AWS、AIエージェントの自律性と統制を両立する新指針「Trust in Depth」を発表

要点

• 米AWSは、AIエージェントの安全な自律性を拡大する多層検証フレームワーク「Trust in Depth」を発表した。

• 全ての行動を人間が承認する従来手法はレビュー疲れを招くと指摘し、検証可能な処理はエージェントに自律実行させる方針を示した。

• ルールの厳密な検証には、同社がクラウド基盤で10年以上運用してきた「自動推論」技術をエージェント向けに応用する。

• 実行前の定義や統制向けに、仕様駆動システム「Kiro」や「Amazon Bedrock AgentCore」のポリシー機能を提示した。

• 米Amazon Web Services（AWS）は2026年10月15日、公式ブログ（AWS ML Blog）において、AIエージェントの自律性と統制を両立させる新たな指針「Trust in Depth（多層的信頼）」を発表した。エージェントが自律的にタスクを遂行する際の不確実性に対し、複数の独立した検証層を重ねることで安全性を担保する手法を提唱している。金融取引などの高リスク業務でも、エージェントを信頼して運用できる体制の構築を目指すとしている。

全件承認の限界と自律性拡大の必要性

企業においてAIエージェントの活用期待が高まる一方、常に正しく動作するか予測しにくい点が導入の障壁になっていると元記事は指摘している。エージェントは自らツールを選択し実行手順を決定するため、同じタスクでも実行ごとに異なる経路をたどることがあり、従来の単発テストだけで将来の挙動を保証することは困難だという。

これに対し、従来は「ヒューマン・イン・ザ・ループ」（人間が介在して承認を行う運用体制）ですべての行動を確認するアプローチが一般的だった。しかし、作業量が増加するにつれて承認待ちが滞留し、確認者の「レビュー疲れ」を招くとAWSは説明している。過剰な確認作業は重要な問題の見落としにつながり、慎重さが業務のボトルネックになるため、検証可能な処理はエージェント自身に自律実行させ、人間の判断は真に必要な局面へ絞るべきだと述べている。

多層防御の発想を転換した「Trust in Depth」

単一のフィルタリングや監視、テストだけでは、エージェントが次回も正常に動作することを保証できないという。そこでAWSは、情報セキュリティで長年実践されてきた「多層防御（Defense in Depth）」の規律を応用した「Trust in Depth」を提唱した。

従来の多層防御が「発生し得る被害を制限する」のに対し、Trust in Depthは「安全に許可できる行動範囲を拡大する」ことを目的としている点が特徴だ。相互に補強し合う検証層を設けることで、人間の監視がない状態でもエージェントが設定された境界内にとどまる確信を組織に提供するとしている。

4つの検証フェーズと自動推論の応用

Trust in Depthでは、エージェントのライフサイクルにおいて以下の4つの問いに答えることで信頼を構築するとしている。

• 事前定義（Scope）：エージェントの用途、必要な権限、禁止事項の明確化
• デプロイ時（Know）：承認者、固有アイデンティティ、稼働する全エージェントの把握
• 実行中（Bound）：設定された制限内で業務を遂行できているかの確認
• 実行後（Observe）：行動の履歴と理由を再現し、改善に活かせるかの検証

このうち「管理者のみが承認可能」といった明確な規則には、「自動推論」（数理論理学を用いてシステムの正しさを数学的に証明する技術）を適用する。想定外の経路を取り得るエージェントに対し、前提条件に基づいて規則があらゆる経路で成立するかを数学的に証明できるという。

AWSはこの自動推論を本番環境で10年以上運用しており、秒間21億リクエスト以上を処理する「AWS Identity and Access Management（IAM）」をはじめ、仮想化基盤「AWS Nitro Hypervisor」や「Amazon S3 Block Public Access」などで実績を重ねてきた。今回、この技術をエージェント統制へ広げるとしている。なお、「友好的なトーンの維持」など数学的証明になじまない規則については、権限を絞った上で行動を評価し、曖昧な状況は人間が判断する運用を求めている。

設計段階の統制と関連ツール群

元記事は、エージェントの事前定義（Scope）が最も労力を要する一方、初期の欠陥は修正コストが低いため最大の効果をもたらす段階だと強調している。単に「顧客対応を行う」といった目標だけでなく、閲覧・実行できる範囲や確認を要する境界を厳密に定める必要がある。また、意図せず付与された管理者権限などの継承にも注意を促している。

この設計と統制を支える仕組みとして、元記事では以下が紹介されている。

• Kiro：仕様駆動型のエージェント開発システム。コード記述前に自動推論で矛盾や曖昧さを検出し、広範な入力に対応する「プロパティベーステスト」（満たすべき性質を定義し自動生成データで検証する手法）を導出する。
• Strands：エージェントのモデル、指示、ツールを定義するオープンソースのツールキットおよびマネージド運用ランタイム。
• Amazon Bedrock AgentCore：安全な運用を支えるガバナンス機能。自然言語で記述したポリシーを自動推論で検査し、過剰な権限付与や矛盾する規則を事前検出する。

加えてデプロイ段階（Know）においては、すべてのエージェントに個別アイデンティティを持たせ、行動ごとに検証を行うことで、未把握のエージェントによる孤立した行動を防ぎ、追跡性を確保することが不可欠だと述べている。