エージェント型AIには、推測ではなく、安全策が必要だ

開発者の作業速度を低下させることなく、AIエージェントのセキュリティを確保するには何が必要でしょうか？最近のパネルディスカッションでその答えが検討された。 

私は最近、Warpの創設者兼CEOであるZach Lloyd氏、 NanoCoの共同創設者兼CEOでありNanoClawの開発者であるGavriel Cohen氏、そして3 、 000以上のCISOのコミュニティの創設者であり、Fortune 500 CISOに3度選ばれたモデレーターのMoriah Hara氏と共に、今日の企業セキュリティチームが直面する最大の課題の1つである、エージェント型AIの生産性を安全に引き出す方法について議論しました。

企業におけるエージェント型AIの急速な普及は、CISO（最高情報セキュリティ責任者）を困難な立場に追い込んでいる。一方で、ビジネスリーダーたちは、これまでにない生産性革命を約束するこの新技術をこぞって導入しようとしている。一方で、厳格な安全対策なしにAIエージェントを自由に動かすことは、深刻な脆弱性を生み出す。 

モライア氏は CISOが直面するジレンマを次のように表現しました。 「企業はあらゆる場所にAIエージェントを求めており、開発者は既にそれらを利用していますが、承認なしに、あるいはセキュリティ対策なしに
利用している場合が少なくありません。CISOは、いくつかのツールを容認し、何も問題が起こらないことを祈り、より良い可視性を確保するためにポリシーを超えたガバナンスを確立できるまでの時間を稼ぐという、居心地の悪い中間地点に置かれているのです。」

パネルディスカッションでは、生産性とセキュリティの間のこの緊張関係のバランスを取る上でのCISOの役割について議論が交わされた。以下に主なポイントをいくつかご紹介します。

隔離、制御、観察

パネリストたちはそれぞれ異なる視点からこの問題に取り組んだが、AIエージェントを安全に運用するには、信頼できる制御境界を備えた隔離された環境が必要であるという点では意見が一致した。ザックにとって、ワープ社のオズ・プラットフォームは、まさにそうした隔離環境を提供してくれる。これは、コーディングエージェントを安全かつ自動的に展開するためのクラウドエージェントインフラストラクチャであり、組織全体でエージェントが何をしているかを一元管理、アクセス制御、および可視化することを可能にします。

ザックは 、「Ozのウェブアプリを開けば、社内のすべてのエージェントが常に何をしているかを文字通り確認できる。これは、マーケティングチームの誰かが Cloud Codeを 使い、営業チームの誰かが Codexを 使っているのに、何が 起こっているのか、どんなツールをインストールしているのか全く分からないという現状よりもはるかに良い状況だ」と語った。

NanoClaw ― 個人用AIエージェント

Dockerでは、AIエージェントを安全に実行するという課題に対し、使い捨てで隔離されたローカルサンドボックス内で実行することで対応しています。Dockerサンドボックスは、エージェントが安全に最高の仕事をするために必要な自由と自律性を提供します。いわば、安全対策付きのYOLOモードとでも呼ぼうか。モライアが私たちの議論の中で指摘したように、主体的なスピードは奨励されるべきであり、「問題なのは、統制されていないスピードだ」。エージェントが暴走することなく迅速に行動できる場合、スピードと安全性はもはやトレードオフの関係ではなくなる。 

ここで注目すべき点として、3月にNanoClawとDockerサンドボックスの統合を発表し、設計段階からセキュリティを確保したエージェント実行を実現しました。この統合により、すべてのNanoClawエージェントは、強力なオペレーティングシステムレベルの分離を強制する、使い捨てのMicroVMベースのDockerサンドボックス内で実行できるようになります。このスタックは、NanoClawの最小限の攻撃対象領域と、完全に監査可能なオープンソースのコードベースを活用することで、エンタープライズレベルのセキュリティ基準を満たしています。 

ノートパソコンは新しい製品として

議論の重要な焦点は、エージェントを安全に実行できる場所だった。バイブコーディングが爆発的に普及し、エージェントやクロー（新しいタイプのエージェント）が既に実用化されている現在、ラップトップは企業において最も強力なノードとなっている。また、最も露出している場所でもある。私の同僚が最近言ったように、ラップトップやエージェント環境は新しい本番環境であり、本番環境と同様に管理される必要がある。

ザックは、エージェントを従業員のノートパソコンやデスクトップパソコンから、CISOが社内のすべてのエージェントの活動を常に把握できる、管理されたクラウドベースの環境に移行させる必要性を強調した。

携帯性 ― ノートパソコンからクラウドへ

私の考えでは、エージェントをサンドボックス内で実行するのであれば、そのサンドボックスがどこに設置されていても問題ない。それは、マーケティング担当者や財務担当者のノートパソコン、あるいはDevOpsエンジニアやクラウド管理者のマシンにインストールされる可能性がある。信頼の境界が確立され、その境界に出入りするデータの内容が把握できていれば、迅速なプロトタイピング、実験、イノベーションに向けて万全の準備が整います。

