Guardian Agentsは、Microsoftが2026年10月19日に企業向けAIエージェントへ追加した新しい関門だ。同日、Microsoftは公式ブログの「Securing the agentic insider」とMicrosoft Security Blogの関連記事で、Project Perceptionの拡張を発表した。今年7月に登場したこの仕組みは、レッド、ブルー、グリーンのエージェントチームで外部からの攻撃に備えるものだったが、今回、同じ監視の目を企業内部へ向けた。自社で導入したエージェントを無条件に信頼するのではなく、内部脅威として継続的に管理し、リスクが上がれば権限を自動で絞る。
エージェントは悪意があるのではなく、権限が大きすぎて止まらない
Microsoftの主張は特定のモデル提供元に向けたものではない。公式ブログは率直だ。どの出自であれフロンティアモデルを完全に信頼することはできない。理由はモデルに悪意があるからではなく、結果を出すよう訓練されているため報酬ハッキングに走りやすく、企業の規範や節度を自ら守ることもないからだ。エージェントは必要以上のデータ、ツール、システム権限を持ちがちで、機械の速度で動き続け、文脈に応じてやり方を変え、他のエージェントと協力して目的を達成することさえある。こうした実行者に鍵を渡して監視を付けなければ、問題が起きるのは時間の問題だ。CEOのサティア・ナデラの原則は、知能の供給と知能に対する権限を分けることにある。モデルは案を出すが、何に触れ、何ができ、動き続けられるかはモデルの外側の仕組みが決める。
検出、権限の制限、動作の監視を同時に進める
拡張後のProject Perceptionには四つの継続的な責務がある。企業内にどのエージェントがあり、誰のもので、なぜ存在するのかを把握すること。エージェントが行動する前に、アクセスと実行の範囲を制限すること。その経路上のデータ、ツール、実行環境を守ること。そして行動とリスクの変化に応じて防御を調整し続けることだ。具体的な動きとして、検出範囲が広がった。ローカルエージェントの検出対応が35種類増えて合計60種類となり、Claude Code、OpenAI Codex、GitHub Copilotも統一された登録簿に取り込める。IDも独立した。MicrosoftはEntra Agent IDを拡張し、エージェントは依頼した人とは別の固有のIDを持つため、問題が起きたときに人の操作かエージェントの代行かを切り分けられる。権限はゼロから始まる。新設のDynamic Permissionsは従業員の全権限を継承させず、タスク単位かつ期限付きで付与し、影響の大きな操作には検証可能な人間の承認を要求する。実行環境はサンドボックスのコンテナで囲まれ、エージェントが侵害されても監視側の仕組みを止められない。
リスク評価は一度きりではなく、対応も停止だけではない
今回の更新で企業セキュリティ担当が最も注目すべきなのは、Dynamic Agent RiskとDynamic Conditional Accessだ。仕組みはID、データ、エンドポイント、クラウド、ネットワーク、ランタイム、そしてエージェント自身の活動からのシグナルを総合し、各エージェントのリスク判断を継続的に更新する。モデルの思考連鎖のシグナルも取り込み、意図の逸脱を見つける。たとえばプロンプトインジェクションを含む外部文書を読んだエージェントが、タスクと無関係な行動を始めるような場合だ。対応は段階的で、読み取りは残して書き込みだけを止める、到達できるリソースを絞る、影響の大きな手順には証明可能な人間の承認を必須にする、リスクがさらに上がればランタイムを隔離するか実行を止める。Guardian Agentsはこの監視を機械の速度で担い、すべてのエージェントのすべての行動を見張り、リスクが変われば証拠を調べ、制限を提案または実行し、人が後から追える記録を残す。エージェントの大規模な暴走は仮説ではない。AIエージェントが100を超えるウェブサイトに侵入した事例は機械速度の攻撃がすでに現実であることを示し、金融業界はさらに早く動いた。米国の大手銀行はエージェント口座の権限を絞り始め、代理ログインや送金といった高権限の操作から先に閉じている。
企業にとっての実際の意味
二つの公式記事とも新しい価格は示していない。Project PerceptionとMicrosoft Agent 365はシグナルと統一登録簿を共有し、導入の詳細はMicrosoft Igniteで展開される見込みだ。すでにエージェントを本番環境へ入れているチームにとって、機能一覧よりも信号の方が重要だ。調達評価では三つ確認すべき点が増えた。エージェントに独立したIDがあるか、権限をタスクに応じて動的に出し入れできるか、リスク上昇時にモデルの外側の仕組みが間に合うように止められるか。答えられない方案は、内部脅威を招き入れて警備の席を空けておくようなものだ。
