自律型エージェントのセキュリティ：深層防御アーキテクチャの三層構造を解説

Nutanix 提供

推論を行い、自らの判断を下し、環境全体でアクションを実行できる自律型システムは、アプリケーションレベルの制御では到底防ぎきれない新たなリスクカテゴリーをもたらします。このリスクを単一の課題として扱うと、不十分なアーキテクチャしか生まれないと、Nutanix の製品管理シニアディレクターである Oscar Wahlberg 氏は指摘しています。

「悪意あるプロンプトを検知するためのガードレールは、自律エージェントがハルシネーション（幻覚）を起こし、本来行うべきではない行動をとるのを防ぐことはできません。例えば、誤ってデータベースを削除したり、付与された資格情報を別の目的で悪用して機密データを漏洩させたりするケースです」と Wahlberg 氏は語ります。「これが、企業が自律エージェントを実験の域から本番環境へと移行させる際に直面する中核的な課題なのです」

一度、自律型システムにデータセンター全体での実行権限が与えられれば、セキュリティ体制はインフラ、ストレージ、コンピューティング、ネットワーク、そして統制プレーン（制御層）を跨ぐディフェンス・イン・デプス（多層防御）アーキテクチャへと拡張されなければなりません。各レイヤーは重複した制御を適用するのではなく、それぞれが異なるカテゴリーのリスクに対応します。単一のセキュリティ対策やベンダーだけで、これほどの保護を提供することは不可能です。真の防御には、これらのレイヤーが連携して機能することが不可欠なのです。

責任をスタック全体に分散し、ゼロトラストのセグメンテーションを徹底することで、組織は全体的なセキュリティ姿勢を向上させる堅牢なフレームワークを構築できます。ディフェンス・イン・デプス（多層防御）の原則を実践的なセキュリティフレームワークへと昇華させる鍵は、各リスクがどのレイヤーに属するかを理解することであり、ここではそれぞれが明確な責任を持つ3つのレイヤーが存在します。

Infrastructure layer: 信頼を確立する基盤

インフラストラクチャ・レイヤーの根幹となる責務は、「環境内で誰が動作しているのか」という単純な問いに答える「信頼の根源（root of trust）」を確立することです。この信頼できるアイデンティティこそが、その上位にあるすべてのセキュリティ制御の前提条件となります。

組織がエージェントの行動を信頼する前に、まずそのエージェントが動作する環境の完全性を信頼できなければなりません。あるオペレーションの実行許可をエージェントが要求した際、システムはそれが正当なエージェントからのリクエストであることを検証できなければなりません。なりすましではないことを確認できることが不可欠です。

こうした信頼性を保証するには、プラットフォームアテステーション（platform attestation）、機密コンピューティング（confidential computing）、セキュアブート（secure boot）といったハードウェア自体に信頼の根拠を置く技術と、サーバー内部および外部における不正アクセスを防ぐ制御手段が不可欠です。金融サービスのような規制産業においては、この層によって AI 生産ワークロードを分離し、エージェントも環境も割り当てられた範囲を超えて動作できないようにすることが可能になります。これにより、モデルやランタイムの改ざん、サプライチェーンの侵害、機密 AI ワークロードへの不正アクセスといったリスクを軽減できます。

ネットワーク層：AI エージェント間の通信を統制する

エージェントが他のエージェント、API、アプリケーション、そしてエンタープライズシステムと通信を開始すると、従来の静的なネットワーク構成では処理しきれないほどの並行性と動的な通信が発生します。制約なく API を呼び出し、データソースを検索し、追加のエージェントを起動するように設定されたエージェントは、東西南北のトラフィック（east-west traffic）が広がる複雑な網目を作り出します。この複雑さは、適切なネットワークセキュリティ層が整っていない場合、横方向への移動やデータの持ち出しを隠蔽してしまう恐れがあります。

「AI エージェントは新たなネットワークアイデンティティとして扱い、明示的に許可された他のエージェントやデータソースとのみ通信できるようにするべきです」とワールバーグ氏は述べています。「つまり、硬直した静的ルールから、動的なポリシー実行へと移行する必要があります。」

Nutanix のソリューション「Agent Gateway」は、同社の Agentic AI ソリューションの一部です。これはコスト管理とガバナンス機能を提供し、自律型エージェントの利用者を管理するために設計された、統一され統制されたレイヤーです。

ゼロトラストセグメンテーションに基づき、Nutanix Flow を用いたマイクロセグメンテーションなどの機能を活用するエージェントと連携することで、Agent Gateway は企業に対し、エージェント間やモデル、データソース、エンタープライズアプリケーションにわたる相互作用のガバナンスを支援します。特に Cisco Secure AI Factory への統合も含まれています。

ネットワークレイヤーは、横方向への移動やデータ漏洩を制御し、エージェントのネットワークアクセスをゲートします。エージェントは信頼性の低い行動を示す可能性があるため、デフォルトでアクセスをブロックするゼロトラストフレームワークと、スケーラブルな相互作用モニタリングが不可欠です。

Nutanix ソフトウェアは Cisco UCS サーバーや Cisco AI POD と統合されており、AI ファクトリーが動作するためのターンキー型物理インフラ（コンピューティング、ストレージ、ネットワーク）を提供します。

