長年にわたり、エンタープライズ セキュリティは「自社環境の周囲に十分に高い壁を築けば、その内側にあるものは信頼できる」という前提に支えられてきました。ファイアウォール、VPN、ネットワーク セグメンテーションによって境界を定義し、その境界を通過したものは正当なものと見なす考え方です。このモデルは、AI エージェントが登場する以前からすでに揺らぎ始めていました。データベースを読み取り、メールを送信し、複数ステップのワークフローを通じて多数のエージェントと連携する、自律的でツールを利用し、実際にアクションを実行するエージェントの時代において、境界ベースのセキュリティは不十分であるだけでなく、危険なほど時代遅れになりつつあります。
Anthropic は、2026 年 5 月に公開した Zero Trust for AI Agents eBook で、「境界ベースのサイバーセキュリティ防御では現代の脅威に追いつけず、脅威そのものも加速しています。エージェントが稼働するインフラストラクチャは露出しています。」と明確に述べています。36 ページにわたる実装ガイダンスを含むこの文書は、AI エージェントを取り巻くセキュリティに根本的なアーキテクチャ上の課題があることを、業界が認識し始めた重要なシグナルです (本文書に関する詳細は、Practical AI ポッドキャストのエピソード 360 をご参照ください)。Prediction Guard は、この課題に対応するためのアーキテクチャを以前から構築してきました。この記事では、エージェント時代に向けた AI ガバナンス フレームワークにおいて、境界そのものではなく、自社のセキュリティ境界内に配置できるセルフホスト型コントロール プレーンが、なぜ適切なセキュリティ基盤になるのかを説明します。また、実運用環境でエージェントの動作を監視・制御するうえで、ゼロ トラストの原則がなぜ不可欠なのかを整理します。
境界ベースの考え方は、AI エージェントには適していない
従来の境界ベースのセキュリティは、安定して把握しやすい境界が存在することを前提としていました。信頼できる内部と、信頼できない外部があり、セキュリティ ツールの役割はその線引きを維持することでした。このモデルは、ユーザーが境界で一度認証され、その後は人間のユーザーに代わってソフトウェアが事前に定義されたロジックを実行していた時代には、ある程度うまく機能していました。
AI エージェントは、このモデルの前提をすべて同時に崩します。
エージェント、たとえば Claude Code、Hermes Agent、OpenClaw、LangChain のカスタム アプリケーションなどは、人間のユーザーではありません (エージェントのより詳細な定義については、昨年のミッドウェスト AI サミットでの当社創業者による講演をご覧ください)。一度認証された後に、限定された範囲だけで行動する存在でもありません。目標を解釈し、ツールを動的に選択し、システム間で API 呼び出しを連鎖させ、永続的なメモリを使ってセッションの境界を越えて動作します。プロンプト インジェクション、メモリ ポイズニング、侵害された MCP サーバーによって操作されたエージェントは、境界を回避して侵入した外部者ではなく、正当に付与された権限の範囲内で行動する内部者です。AI ファイアウォールや外部 AI ゲートウェイだけでは、この脅威に十分対応できません。
攻撃対象領域の性質も異なります。Anthropic の eBook では、従来のセキュリティ モデルでは明確に対応しきれない、エージェント型システムに固有の 5 つの脅威クラスを整理しています。プロンプト インジェクションと指示の操作、ツールとリソースの悪用、アイデンティティと権限の悪用、サプライチェーンおよび依存関係のリスク、メモリとコンテキストのポイズニングです。これらはいずれも、システムが付与するよう設計された資格情報とアクセス権を使い、境界の内側だけで成立し得ます。
境界を最優先するアプローチは、Anthropic のフレームワークがあらゆるコントロールに対して適用している重要な設計テストにも合格できません。その問いとは、「この対策は攻撃を不可能にするのか、それとも単に面倒にするだけなのか」というものです。エージェント型の攻撃者、特に AI によって高速化された攻撃者は、1 回あたりほぼゼロに近いコストで機械的に試行を繰り返せるため、「不便さ」によって抑止されることはありません。抑止力になるのは、アーキテクチャ上そもそも悪用できない状態です。VPN を経由させることは、攻撃者にとって単に面倒なだけです。一方で、特定のタスクのコンテキスト内でしか存在せず、暗号学的にスコープが限定された短命トークンは、事後的に悪用することが極めて困難になります。
エージェントにとってゼロ トラストが意味すること
