アーロン・フルカーソン（OPAQUE CEO）— インタビューシリーズ

アーロン・フルカーソンは、OPAQUEのCEOです。企業向けソフトウェアの起業家であり、オープンソースの先駆者として、信頼、データ、デジタル変革を軸とする技術基盤の構築と事業拡大に20年以上携わってきました。2023年にOPAQUEに加わる前にはMindTouchを設立し、企業で広く使われる知識共有基盤へと成長させました。同社は後にNICE Systemsに買収されています。その後はServiceNow Impactの立ち上げを率い、ServiceNowの歴史上、最も急成長した事業部門の一つに育てました。新技術、企業向けソフトウェア、開かれた技術の仕組みをつなぐ分野で活動する一方、複数の技術系新興企業や組織に助言してきました。近年は、機密性を保護するAIであるConfidential AIの有力な提唱者となっています。AIが企業の重要な業務に組み込まれるにつれ、プライバシー、ガバナンス、検証可能な信頼が不可欠になると訴えています。

OPAQUEはConfidential AIを手がける企業で、カリフォルニア大学バークレー校の著名なRISELabから生まれました。Apache SparkやDatabricksの誕生にも貢献した研究環境です。同社の基盤では、極めて機密性の高いデータを使ってAIモデル、エージェント、業務処理を動かしながら、プライバシーと規制順守の保証を暗号技術で検証できます。AIの革新とデータの安全性の二者択一を迫るのではなく、機密計算、暗号化された実行環境、ハードウェアによる実行証明を組み合わせ、AI処理の前・最中・後を通じて機密情報を保護します。金融、保険、医療、先端技術など厳しい規制のある業界に向けた技術です。顧客や提携先にはServiceNow (NOW )、Anthropic、Accentureなどがあります。いずれも企業独自の情報や規制対象データをさらすことなく、AI事業を試験運用から本番運用へ移そうとしています。

これまで複数の企業向け基盤を構築し、事業を拡大してきた中で、OPAQUEのCEOに就任し、信頼、プライバシー、AIガバナンスに取り組む道を選んだのはなぜですか。

私は20年近く、企業向け基盤の構築に携わってきました。最初はMindTouchで、今も年間10億人の利用者に使われています。その後ServiceNowに移り、同社で最も急成長した製品を生み出しました。両方の経験で学んだことは同じです。どれほど強力な技術でも、人々に信頼されて初めて成功します。

OPAQUEの共同創業者であるRaluca Ada Popa、Ion Stoica、Rishabh Poddarに会い、才能と構想がこれほどそろうことは珍しいと感じました。Ralucaはプライバシーとセキュリティ分野で世界を代表する研究者の一人です。IonはDatabricksの共同創業者です。RishabhはOPAQUEの基盤となった中核的な暗号システムを構築しました。

彼らがバークレー校のRISELabで生み出したものは、世代を画する成果だとすぐに分かりました。あらゆるAI業務の全過程で、データの機密性が保たれることを暗号技術で証明する仕組みです。約束でも、方針でもありません。証明です。

AIの進む先には、企業のシステムを横断し、機械の速度で自律的に動くエージェントがありました。そこで見えたのは、Vint Cerfが30年間警告してきたのと同じ欠落、つまり信頼を支える層がないことです。従来のインターネットは人間が歯止めとなっていたため、それでも成り立ちました。エージェントが動くウェブには、その余裕はありません。それが私を引きつけました。

MCP（Model Context Protocol）は、AIエージェントがツール、アプリ、データを安全に利用するための標準として、共通の基盤になりつつあります。企業によるエージェント型AIの導入や規模拡大は、どう変わると考えますか。

MCPは、企業によるエージェント型AIの導入と規模拡大にとって重要な一歩です。AIの業務処理に使う共通の接続口と考えてください。エージェントをツール、アプリ、データにつなぐ方法を統一し、実務上の手間を減らして試行を速めます。

ただし、アクセスを標準化するだけでエージェント型AIが安全になり、規模を拡大できるわけではありません。エージェント、ツール、データ源が増えるほど、統合のたびに情報が漏れる経路も広がります。実行時に規則を強制しない接続点は、どれも情報流出の入り口になり得ます。機密システムや独自の処理ロジックをエージェントが扱うとき、保存データの暗号化とネットワーク制御だけでは不十分です。安全性を守る境界は実行時へ移り、環境の拡大とともにその対応がますます急務になります。

こうした重要な接続点で検証できることが、企業にとって不可欠になります。MCP型のアクセスに、どのコードが、どこで、どの規則の下で動いたかを暗号技術で証明する仕組みを組み合わせてこそ、エージェント型AIを拡大できます。実行前・実行中・実行後のすべてが対象です。アクセスと検証可能性の組み合わせが、本番運用を可能にします。