コントロールプレーンレイヤー：AI エージェントの許可範囲を管理する

コントロールプレーンは運用の中核であり、エージェントの権限、ツールアクセス、リソース消費、ランタイム可視性を一元管理するための拠点です。ワールバーグ氏によれば、最も重要なのは、各エージェントごとに方針を再考するのではなく、単一の場所で一貫してポリシーを適用できる仕組みを持つことです。

「エージェント・ゲートウェイは、異なるモデルやツールに対する共通のエンドポイントとして機能します。これにより、IT チームはエージェントをこの単一の管理ポイントに接続するよう設定できます」と同氏は説明しています。

集中型 AI ゲートウェイを利用すれば、管理者はモデルへのアクセスや MCP ツールの利用状況を観察・監査し、制御できるようになります。これによってデータ保護と特権アクセスの制限が可能となり、以下のリスクを軽減する設計となっています。

• 権限の濫用
• エージェントの暴走
• 不正なツールの使用
• データ漏洩
• ランタイムループに陥ったエージェントによるトークン消費量の急増

このアプローチは、ガバナンスを事後対応のコンプライアンス事項として扱うのではなく、ランタイム制御システムとして捉えることに依存しています。

なぜ画一的なセキュリティがエージェンティック AI 環境では機能しないのか

企業が犯す最大のアーキテクチャ上のミスは、単一のセキュリティモデルで AI スタックの全層をカバーできると考えることです。組織がハードウェアレベルの信頼性をアプリケーションレベルのソフトウェアで解決しようとしたり、動的なエージェント管理に静的なレガシーネットワークルールを依存したりすると、エージェンティックシステムが本来の機能を果たせなくなるか、あるいは重要なセキュリティホールが開いたままになるようなアーキテクチャができてしまいます。画一的な発想は、著しいパフォーマンス低下や運用上の摩擦を生む傾向があります。

「適切なレイヤーに具体的な責任を割り当てないままでは、ガバナンスの盲点が生まれてしまいます」とワールバーグ氏は指摘します。「モデル出力のセキュリティは確保できても、エージェント間のデータ漏洩を見逃したり、ネットワーク自体は守っていても、エージェントがランタイムループに陥ってトークンを浪費している状況を把握するための制御プレーンへの可視性が欠けていたりするのです。」

モデルに焦点を絞りすぎると、最も大きな隙間が生じます。悪意あるプロンプトを検知するガードレールがあっても、ハルシネーション（幻覚）を起こしたエージェントが正当な認証情報を誤用するのを防ぐことはできないからです。セキュリティをフルスタックに組み込むことで、モデルレベルの脅威が初期フィルタをすり抜けても、ハードウェアに根ざした信頼性、ネットワーク分離、そしてエージェント層におけるアクセス制御によって、エージェントは常に制約されるようになります。

Intel、Cisco、Nutanix が連携して構築するディフェンス・イン・デプス

この 3 社によるパートナーシップは、階層型アーキテクチャがどのように実装され、ガバナンスが行き届いたエンタープライズグレードの AI クラウドとして機能するかを示しています。Intel はエージェントワークロードを実行するコンピュータを提供し、ハードウェアに根ざした信頼性と機密コンピューティングを通じて実行環境を保護します。また、アクセラレータを活用してコスト削減も実現しています。組み込みの AMX を備えた Intel Xeon 6 プロセッサは、高価な GPU に依存することなく、AI 推論を効率的に加速します。

Cisco はエージェントとエンタープライズツールの間の通信を統制する安全なファブリックで環境を包み込み、Nutanix はソフトウェアプラットフォームを提供してアーキテクチャのサイロ化を防ぎます。さらに中央制御プレーンが権限の適用、可視性の提供、コストガバナンスを実現し、これらすべてを統合することで、エンタープライズがアジェンティック AI を安全にスケールできるディフェンス・イン・デプスのソリューションを構築します。

3 つのレイヤーのうち、ワルバーグ氏は現在、企業が最も過小評価しているのが制御プレーンだと指摘します。真の制御プレーンは初期導入を超え、Day 2 オペレーションを簡素化するものであり、IT チームに継続的な観測性と厳格なトークンガバナンスを提供することで、本番環境での自律型エージェントを安全かつコスト効果高く運用できるようにすると説明しています。

「モデルやツールの選定に加え、統合されたフルスタックプラットフォーム上でエージェントの展開と、それらがモデルやビジネスツールにアクセスする権限を統制することが、AI プロジェクトの成功には不可欠です」と彼は語ります。そして近い将来、組織は数少ない AI 活用事例から、事業を推進するために自律的に動作する数千のエージェントへと移行していくだろうと予測しています。

技術リーダーは今こそ、エージェントのアイデンティティ、ツールの権限、トークン予算をリアルタイムで管理できる中央集権的なガバナンス層の構築に優先順位をつけるべきです。この制御ポイントこそが、安全にスケールするための運用基盤となるからです。

「AI システムを構築する際には、数多くの複雑な判断を迫られます」と同氏は説明します。「そして、これらのディフェンス・イン・デプス戦略を実現するためには、複数のベンダーやインフラストラクチャにまたがって連携するコントロールプレーンが必要です。」

Nutanix のアジェンティック AI ソリューションの詳細については、こちらをご覧ください。

スポンサー記事は、投稿料を支払う企業または VentureBeat とビジネス関係にある企業が制作したコンテンツであり、常に明確に表示されています。詳しくは sales@venturebeat.com までお問い合わせください。