NVIDIAがAIエージェントのセキュリティ・スタックを提示

NVIDIAは、AIエージェントのセキュリティはモデルに「よく考えさせる」ことでは解決できないという立場を示した。同社はこれを純粋なエンジニアリングの課題として捉えている。すなわち、明確なセキュリティ要件、強制力のある制御、各制御に紐づく明確な責任者、そして防御策が実際に機能しているという証拠、この4つがそろって初めて成立する問題だとしている。

NVIDIAは実際のエージェント導入事例を観察した結果、繰り返し現れる5種類のセキュリティ問題を挙げている。第一に不正なデータアクセスで、エージェントが文書内に埋め込まれた悪意ある指示に遭遇し、顧客データを許可されていない宛先へ持ち出そうとするケース。第二に権限昇格で、エージェントが割り当てられたタスクの範囲を超えた権限を得てしまうケース。第三にアクセス制御の回避で、エージェントが自身の権限範囲外の認証情報を取得しようとするケース。第四に監視への干渉で、権限を変更したりセキュリティ監視そのものを妨害しようとする試み。第五にツールの完全性の問題で、エージェントが依存するスキルや依存関係が改ざん、または侵害されているケースである。

モデルだけでなく、スタック全体を見る

NVIDIAはこの問題を3つの層に分けて構造化している。中核となる推論能力を提供する「モデル」層、コンテキストやツール、ワークフローを組み立てる「ハーネス」層、そしてエージェントの行動を実際に実行する「ランタイム環境」層である。この3層のどれか一つだけが安全であっても不十分で、全体はコード、データ、アイデンティティ、サービス、インフラが正しく連携して初めて機能する。

NVIDIAが示す具体例はこうだ。顧客記録を更新するエージェントが、添付文書に隠された悪意ある指示に遭遇し、許可されていないデータのエクスポートを試みる。NVIDIAの設計では、エージェント自身の意思決定ループの外側にあるネットワークポリシーがこの転送をブロックし、同時に保護された監査ログがこの試みを記録し、後の調査に使えるようにする。この例を軸に、NVIDIAはエージェント導入において必須となる5つの要件を挙げている。エージェントの判断に依存せず常に有効な、強制力のある境界線。各エージェントが個別のアイデンティティを持ち、そのタスクに必要な認証情報のみを保持すること。エージェントがアクセスできる情報と承認できる操作を明記したポリシー。すべてのツール呼び出しと認可判断を記録する保護された監査ログ。そして、重大な結果を伴う操作の前には人間による承認を必須とすることである。

「エージェントの外側で強制する」ことがなぜ重要なのか

【分析】NVIDIAのこの枠組みに一貫しているのは、エージェントが「推論」によって回避できないものだけが、真の制御として数えられるという考え方である。これはモデルに「もっと賢く判断してもらう」ことを期待するのとは根本的に異なる姿勢であり、ゼロトラスト型のネットワークアーキテクチャがクライアント端末を扱うのと同じように、モデルをデフォルトでは信頼しない対象として扱い、モデル自身に境界の強制執行を任せない、という発想である。顧客記録の例で実際にデータ流出を止めたのは、モデルの判断ではなくネットワークポリシーだった。これは、ブラウザやエンドポイントをめぐって従来のアプリケーションセキュリティが数十年前に学んだ教訓と重なる。強制のポイントは、侵害されたコンポーネントが手を出せない場所に置かなければならない。それがファイアウォールであれ、IAM(アイデンティティ・アクセス管理)層であれ、あるいはNVIDIA OpenShellのようにエージェントの実行環境を包み込むポリシー層であれ、である。

【分析】NVIDIAが名指ししたツール群は、製品カタログというより、スタック上の役割分担のように読める。NVIDIA自身のOpenShellが強制執行のランタイムを提供し、Cisco DefenseClawがその上にガバナンス層を追加する。JFrogはエージェントに使用が許可される前にスキルをスキャンし検証する。ReversingLabsのSpectra AssureとCapital OneのVulnHunterは、サプライチェーンとコードの完全性という問題に別々の角度から取り組んでおり、前者はソフトウェアパッケージ内のマルウェアを検出し、後者はAIを活用したコードセキュリティスキャンを行う。そしてCrowdStrike SafeMindとPalo Alto Networks Prisma AIRSは攻撃側の視点から検証を行い、攻撃シミュレーションと継続的なレッドチーミングによって防御が実際に機能するかを試す。このリストの中に、スタック全体をカバーする単独のベンダーは存在しない。そしてそれこそが要点かもしれない。異なる専門ベンダーが接続できる参照アーキテクチャは、単一企業が「エンドツーエンドの解決策」を約束するよりも持続性が高い。なぜならエージェントのセキュリティは、これまで異なるチームが担当してきたアイデンティティ、コード、ランタイム、監視という複数の領域にまたがるからである。

【分析】現在エージェントを導入している企業にとって、NVIDIAのこのリストが示す実践的な出発点は、製品の購入ではなく自己監査である。各エージェントが共有のサービス認証情報ではなく、個別の範囲限定されたアイデンティティを持っているか。システムプロンプトだけでなく、各エージェントが触れてよい範囲を定めたポリシー文書が存在するか。ツール呼び出しと認可判断が、エージェント自身では編集できない場所に記録されているか。そして、簡単には取り消せない操作の前に、人間が関与する仕組みがあるか。これら4つの問いは、NVIDIAが挙げた5つの要件に直接対応しており、上記のいずれのサードパーティ製品を導入しなくても、企業自身がまず確認できるものである。