Sysdig、エンドポイントからクラウドまでエージェントの動作を統制するAI Defenseを発表

SysdigはAI Defenseを発表しました。これは、AIエージェントの動作を検査し、その行動が組織のポリシーに反した場合に介入する、ランタイムセキュリティおよびガバナンス製品です。11月4日の発表によると、本製品はmacOSとWindows向けに一般提供を開始しました。従業員のワークステーション上の活動を、認証情報でアクセスできるクラウドリソースまで追跡できるようにすることを目指しています。

この製品は、答えを生成するAIから、ソフトウェアを操作するAIへと移行する流れに対応するものです。コーディングエージェントは、ファイルの読み取り、ツールの呼び出し、プロセスの起動、インフラの変更を行えます。こうしたワークフローを保護するには、エージェントがどのようなタスクを実行していると認識しているかだけでなく、その裏で実際にどのような操作が行われているかも把握する必要があります。

エージェントの意図とOSの証拠を結び付ける

Sysdigによると、AI Defenseは、エージェントを実行するフレームワークであるハーネス内の計測機能と、OSのテレメトリーを組み合わせています。ハーネス内の計測機能は、ツール、Model Context Protocolサーバー、スキル、プラグインへの呼び出しを、それぞれの引数や対象も含めて記録します。システムレベルの観測では、それらの呼び出しによって生じたプロセスや活動を別途記録します。

エージェントの説明が不完全だったり、改ざんされていたりする場合、この違いが重要になります。ログ上では1回のツール操作として報告されていても、実際には複数のプロセスが起動することがあります。また、セッション中に接続やスキルが追加されると、エージェントが実行できる操作も変わり得ます。Sysdigは初期の観測結果として、エージェントのログに記録された各操作の背後で、およそ7つのプロセスが動いていたと報告しています。これは同社の調査結果であり、すべてのエージェントに当てはまる普遍的な比率ではありません。

システムは、操作を実行する権限も考慮します。同じファイル読み取り操作でも、関連する認証情報がテスト環境にアクセスできる場合と、本番環境を管理できる場合とでは、影響が異なります。アクショングラフは、一連のイベント、責任者、エージェントが申告した活動、アクセス可能なリソースを結び付けることを目的としています。

操作の許可、一時停止、ブロックを選べるポリシー

組織は、ポリシーを適用する前に、まずアラートモードで運用を開始できます。ポリシーを適用すると、Sysdigによれば、未審査のツールや接続をブロックしたり、リスクのある認証情報へのアクセスを止めたり、人による承認が得られるまで操作を保留したりできます。また、先行する制御をすり抜けた操作があった場合に、プロセスを終了させる機能も発表されています。

これらの仕組みは、実行シーケンスの異なる段階で機能します。操作の完了を阻止することと、活動を検知してその後にプロセスを終了することは別の機能です。今回の発表では、サポート対象となる各OS、ハーネス、マネージドプラットフォームで、どの制御が事前に操作を防ぐのかを示す公開マトリクスは提示されていません。

ポリシーテンプレートには、開発者向けの例外処理経路とともに、OWASP Top 10 for LLM Applicationsへの対応付けが含まれます。Sysdigはさらに、どのポリシーが適用されたか、何が許可またはブロックされたか、誰が例外を承認したかを示すセッション記録についても説明しています。これらの記録により、インシデント後にセッションを再構成しなくても、調査や監査を進められます。

Falco Foundationが加えるもの

Sysdigは、この製品を、クラウドネイティブなランタイムセキュリティと、同社が当初開発したオープンソースプロジェクトFalcoの歴史に結び付けています。Falcoのドキュメントによると、Linuxカーネルイベントやプラグインが提供するイベントソースを監視し、コンテナやKubernetesのコンテキストをイベントに付加したうえで、ルールを適用してアラートを生成できます。

この基盤があることで、SysdigがAIシステム自身の説明だけに頼らず、実際に観測された実行状況を重視する理由が分かります。ただし、オープンソースのFalcoプロジェクト自体が、AI Defenseで説明されているエージェントのガバナンス機能やブロック機能をすべて提供するという意味ではありません。Falcoのドキュメントに記載された検知アーキテクチャと、Sysdigの商用製品は別々に捉える必要があります。

今回の発表では、エージェント環境を把握し、人間の担当者にひも付けて追跡する対象として、Claude Code、Codex、GitHub Copilot、Cursorが挙げられています。macOSとWindowsで利用できるという説明は、Linux、Kubernetes、マネージドエージェントプラットフォームにも対応するという、より広範な説明よりも具体的です。各環境でどの連携が適用されるのかは、組織側で確認する必要があります。

ランタイムガバナンスはモデルのテストを補完する

Sysdigの共有責任に関する技術的な解説では、ランタイム制御を、エージェントが実行する作業を取り巻く保護層として位置付けています。実務上の違いは、境界を守るようモデルに求めることと、ソフトウェアが操作を試みた際にその境界を強制することにあります。

AI Defenseは、既存のエンドポイント保護、モデルテスト、レッドチーム演習を補完するものとして位置付けられています。テストでは、選定した条件下でモデルやワークフローがどのように振る舞うかを調べます。一方、ランタイムガバナンスは実際のセッション中の操作に対処します。いずれの説明も、導入環境が侵害を受けないことを保証するものではありません。また、その有効性はポリシーの設定と実行経路をどこまでカバーできるかに左右されます。

エージェントの活動とAI支出を追跡・把握する

セキュリティにとどまらず、Sysdigによると、AI Defenseは、中央集約型のAIゲートウェイを経由しないアクティビティも含め、モデルへの呼び出しを、実行したエージェント、チーム、責任者である人物に関連付けます。これにより、日常業務での高額なモデルの利用と、より高性能なモデルを使うに値するアクティビティを組織が区別しやすくなる可能性があります。

より広い構想は、セキュリティ、ガバナンス、コスト管理に共通するエビデンス基盤を設けることです。エージェントがより多くのツールを使い、実際の従業員の認証情報で動作するようになるにつれ、その影響力は実行可能な操作によって決まります。Sysdig AI Defenseは、そうした権限を可視化し、実際の操作時点で強制できるようにすることを目指しています。