ゼロ トラストは製品ではありません。セキュリティ アーキテクチャの原則です。その思想的な起源は、Stephen Paul Marsh が 1994 年の博士論文で提示した信頼モデルまでさかのぼることができます。また、実装レベルでは NIST SP 800-207 や、2026 年に公開された NSA の Zero Trust Implementation Guides によって具体的な指針が示されています。原則は非常にシンプルです。「何も信頼せず、すべてを検証し、侵害はすでに発生しているものとして設計する」という考え方です。
この前提から、3 つの実践的な方針が導かれます。1 つ目は、社内ネットワーク内からの要求であっても、自社でデプロイしたエージェントからの要求であっても、すべてのアクセスを認証・認可することです。2 つ目は、侵入を完全に防ぐことだけに頼らず、万が一侵害が発生しても影響範囲を最小限に抑えられるように設計することです。3 つ目は、タスクに必要な最小限の権限だけを付与し、エージェント、ユーザー、API キーがアクセスできる範囲を明確に制限することです。
エージェント型デプロイメントでは、これらの原則が具体的なコントロールとして現れます。Anthropic のフレームワークでは、最小権限をエージェント領域に拡張した概念として、OWASP が提唱した「least agency」という用語を導入しています。least agency は、エージェントがアクセスできる対象だけでなく、各エージェント ツールが何を、どの頻度で、どこで実行できるかも制限します。データベース ツールは読み取り専用クエリに限定され、メール要約ツールには送信権限や削除権限を与えず、API には最小限の CRUD 操作だけを許可します。個々のエージェントの影響範囲は、最初のリクエストが行われる前から小さくなるよう設計されます。
また、エージェントごとの識別と認証も不可欠です。どのエージェントが、どの権限で、どのツールやデータにアクセスしたのかを確認できなければ、アクセス制御を適用することも、監査ログを正しく追跡することもできません。短命トークン、ハードウェアに紐付いた資格情報、暗号学的に検証可能なエージェント識別情報は、追加機能ではなく、AI システム全体のガバナンスを支える基盤です。
可観測性も、システムを支える重要な要素です。境界モデルでは、セキュリティ監視は侵入を試みる外部者を検出します。ゼロ トラストのエージェント型モデルでは、監視の対象は、本来の目的や役割から逸脱した振る舞いを示すエージェントです。その中には、単一イベントの検出では捉えられない、メモリ ポイズニングによる段階的な振る舞いの変化も含まれます。ログ記録対象となるイベントの分類と優先順位付けを軸として構成された行動ベースライン、異常スコアリング、継続的な監査ログは、その監視のための手段です。これらには、すべてのエージェント アクションを、信頼された内部プロセスとして善良であると想定するのではなく、記録し評価すべきイベントとして扱うインフラストラクチャが必要です。
コントロール プレーンが新しい境界になる理由
Cloud Security Alliance は、2026 年 3 月の分析記事で、エージェント型コントロール プレーンを次のように定義しています。
エージェント型コントロール プレーンの本質は、自律型エージェントがデジタル環境の中でどのように存在し、どのように動作するかを統制することにある。それは、アイデンティティ、認可、オーケストレーション、実行時の振る舞い、そして最終的には信頼そのものを包含する。
この定義は、ネットワーク境界ではなくコントロール プレーンこそが、エージェント型 AI を保護するための適切な抽象化レイヤーである理由を示しています。つまり、管理すべき対象は通信経路そのものではなく、エージェントの識別、権限、振る舞い、およびその信頼性なのです。
境界ベースのモデルが問うていたのは、「誰を中に入れてよいか」でした。コントロール プレーンのモデルが問うのは、「すべてのエージェントによる、すべてのリソースに対する、すべての瞬間の各アクションについて、それは許可されているのか、定義されたスコープ内に収まっているのか、そして記録されているのか」ということです。この問いは、データがセキュリティ境界を離れる前に、すべてのリクエストについてコントロール プレーン層で答えられます。
これこそが、Prediction Guard が実現するために設計されているアーキテクチャです。Prediction Guard のセルフホスト型 AI コントロール プレーンは、ガバナンスを AI デプロイメントの端に後付けすることはできない、という前提に基づいています。ガバナンスは、エージェントが実際に動作するインフラストラクチャそのものに組み込まれていなければなりません。これは Prediction Guard が別記事「適切な制御レイヤーの構築：エージェント型 AI が機能不全に陥る理由」で繰り返し主張している考え方とも一致しています。すべてのエージェント アクション、すべてのツール呼び出し、すべての MCP 接続は、同じガバナンス ハーネスを通過します。データがインフラストラクチャの外へ出る前に、NIST、OWASP、組織独自のルールに基づくポリシーが適用されます。モデル実行前の PII 検出と匿名化、プロンプト インジェクションのスコアリングとブロック、モデル実行後の出力検証、MCP ツール呼び出しの制限、グラウンディング検証、人によるツール呼び出し承認へのエスカレーション、関連するガバナンス モジュールなどが含まれます。これらのコントロールは、監査ログ上の記録にとどまるものではなく、処理のクリティカル パス上で適用されます。
