AnthropicがCISO向け「エージェント型AI」安全導入ガイドを公開、リスク評価の4つの問いを提唱
要点
- Anthropicの副CISOジェイソン・クリントン氏が、エージェント型AIを安全に導入するためのリスク評価フレームワークを公開した。
- CISOの役割はリスクをゼロにすることではなく、リスクを可視化して制御可能な境界を定めることであると定義している。
- AIの進化により脆弱性の発見とエクスプロイト開発が高速化し、最新AIがLinuxカーネル等の深刻な脆弱性を検出している。
- エージェント導入時のセキュリティ対策として、データの外部流出やプロンプトインジェクションに対処する「4つの質問」を提唱した。
- エージェントの権限モデルについて、システム用と個人用の境界が曖昧な中間領域が最もガバナンス上のリスクが高いと指摘している。
リード文
米Anthropicは2026年7月17日（現地時間）、同社公式ブログにおいて、自律的に動作する「エージェント型AI」を安全に導入するためのセキュリティフレームワークを公開した。同社デピュティCISOのジェイソン・クリントン（Jason Clinton）氏が執筆したもので、無断導入によるシャドーAI化を防ぎつつ、リスクを適切に制御するためのアプローチを説明している。
本文
AIによる脆弱性検出の高速化と外部脅威の変容
クリントン氏は、AIの進歩で脆弱性（システムの安全上の欠陥）発見から攻撃コードである「エクスプロイト」の開発までの時間が大幅に短縮されたと警告する。
特に「Claude Mythos Preview」や「Claude Mythos 5」等の最新AIモデルは、人間が長年見落としていたバグを検出可能で、すでにLinuxカーネルやMozilla Firefox、OpenBSDなどの主要システムで深刻な脆弱性を検出しているという。AIがバグを連鎖させて実用的な攻撃コードを作る未来への備えは、今後のセキュリティプログラムの最優先事項になると同氏は指摘する。
内部リスクのガバナンスと評価フレームワーク
自社でエージェントを導入する際の主な内部リスクは、連携システムからのデータ流出や、「プロンプトインジェクション（閲覧データ内に悪意ある指示を潜ませてAIを乗っ取る攻撃手法）」である。モデル側の耐性は向上しているが、攻撃の成功率はゼロにはならない。
Anthropicではリスク評価のため、次の4つの問いを行っている。
- どのような信頼できないコンテンツを取り込むか：外部メールや公開Webなど、攻撃者が改ざん可能な情報を読み込むかどうか。
- 誰の権限で、どのようなアクションを実行するか：読み書きやコード実行、外部送信などの権限レベルの把握。
- 整合性が失われた場合の被害範囲はどれくらいか：エージェントが意図しない挙動をした際の影響規模が、単一ファイルか組織全体か。
- どのような監視性があるか：操作を人間と区別し、SIEM（セキュリティ情報イベント管理システム：各種機器のログを一元管理して監視する仕組み）にログを集約できるか。
最小エージェント権限とインサイダーリスクへの対応
この評価に基づき、同社は必要最小限の権限のみを付与する「最小エージェント権限の原則」を適用する。まずは小規模グループで開始し、ログ監視を通じて段階的に拡大するアプローチを推奨している。
また、意図から逸脱したエージェントの挙動は「インサイダーリスク（正規の権限を持つ内部関係者によるセキュリティ上の脅威）」と同等であると指摘する。従来の人間によるインシデント封じ込めには平均67日を要していたが、AIの実行速度に対してこれでは遅すぎるため、即時の検知と自動化された対応が不可欠だという。
責任の所在を定める「アイデンティティスペクトラム」
エージェントのデプロイ（システムへの展開）時におけるID設計では、権限モデルを両極端のいずれかに分類して考える必要がある。
一端は、人間と紐づかない特定目的の最小権限アカウントである「システムサービスアカウント」だ。チケット自動仕分けや、Slack等の共有スペースでチームと協働する新機能「Claude Tag」がこれに該当する。
もう一端は「人間の資格情報」で、チャットUIや個人用ツール「Claude Cowork」のように、操作する本人が結果に責任を負うモデルである。
懸念すべきは、その中間に位置する「本人が監視していない状況で、エージェントが権限を代行して別システムを操作する構成」だ。この領域では責任の所在が曖昧になり、インシデント時の原因究明が極めて困難になるため注意が必要だと結論づけている。