンテナ内で、ポリシーベースのガードレールの下、可観測性と人間の監督を備えて動作します 。

NVIDIAのOpen Secure AI Alliance (OSAA)

2026年7月27日、自律型AIエージェントの制御喪失リスクに警鐘を鳴らしたHugging Faceでの注目インシデントから数日後、OSAAはAIエージェント向けのオープンソースセキュリティツールを構築する業界連合として設立されました 。

• 設立メンバー（37組織）: マイクロソフト、IBM、Cisco、CrowdStrike、Cloudflare、Dell、Hewlett Packard Enterprise、Linux Foundation、Hugging Face、Adobe、Capital One、Salesforce、SAP、SpaceXAIなど 。注目すべき点として、OpenAIとGoogleは参加を見送りました 。
• 急成長: 設立から1週間で、加盟組織は 120以上 に急増しました 。
• 主要なオープンソース貢献: NVIDIAは、エージェントのテスト、トレース、監査、ガバナンスを容易にする研究用ハーネス NOOA (Nvidia Open Omniverse Agent) をGitHubで公開しました 。また、Linux Foundationを通じて、透明性のある脆弱性開示と協調的な防御のためのガイドライン を提案しています 。
• 対象範囲: ツールは、IDとアクセス許可、エージェントハーネス、ランタイムガードレール、可観測性、評価、インシデント対応など、AIセキュリティスタック全体をカバーします 。

重要性: OSAAは、自律型エージェントのセキュリティを単一ベンダーで確保することは不可能であるという業界全体の認識を表しています。オープンモデルと共有ツールへの重点は、クローズドでプロプライエタリなアプローチへの意図的な対抗手段です。より広範なコミュニティがセキュリティツールにアクセスできるようにすることで、攻撃者を出し抜くことができるという賭けです 。NVIDIAは次のように述べています。「オープンモデルは防御能力を民主化し、防御側の透明性を高め、データを保護しながらサイバー防御を可能にし、カスタマイズ可能でローカライズされた制御でフロンティアのクローズドモデルを補完する」 。

まとめ：2つのトレンド

このパターンは明らかです。AIエージェントを能動的で自律的なサイバー防御の役割に押し進めている同じ企業が、それらのエージェントが次世代のセキュリティ脅威となるのを防ぐための封じ込めとガバナンスの構造構築を競っているのです。