MCPがエージェントのアクセスを標準化する中で、セキュリティ、規則の適用、エージェント型システムへの信頼には、現在どのような大きな課題がありますか。

2026年のAI Leak Surface調査を完了し、結果の要約「AIシステムからデータが漏れる12の経路」を公表しました。この問題も扱っています。計算、制御、アプリ、それらの間の受け渡しというAIの信頼境界全体で、8分類にわたる46の情報流出経路を特定しました。悪意ある行為者は考慮するまでもありません。何も壊れておらず、ログにも問題が見えないのに、データが漏れている状況です。

最大の問題は接続性ではありません。そこはMCPが解決しています。問題は接続後に何が起きるかです。多くの組織は三つの基本的な問いに答えられません。AIは実際にどう振る舞っているか。誰が制御しているか。そして規則が適用されたことを、どう証明するかです。

調査では、境界は設定されても実際には守られていないことが分かりました。規則は文書、設定ファイル、導入時の設定にはありますが、動作中のシステムを制約していません。経営幹部向けのAIアシスタントが重要な未公開情報を予定の招待に載せる。RAGアシスタントが取締役会向けの財務情報を若手アナリストに渡す。ベンダーのSDKが12か月で1,000万件のクエリをひそかに外部へ送る。いずれもアクセス制御は存在していました。それでもデータは漏れたのです。

設定した規則と実際に守らせる規則との隔たりを企業が埋めるまでは、MCPは玄関の形をそろえているだけです。家は依然として無防備です。

AIエージェントが機密システムや企業独自のデータにアクセスすると、企業が備えていないどのようなプライバシー・規制順守リスクが生じますか。

多くの企業は、保存中や転送中のデータを前提にプライバシーを考えています。しかしエージェント型業務では、この考え方だけでは通用しません。最大のリスクは、使用中のデータがさらされることだからです。

例えば、高性能車のメーカーが組立ライン全体でAIを使っているとします。センサー値、処理のタイミング、品質検査という生データは、一見無害です。しかし今では、大規模言語モデルがこうした副次的なデータから、企業独自の製造工程を再構成できます。5年前には雑音にすぎなかったものが、今では競合他社の設計図になるのです。

AI Leak Surface調査では、このパターンを数十の事例で記録しました。運用状況を収集するツールは、初期設定のままではAIが扱うデータ全体を取り込みます。ある欧州の銀行では、誰もAPMの初期設定を変えなかったため、個人を特定できる情報（PII）を含む210万件のプロンプトが米国のSaaS環境に流れていました。エージェントの記憶からはセッションをまたいで文脈が漏れます。思考過程の記録は、委託先も利用できる監視基盤に調査記録を丸ごとさらします。従来の規制順守の枠組みは、このような漏えいを検出するためには作られていません。人間が人間の速度でデータを動かすと想定していたからです。

なぜConfidential AIはMCPを補完する不可欠な仕組みになりつつあるのでしょうか。アクセス標準だけでは解決できない課題に、どう対処しますか。

MCPは誰が何にどのようにアクセスできるかを解決し、Confidential AIはアクセスが認められた後に何が起きるかを解決します。相互に補完する層です。

アクセス標準だけでは、実行中の侵害、運用中の規則のずれ、データの不正使用を防げません。MCPはエージェントをシステムにつなぐ共通の方法を提供します。Confidential AIは、つながったエージェントが許可されたことしかできないと暗号技術で保証し、それを証明できるようにします。

Confidential AIは、データ、識別情報、コード、通信のすべてについて、実行時にこうした保証を提供します。実行内容を検証可能な形で証明し、プライバシー保護と規則の適用がアクセスの境界で途切れず、AIが推論・生成・行動している間も続くようにします。それがなくてもMCPは堅固な土台ですが、土台だけで建物は安全になりません。

重要な業務を自律型AIエージェントに任せる企業にとって、検証可能な信頼とは具体的にどのようなものですか。

どのコードが、どこで、どの規則の下で実行され、どのデータにアクセスし、システムが時間とともにどう振る舞ったかを証明できることです。

AIエージェントで損害賠償請求の書面を処理する保険会社を考えてください。実行前にはハードウェアによる証明でエージェントの身元と実行環境の完全性を確認します。実行中には、ハードウェアに支えられた信頼できる実行環境（Trusted Execution Environment、TEE）の中で、規則を暗号技術によって結び付け、データの保護と規則の適用を保証します。実行後は改ざんから守られた監査証跡に、何が起きたかを正確に記録します。