従来のアプローチでは、断片化されたポイント ソリューションをつなぎ合わせていました。ある場所にはコンテンツ フィルター、別の場所にはログ連携、さらに別の場所にはアクセス管理レイヤーがある、といった状態です。これに対して、Prediction Guard のコントロール プレーンは、それらを単一で一貫性のある適用面に統合します。すべてのモデル、エージェント ハーネス接続、ツール、API 接続は、初日から同じガバナンス フレームワークの下で動作し、標準に準拠したガバナンスの外側で AI インタラクションが発生することはありません。実務上のメリットは明確です。断片化された AI セキュリティ アーキテクチャと比べて、総所有コストを 4 分の 1 以下に抑えながら、リクエストあたり 200 ミリ秒未満のガバナンス オーバーヘッドで、自社のセキュリティ境界内に適用できます。
適用ロジックと同じくらい、デプロイメント モデルも重要です。Prediction Guard は、オンプレミス、エアギャップ環境、GovCloud、またはお客様自身のクラウド VPC 内で稼働します。これは単なるデプロイ オプションではなく、意図的なアーキテクチャ上の選択です。データ主権は、AI ガバナンス レイヤーがエージェントから呼び出されるサードパーティ SaaS エンドポイントであるようなモデルとは両立しません。エージェントのためのゼロ トラストでは、ガバナンスは他社の API ではなく、自社の信頼境界の内側で実行される必要があります。
AI によって脅威のスピードが変わる
Anthropic の eBook は、すべてのエンタープライズ セキュリティ リーダーが注目すべき指摘をしています。最先端の AI モデルは、脆弱性の発見から悪用までの時間を、数か月から数時間へと圧縮しており、その限界コストは数ドル単位で測られるほど低くなっています。これは将来の懸念ではありません。今まさに運用上の現実として起きていることです。
境界ベースの防御にとって、この変化は深刻です。従来の境界セキュリティは、既知の脅威に応じてルールを更新し、既知の脆弱性にパッチを適用するという、ある程度リアクティブな運用を前提としていました。脆弱性の発見から悪用までに数か月の猶予があった時代には、この運用でも一定の効果がありました。しかし、その期間が数時間に短縮されると、数日単位の対応プロセスでは間に合いません。Anthropic のフレームワークでは、AI を活用した攻撃者が多数の標的に対して同時かつ継続的に攻撃を試みる可能性が指摘されています。試行コストが低い以上、攻撃者にとって「少し面倒になる」程度の対策では十分な抑止力になりません。
Forrester による 2025 年 12 月のエージェント コントロール プレーン分析でも、エンタープライズ ガバナンスの観点から同じ構造的な問題が指摘されています。このアーキテクチャは、大規模に円滑に機能させるために必要な標準よりも速く登場しており、プラットフォーム固有またはベンダー固有のガバナンス実装に依存する企業は、新しいエージェント デプロイメントのたびに統合ロジックを手作業で構築することになります。モデルやエージェントを構築するレイヤーにも、オーケストレーションを担うレイヤーにも依存しない独立したガバナンス レイヤーが必要になります。すなわち、移植性が高く、標準に沿っており、異種混在のエージェント環境全体で動作できるレイヤーです。
KPMG による 2026 年の調査も、その重要性を裏付けています。大企業のセキュリティ リーダーの 75% が、エージェント デプロイメントにおける最も重要な要件として、セキュリティ、コンプライアンス、監査可能性を挙げており、パイロットから本番環境へ移行するうえでの主なボトルネックとして、マルチエージェント オーケストレーションの複雑さが示されています。ガバナンスのギャップは、理論上の将来の課題ではありません。多くの組織が本番システムではなく、いまだにエージェントのパイロット運用にとどまっている理由そのものです。
原則から実践へ：実際には何を意味するのか
Anthropic のフレームワークでは、エージェント型 AI のデプロイメントに必要なゼロ トラストのコントロールを、Foundation、Enterprise、Advanced の 3 つの階層と、7 つの管理領域に分類しています。管理領域には、エージェントの識別と認証、アクセス制御と権限管理、オブザーバビリティと監査、行動監視と対応、入力検査と出力検査、ネットワーク セキュリティ、サプライチェーンの完全性が含まれます。
