アンソロジック、クラウドエンタープライズ内にインラインデータロス防止機能を実装

アンソロジックは、2026年8月5日、クラウドエンタープライズ向けのベータ機能「推論フック」を発表しました。これは、組織のセキュリティサーバーを介して、従業員のプロンプトをモデルが処理する前に、許可または拒否の判定を実行する機能です。このシステムは、アンソロジックの発表で説明されており、セキュリティチームがすでに電子メールやWebトラフィックに対して実行しているインラインデータロス防止機能を、チャット、クラウドコード、クラウドコワークセッションに拡張します。組織レベルの構成は単一です。

今まで、アンソロジックのネイティブインライン実施は、クラウドコードのクライアントサイドフックにしか存在しませんでした。推論フックは、クライアントからリクエストが出て、推論が実行される前に、アンソロジックのサーバー上にチェックポイントを移動します。したがって、1つの制御で、すべての管理対象サーフェスをカバーし、ユーザーデバイスに何もインストールする必要はありません。

実施パスの仕組み

管理対象サーフェス上のユーザーがプロンプトを送信すると、アンソロジックは会話のトランスクリプトを組織のセキュリティサーバーに署名付き接続で送信し、判定を待ちます。許可の場合、推論が続行されます。拒否の場合、リクエストはモデルに到達せず、ユーザーは、セキュリティサーバーが返した理由に基づいて構成されたポリシーメッセージと、組織の管理者が構成した例外リクエスト先の通知を表示します。拒否はすべて、組織のアクティビティフィードに記録されます。

ツールコールに対する同じ検査が実行されます。クラウドがツールを呼び出すとき、ツールのレスポンスはモデルに返される前にチェックされます。これにより、従業員が貼り付けるものだけでなく、接続されたシステムから会話のコンテキストにデータを持ち込むツールレスポンスに対するもう一方のデータ移動の問題が解決されます。ツールレスポンスは、最近のエージェントサンドボックスエスケープに関する研究によって強調されているように、攻撃対象となる表面となっています。

判定は小さなJSONオブジェクトであり、サーバーは、製品ドキュメントに従い、デフォルトで5秒の構成可能なタイムアウト内に回答する必要があります。リクエストは、組織が署名シークレットを生成した後、標準的なWebフック仕様に従って署名され、セキュリティサーバーがトラフィックが実際にアンソロジックから来たことを確認できるようになります。

セキュリティサーバーは、トランスクリプトテキスト、ツールコールとその結果、そして添付ファイルから抽出されたテキストを表示します。生のファイルまたは画像バイト、システムプロンプト、またはツール定義は受信しません。会話タイトルの生成などの付随的なリクエストはエンドポイントをスキップし、音声モードはカバーされません。

既存のDLPスタックの前に配置するように構築

アンソロジックは、スキャニングエンジンを販売していません。プロトコルは、公開されたスキーマを持つWebhookベースであり、発表では、Netskope、Palo Alto Networks (PANW )、Proofpoint、Zscalerが、組織がフックを指向できる宛先として名前が挙げられています。セキュリティベンダーは、文書化されたスキーマに対して統合を構築し、相互の顧客が判定をプラットフォームにルーティングできます。アーキテクチャは、通常のDLPデプロイを逆にします。ベンダーのアプライアンスがネットワーク上のAIトラフィックを追跡するのではなく、AIプロバイダーが毎回のリクエストでベンダーの判定APIを呼び出します。Check Pointは、数日前に、AIプロンプトの検査をファイアウォールに移動しました。したがって、ネットワークレイヤーがモデルにバウンドするトラフィックを傍受します。

ロールアウトコントロールは、DLPプログラムが最初の日に従業員をブロックすることで死ぬことを認めています。シャドウモードは、ブロックせずにライブトラフィックの判定を観察します。ロールアウトパーセンテージは、選択されたリクエストのフラクションを検査し、除外は、選択されたロールのメンバーを完全に除外します。セキュリティサーバーが到達不能、エラー、またはタイムアウトを超えた場合、組織は、リクエストをブロックするか、チェックせずに許可するという失敗ポストを選択します。

ドキュメントでは、DLPが最も一般的なデプロイであると説明していますが、3つの他のものについても説明しています。リアルタイムトランスクリプトアーカイブは、アンソロジックのコンプライアンスAPIをポーリングする代わりのプッシュベースのソリューションです。プロンプトテレメトリは、使用時にキャプチャされ、カスタムポリシーエンジンは、モデルアクセス前に推論の前にモデル許可リストやプロジェクトスコープの制限などのルールを適用します。

ベータがカバーしないこと

ドキュメントで述べられている制限が、現在の範囲を定義します。判定は二元的です。サーバーはプロンプトを許可または拒否できますが、書き換えたり編集したりすることはできません。添付ファイルはメタデータと抽出されたテキストとして到着し、画像のみのコンテンツ、たとえばドキュメントのスクリーンショットは、チェックされません。起動時のイベントは、推論前にプロンプトで発生し、レスポンスサイドの実施、つまりモデルが返すもののチェックは、後のイベントとして計画されています。また、この機能は、クラウドエンタープライズのサーフェスのみを管理します。クラウドプラットフォームを介したAPIアクセスは範囲外であり、Amazon BedrockまたはGoogle Cloudでクラウドを実行する組織は何も受け取りません。

これにより、検査ポイントのコンテストには2つのライブモデルが残ります。ネットワークレイヤーのコントロールは、ワイヤ越しのすべてを確認しますが、暗号化された分散AIトラフィックに苦労します。プロバイダ側のフックのように、このようなフックは、モデルが見るのと同じものを、ベンダーの境界内で正確に確認します。ドキュメントでは、フックをクラウドエンタープライズのサーフェスに制限し、ベッドロックとGoogle Cloudを除外しています。一方、Check Pointのファイアウォールアプローチは、ネットワークレイヤーでトラフィックを検査します。

推論フックは、クラウドエンタープライズ組織向けにベータで提供され、構成は組織の管理ロールによって制御されます。プロンプトイベントは、Web、デスクトップ、CLI、クラウドAIセッション全体でライブです。アンソロジックのドキュメントでは、レスポンスサイドの実施が次のチェックポイントとして到着することを示しています。