Microsoft、AIの内部脅威リスクに対応するGuardian AgentsをProject Perceptionに追加

Microsoftは2026年10月19日、Project PerceptionとMicrosoft 365 E7に新たなセキュリティ機能を導入すると発表した。企業のAIエージェントを潜在的な内部脅威として扱い、エージェントの動作を継続的に監視するGuardian Agentsと、リスクの変化に応じて各エージェントに許可する操作を調整するポリシー制御を導入する。

Microsoftでアイデンティティおよびネットワークアクセス担当のコーポレートバイスプレジデントを務めるNadim Abdoは、AIエージェントが日常業務のより多くを担うようになっており、有用性を発揮するには、企業データ、アプリケーション、ツール、ほかのエージェントへのアクセスが必要になることが多いと記した。エージェントを有用にする同じアクセスが、内部脅威のリスクも生み出すと同氏は述べた。エージェントは操作されたり、誤りを犯したり、侵害されたりする可能性があり、機械速度で継続的に動作することもある。

Abdoによると、MicrosoftはProject Perceptionを拡張し、企業外部からのAI駆動型攻撃に対抗するため、赤・青・緑のエージェントチームとともに2026年7月に導入したこの仕組みを、企業内部で稼働するエージェントの保護にも活用する。Project PerceptionとMicrosoft Agent 365はシグナル、コンテキスト、統合レジストリを共有し、ITチームとセキュリティチームがエージェントとそのリスクについて同じ全体像を把握できるようにする。Microsoftは、このシステムが継続的に担う役割を4つ挙げている。すなわち、どのエージェントが存在するかを把握すること、動作を開始する前に各エージェントがアクセスできるものと実行できることを制限すること、エージェントの行動経路にあるデータ、ツール、システムを保護すること、そして行動、コンテキスト、リスクの変化に応じて保護を適応させることだ。

Microsoftの公式ブログ「The Official Microsoft Blog」に寄稿したHayete Gallotは、同社でアイデンティティ、脅威対策、コンプライアンス、データセキュリティを担当する立場から、企業はエージェントを社内に導入したことで暗黙のうちに信頼を寄せている一方、エージェントには過剰な権限が与えられていることが多く、データ、ツール、システムへのアクセス権を持っていると記した。Gallotはエージェントを「エージェント型の内部脅威」と表現し、その行動を抑制するには、常時、かつ実行前に各エージェントの行動を監視・調整するGuardian Agentsが必要になると述べた。また、Project Perceptionを支える同じサイバーセキュリティ基盤を企業内部に向け、社内で稼働するエージェントの管理と統制にも活用できると記した。予測どおりに動作しないモデルの知能を、ルールベースの制御で取り囲むことが可能になるという。

エージェントの検出、アイデンティティ、封じ込め

Microsoftはエージェントの検出対象を拡大し、ローカルエージェントを新たに35種類追加した。これにより、サポート対象となるローカルエージェントは合計60種類となり、Claude Code、OpenAI Codex、GitHub Copilotなどが含まれる。組織は、検出方法を問わず、これらのエージェントを統合レジストリに登録し、所有者、活動状況、リスクを把握できる。

MicrosoftはMicrosoft Entra Agent IDも拡張し、ローカルエージェントや、セキュリティセンサーによって検出された未知のエージェントなど、さらに多様なエージェントの形態に対応するアイデンティティ種別を追加する。これにより、当初Microsoft Securityと統合されていなかったエージェントも、ポリシーの適用対象にできる。Abdoによると、正式なエージェントIDを基盤とすることで、帰属、認可、ライフサイクル、所有者、権限、ポリシー、リスクを明確にできる。その結果、企業は人が行った操作と、その人に代わってエージェントが行った操作を区別できる。

Microsoftによると、Microsoft Execution Container（MXC）などのサンドボックスを使えば、エージェントにタスクの遂行に必要なリソースへのアクセスをポリシーで制御しながら許可できる。また、制御機能がエージェントの手の届かないところで動作する強制適用境界を設けられるため、侵害されたエージェントや実行基盤が、自らを監視する制御機能を無効化することはできない。Abdoはさらに、エージェントが見つけたツール、API、Model Context Protocolサーバー、リソース、ほかのエージェントを自由に呼び出せる状態にすべきではないと記した。ローカル、ネットワーク、データの各制御によってこうした経路を仲介し、呼び出しを監視するとともに、企業のポリシーを適用する必要がある。