Foundation 階層は出発点です。暗号学的なエージェントの識別、短命の資格情報、ツールごとの least-agency スコープ設定、監査ログ、基本的なプロンプト インジェクション検出が含まれます。これは、本格的なデプロイメントにおいて任意で選択できるものではありません。ゼロ トラスト アーキテクチャが求める最小要件であり、Prediction Guard がすべてのデプロイメントで、すべてのエージェントに対して、設定に手を加える前から既定で適用するものです。
Enterprise 階層では、さらに深い保護が追加されます。行動ベースラインと異常検出、マルチエージェント ワークフロー全体にわたるきめ細かなポリシー適用、SIEM 連携、自動インシデント対応、MCP サーバーとモデル依存関係に対するサプライチェーン検証などです。これは、多くの規制対象組織、たとえば医療、金融、防衛、政府などが運用する必要のある階層であり、主権を保持したコントロール プレーンと継続的な行動監視の組み合わせが、運用上不可欠になる領域です。
Advanced 階層は、侵害が重大な運用上または財務上の影響をもたらす環境向けです。鍵管理のためのハードウェア セキュリティ モジュール、完全にサンドボックス化された実行環境、暗号学的に検証された監査証跡、自律的な脅威の速度に合わせて稼働するセキュリティ運用などが含まれます。Prediction Guard のアーキテクチャは、エアギャップ デプロイメント オプション、改ざん耐性のある監査ログ、そしてエージェントの行動異常を、通常のセキュリティ イベントと同等の重要度を持つ「第一級のセキュリティ イベント」として扱える SIEM 連携によって、この階層をサポートします。
実践に移す際の出発点は、既存または計画中のすべてのセキュリティ対策について、「攻撃を根本的に防げる設計になっているか、それとも攻撃者にとって少し手間が増えるだけなのか」を確認することです。もし後者であれば、その対策は AI によって高速化された攻撃に十分対応できない可能性があります。短命トークン、検証可能なエージェント識別、不要な通信経路を残さないネットワーク設計、そして処理の途中で必ず適用されるガバナンス。こうした要素こそが、エージェント型 AI に適したコントロール プレーン アーキテクチャの土台になります。
今求められているアーキテクチャ
Gartner は、2025 年時点では 5% 未満だったエンタープライズにおけるエージェント型 AI の導入が、2029 年までに 70% に達し、IT インフラストラクチャ運用の一部として利用されるようになると予測しています。EU AI 法における高リスク AI システム向けの規定は、2026 年 8 月に適用開始となります。米国政府は、すべての連邦政府機関に対して 2027 年までにゼロ トラストを採用することを義務付けています。規制面と運用面の圧力は、1 つの結論へと収束しています。境界セキュリティとポイント ソリューションを基盤にして、エンタープライズ規模でエージェントをデプロイすることはできません。
Anthropic の Zero Trust for AI Agents eBook は、この分野における重要な貢献です。なぜなら、問題を明確に名指しし、それに対処するためのベンダー非依存のフレームワークを提示しているからです。「この変化に最も適した位置にいる組織は、必ずしも最先端の AI を持つ組織ではありません。むしろ、AI 支援によるスキャンでそもそも発見されるバグが少なくなるほど基本が強固であり、エージェント デプロイメントが初日から侵害を前提に設計されている組織です。」
今求められているのは、AI システムを最初から統制可能な形で設計することです。すべてのアクセスを確認し、万が一の侵害を前提に影響範囲を限定し、データがセキュリティ境界を越える前に、すべての AI 対話やエージェントの動作にガバナンス ポリシーを適用する必要があります。
それこそがコントロール プレーンの役割です。そして、Prediction Guard はまさにその目的のために開発されたものです。
ゼロ トラスト時代の AI ガバナンス基盤をお探しですか？
Prediction Guard は、規制要件への対応が求められる企業向けのセルフホスト型 AI コントロール プレーンです。モデル利用、エージェント オーケストレーション、MCP ツール アクセス全体に対して、ガバナンス、監査性、可観測性、ポリシー適用を提供し、お客様自身のインフラストラクチャ内で運用できます。
エクセルソフトでは、日本語での情報提供と導入検討の支援を通じて、日本国内の企業が Prediction Guard を安全かつ実践的に評価できるよう支援します。
この記事は、Prediction Guard 社の Web サイトで公開されている「The Control Plane or the Perimeter: Why Zero Trust Is the Only Foundation for Agentic AI」の日本語参考訳です。原文は更新される可能性があります。原文と翻訳文の内容が異なる場合は原文を優先してください。