ちなみに、この考え方は、常に移植性を重視してきたDockerのビジョンと一致しています。私たちのビジョンは、決して「すべてを地元産にする」ことではありませんでした。まずはローカル環境から始め、その後、分散環境、Kubernetesクラスター、パブリッククラウドなどへと展開していきます。エージェントについても同じことが言えます。最終的には、それらは離陸し、人間のオペレーターから切り離され、必要な場所で常に同じ携帯可能な環境の中で、完全に自律的に稼働できるようになるだろう。

エージェントがサプライチェーンを構築するとき

今日のサプライチェーンは、TeamPCPやShinyHuntersのような日和見主義的な攻撃者にとって、まさに回転ドアのような存在だ。彼らは一時的な依存関係やその他の脆弱性を悪用し、認証情報や個人情報を盗み出すのに必要な時間はごくわずかしかないことが多い。

AIエージェントが自律的に、人間の監視なしにベースイメージを取得し、依存関係を選択し、コードを組み立てる場合、CISOはこれらのリスクにどのように対処すればよいのでしょうか？結局のところ、自律的なサプライチェーンにおいては、構築後にスキャンやパッチ適用を行う従来の方法はもはや現実的ではない。 

人間を常に情報共有する

パネリストたちは、いくつかの優れた実践例を共有した。ザックは、クリーンで安全な依存関係、特に上流のライブラリを選択する際には、人間が関与し続けること、そしてエージェントが選択できる承認済みのイメージを設定することを強く主張した。ガブリエルは、イメージのリリース期間を最低7日間に設定し、安全なものであっても依存関係を最小限に抑えることを推奨した。

補助輪付きアプローチ

ガブリエル氏はまた、エージェントの実験には補助輪のようなアプローチを提案し、まずは許可されていないデータを使ってスキルを磨き、機密データの問題を回避することを勧めた。「今日、その価値を引き出すことは重要ですが、それ以上に重要なのは、エージェントと連携するスキルを身につけることです。なぜなら、今後数ヶ月、数年の間に、私たちが現在持っているものをはるかに凌駕するものが登場するからです。ですから、本当に重要なのは、そのスキルを身につけ、業務に必要な能力を養うことなのです。」と彼は述べた。

爆発範囲を制限するための多層的なセキュリティ対策

私の見解は？日和見主義的な攻撃者は、本質的に欠陥があり壊れているエコシステムを悪用しているだけであり、残念ながらそれは今後6ヶ月から12ヶ月以内には修正されないでしょう。それまでは、開発者はこうした攻撃が継続すると想定し、被害範囲を限定するためにセキュリティ対策を多層化することで備えておくべきである。つまり、権限を制限し、第三者による環境へのアクセスを制限し、不変のタグ、ダイジェスト、およびSBOM（ソフトウェア部品表）を使用してマニフェストをロックし、汚染されたイメージを迅速に検出できるようにするということです。そして、そうです、クリーンで強化されたイメージを提供するDockerのような信頼できるビルド環境にリスクをアウトソーシングすることで、クリーンな基盤から始めることができます。 

MCP ― 新たなシャドウIT？

パネリストたちは、開発環境でMCPを使用することによるセキュリティ上の影響に焦点を当て、議論を締めくくった。MCP（モデルコンテキストプロトコル）は、LLM（論理言語モデル）が外部データにアクセスし、ツールを使用できるようにする標準規格であり、AIをより強力で信頼性の高いものにする可能性を秘めている。

生産性とリスク管理にとって、中央集権的で安全なガバナンスが不可欠であるという点で意見が一致した。ガブリエル氏は、適切なバージョン管理、認証情報管理、そして検証済みのツールを集めた「ゴールデンリポジトリ」の重要性を強調した。ザックは、個々のツールへの依存を避け、アクセスを最小限に抑えるために、集中管理を提唱した。 

MCPサーバーを安全かつ簡単に運用できるようにする

Dockerは？約1年前、エージェントと外部ツール間のボトルネックとなるオープンソースのMCPゲートウェイを導入しました。すべてのツール呼び出しをこの強制ポイントを経由してルーティングし、外部システムに到達する前に認証、認可、ログ記録を行うことで、幅広いエージェントが信頼できるMCPサーバーのカタログにアクセスできるようになります。AIが指数関数的なスピードで進化していることを考えると、MCPがどれくらいの期間有用であり続けるかは私には明らかではありませんが、Docker MCP Gatewayは今日において重要な課題を解決しています。Docker Sandboxと同様に、勧告ではなく厳格な適用を行う。

一世代に一度のチャンスであり、同時に挑戦でもある。

開発環境がエージェント型AIを活用できるようにすることは、一世代に一度のチャンスであり、CISO（最高情報セキュリティ責任者）は、そうした取り組みが無法地帯と化さないようにする責任を負っている。

モライア氏は、刺激的な考えでパネルディスカッションを締めくくった。 「半年後には、あらゆる企業が大規模にエージェントを運用するようになるでしょう。成功の鍵となるのは、ガバナンスが最初から存在していたか、それとも最初の重大なインシデントが発生した後に後付けされたか、という点です。」

今日の、選択肢によって未来が変わるようなエージェント型AIの世界において、あなたはどのようなセキュリティリーダーになるでしょうか？