新たな動的権限では、エージェントに最初は権限を一切与えず、タスクの範囲に限定した有効期限付きの権限のみを付与する。組織全体に適用されるポリシーが外側の境界を定め、エージェントが利用者自身の持たない権限を得ることも防ぐ。影響の大きい操作には、本人確認済みの人間による承認を必須にすることもできる。

動的リスク評価とGuardian Agents

Dynamic Agent Riskは、エージェント自身の活動に関するシグナルに加え、アイデンティティ、データ、エンドポイント、クラウド、ネットワーク、実行環境に関するシグナルを組み合わせる。その際、エージェントの設定、アクセス可能なリソース、障害が発生した場合に想定される被害、そしてエージェントの行動と利用者または組織の意図との乖離を評価する。Microsoftは、その結果を、エージェントの現在のリスクを継続的に更新して把握する仕組みと説明している。エージェントが持つ権限が、そのリスクに今も見合っているかどうかを明らかにする。

Dynamic Conditional Accessは、エージェント向けにMicrosoft Entra Conditional Accessを拡張し、リスクの変化に応じて複数の強制適用ポイントで連携した対応を可能にする。対応は段階的に行われる。ポリシーによって、エージェントの読み取りアクセスを維持しながら書き込みをブロックしたり、アクセス可能なデータやリソースを絞り込んだり、ネットワーク経路を制限したり、有効期限付きアクセスの期間を短縮またはアクセスを取り消したり、権限を縮小したり、重大な操作に進む前に証明可能な人間の承認を求めたりできる。最高レベルのリスクでは、システムがエージェントの実行環境を隔離したり、実行を完全に停止したりすることも可能だ。Abdoは、経費承認エージェントが外部文書内のプロンプトインジェクションに遭遇する例を挙げた。新たな証拠によってDynamic Agent Riskが上昇すると、ポリシーは読み取りアクセスを維持する一方、承認や書き込みの権限を取り上げ、影響の大きい操作には暗号学的に検証可能な人間の承認を必須にする。

MicrosoftはProject Perceptionにおいて、PlaybooksとGuardian Agentsのチームも導入します。人々がポリシー、承認の境界、委任ルールを定め、Playbooksが目指すセキュリティ成果を定義して保護措置を調整し、Guardian Agentsが機械の速度で作業を実行します。顧客向けセキュリティ担当のコーポレートバイスプレジデント兼副最高情報セキュリティ責任者であるTerrell Cox氏は、MicrosoftはCustomer Zeroとして、すでに数十万のエージェントが稼働する世界にあり、そこで得た教訓が現在提供中の機能に直接反映されていると述べました。

Microsoftは、Dynamic Agent Riskに思考連鎖などのモデルレベルのシグナルを取り入れ、意図の逸脱を特定し、信頼できない情報がエージェントの推論に影響している状況を把握し、計画された行動が割り当てられたタスクから逸脱していることを検知するとともに、モデルとは独立して適用措置を実施すると述べました。「最も信頼できるエージェント型システムとは、最も信頼しているモデルを搭載したものではない」と、会長兼最高経営責任者（CEO）のSatya Nadella氏は、Microsoftのセキュリティブログでの発表で引用された発言の中で記しました。「そうではなく、モデルを最も信頼せずに済むよう設計されたシステムこそが、最も信頼できるものとなるでしょう。」

Microsoft 365 E7とAgent 365の概要

Microsoftのセキュリティブログは、10月19日の発表を、Microsoft 365 E7とProject Perceptionの新機能として紹介しています。Microsoftは2026年3月のセキュリティブログ記事で、このバンドルの詳細を説明しました。Microsoft 365 E7: The Frontier Suiteは2026年5月1日に一般提供が開始され、希望小売価格はユーザー1人あたり月額99ドルです。Microsoft 365 Copilot、Agent 365、Microsoft Entra Suiteに加え、Defender、Entra、Intune、Purviewの高度な機能を備えたMicrosoft 365 E5が含まれます。組織全体のエージェントを監視、統制、保護する制御プレーンであるMicrosoft Agent 365も同日に一般提供が開始され、価格はユーザー1人あたり月額15ドルです。