買収
Vanta、AIセキュリティ企業Pillar Securityの買収で合意
Unite.AI を Google の優先ソースに追加
Pillar Securityは発表した。2026年11月9日、VantaがAIセキュリティ企業の買収に向けた正式契約を締結した。今回の買収計画により、Pillarのエージェントテストと実行時保護がVantaのTrust Graphと連携し、AIガバナンス方針を、それらが制御する対象のシステムに結び付けることになる。
Dor SarigとZiv Karlinerは、AIがプロンプトに答えるだけでなく、データやツールを使い、意思決定を行って組織の業務を担うようになると考え、2023年にPillarを創業した。Pillarによると、同社のソフトウェアはAIアプリケーションとエージェントのライフサイクル全体を対象とし、それらを検出して防御機能をテストし、認可された範囲を逸脱する動作を阻止する。テストの設計と運用上の制限は、各エージェントの業務上の役割、付与された権限、リスク管理責任者に基づいて定められる。Pillarの研究者はAIシステムの故障モードを分析し、その結果を新たなテストと保護策の開発に活用している。
この買収により、Pillarの技術はVantaの信頼性・コンプライアンス事業に組み込まれる。Pillarの発表によると、Vantaは2万社を超える企業にサービスを提供している。Vantaのプラットフォームは、セキュリティおよびコンプライアンスに関する方針や管理策を、その責任者や組織の取り組みと結び付ける。
方針と実行時保護を連携
この計画では、組織の規則に基づいてPillarがエージェントをテストし、稼働中の動作を制限する。テスト結果から管理策の強化が必要な箇所を特定し、その情報をVantaにフィードバックする一方、実行時のセキュリティイベントは、必須の保護策が機能していることを示す証拠となる。
VantaのAIガバナンス製品ページでは、開発者のノートパソコン、本番環境のコード、ベンダーのプラットフォームにまたがるインベントリを紹介している。そこでは、各エージェントのモデル、プロンプト、データアクセスがTrust Graphにひも付けられる。また、このソフトウェアは、方針に基づいてエージェントのアクセスや動作を制限する機能、承認済みの範囲を逸脱する活動をリアルタイムで監視する機能、VantaのTrust Centerを通じて購入者、監査人、規制当局に証拠を提示する機能も備える。
これにより、エージェントの文書化や制御にとどまっていたVantaのガバナンス業務が、稼働中のエージェントの動作テストや境界の適用にまで広がる。両社が掲げる目標は、文書化されたAI方針と、稼働中のエージェントに適用される技術的な管理策との隔たりを縮めることだ。
AIセキュリティのライフサイクルフレームワーク
Pillarは、こうした管理策に共通の方法論も開発している。同社によると、Secure AI Lifecycle（SAIL）フレームワークのダウンロード数は5万件を超え、ライフサイクルの7段階にわたる91のAIリスクを整理している。このフレームワークは、開発、機械学習オペレーション、セキュリティ、ガバナンスの各チームが、初期開発から本番運用までAIリスクに一貫して取り組むための共通のアプローチを提供する。各段階は方針と資産の把握から始まり、セキュリティ態勢の分析、敵対的テスト、デプロイ時の管理策、隔離実行へと進み、最後に監視と廃止を行う。
管理策の適用から監査証拠の提示へ
Pillarのガバナンスおよびコンプライアンス関連文書では、未承認モデルを使ったデプロイを防ぎ、AIデータを承認済みの地域内に保持し、ライセンス上の抵触を特定するとともに、モデルのデプロイや方針の変更を行える人を制限するルールエンジンについて説明している。サードパーティーAI向けの個別の管理策は、外部システムが社内データや本番環境にアクセスする前に、社内要件に照らして評価する。コンプライアンス対応では、Pillarは資産把握の記録、敵対的テストの結果、実行時のガードレールから得られるテレメトリーを、監査人向けの文書にまとめる。また、ガバナンス上の調査結果と実行時ログを規制要件にひも付ける。この証跡によって買収の狙いが明確になる。AI方針の適用に用いられる活動は、Vantaの信頼性プログラムにおけるコンプライアンスの証明にも活用できる。
Vantaにとって今回の買収は、プラットフォームにすでにある方針や責任者の記録に、テスト機能と適用状況を示すテレメトリーを加えるものとなる。Pillarが掲げる目的は、より多くのチームに技術を届け、組織がすでに運用している信頼性プログラムと連携させることだ。統合は今後、両社が共同で進める予定であり、文書化された方針から稼働中のエージェントの挙動までを結ぶ継続的な証跡の構築が、買収成立後の中核的な成果となる。