エージェント型業務のリスクは、エージェントの暴走ではありません。本当のリスクは、エージェントの稼働に際して規則が適用され、機密データが守られたかを示せないことです。実行前・実行中・実行後のすべてが対象です。これが検証可能な信頼です。

エージェント型システムが機械の速度で動くと、なぜ従来の人間による監督は成り立たなくなるのでしょうか。組織はガバナンスをどう見直すべきですか。

何十年もの間、インターネットには目に見えない歯止めがありました。私たち人間です。人間は内容を読み、意図を持ってクリックし、百ものシステムで同時にひそかに動くことはありません。

エージェント型AIは、その前提を一夜にして崩します。エージェントは常時動作し、機械の速度で判断します。また、人間向けに作られていても機械が悪用できる環境では、操作される恐れがあります。悪意あるウェブページは、人間をだますのと同じ方法でAIをだます必要はありません。ただ指示を与えるだけでよいのです。

一つのエージェントのリスクがわずか1％でも、100体のネットワークでは侵害が起きる確率は63％です。1,000体に増やせば99.99％になります。人間の確認を挟むガバナンスでは追いつきません。監督は事後の確認から実行時の保証へ移る必要があります。つまりゼロトラストの業務処理、初期状態での規則の適用、そして人間が後から失敗を見つけることに依存しない、検証可能な実行です。

信頼を支える仕組みを組み込まずにエージェント型AIを試す企業では、どのようなセキュリティ上の問題がよく起きますか。

最もよく見るのは、振る舞いに関する暗号技術の保証なしに、企業がエージェントを動かし、協調させていることです。機密性の高い知的財産を、希望的観測だけで処理しています。

その先は予測可能で、具体的なパターンはAI Leak Surface調査で記録しています。実行中の侵害は従来の境界防御をすり抜けます。エージェントがすでにネットワーク内部にいるからです。自律型エージェントの連鎖は障害を連鎖させ、一体が悪用されると接続先全体にドミノ効果が起きます。誰も監視しようと思わなかった副次データから、独自の処理ロジックが漏れます。実行時に身元を検証し、規則を結び付ける仕組みがないため、エージェントは企業の意図と悪意ある入力を区別できなくなります。

仮定の話ではありません。何も壊れていないように見えても、データが想定した管理の外へ流れ出る46の経路を特定しました。AIエージェントは機械の速度でデータを生成し共有します。業務処理に検証可能な実行時の保護を組み込まなければ、セキュリティ担当者が検出したり対応したりするより速く障害が広がります。

先進的なAIの能力を活用しながら、最も機密性の高いデータを守るため、先行する組織はどのように両立を図っていますか。

うまく進めている組織は、プライバシーとガバナンスを減速要因ではなく、前進を促すものと見ています。これが重要な点です。

現場では、先行する企業が高度なAI機能とConfidential AIの基盤を組み合わせています。単なる規制順守のチェックリストではなく、検証可能な保証を提供する基盤です。機密データをAIの革新に活用しながら、業務処理が自律的に動いても企業独自の情報を守っています。

以前は能力と安全性のどちらを選ぶかという構図でした。最も速く進む組織は、この二者択一を全面的に退けています。AI戦略の土台に検証可能な信頼を組み込み、最も価値のあるデータを活用しています。その一方で競合は試験運用から抜け出せず、重要な成果につながらない、機密情報を取り除いたデータでAIを動かし続けています。

エージェント型システムが試験運用から本番運用へ移る中で、企業のAIガバナンスは今後数年間にどう進化すると見ていますか。

ガバナンスは書類から証明へ進みます。最も簡単に言えばそういうことです。初期のモデルは人間の速度で動くソフトウェア向けでした。規則を紙に書き、導入前に承認し、問題が起きた後に確認する仕組みです。エージェント型システムはその前提をすべて崩します。常時動作し、自律的に行動し、機械の速度で影響を連鎖させます。

ガバナンスは、実行時の検証可能性を新しい安全性の境界とする方向へ進んでいます。それを支えるのは、エージェントの全ライフサイクル、実行前・実行中・実行後の各段階の振る舞いを暗号技術で証明する保証です。HTTPSで見られたのと同じ流れが、ウェブ通信の標準になりつつあります。ウェブ接続を暗号化すべきかどうかを、今では誰も議論しません。数年後には、AIの実行を実行時に検証すべきかどうかも、議論の対象ではなくなるでしょう。基本要件になるのです。

貴重なお話をありがとうございました。詳しく知りたい方はOPAQUEをご覧ください。