エージェントベースラインは、AI導入のための設計図であり、企業エージェントに無制限の権限を与えることなく、それらを活用するための6つのセキュリティ上の成果を定義しています。
次のシナリオを考えてみましょう。カスタマーサポート担当者が添付ファイル付きのチケットを受け取ります。添付ファイルの中に、顧客データベースを照会し、その結果を外部アドレスに送信するよう指示する文書が隠されている。
代理人は、法令遵守に必要なものをすべて備えている。チケットの読み取り、内部システムへの照会、ツールの呼び出し、インターネットへの接続が可能です。その指示は悪意のあるものだが、作業の一部のように見える。
顧客データが会社から流出する前に、エージェントを阻止するものは何ですか？
これは、エージェントが実験段階から日常業務へと移行する際に、企業が直面する実際的なセキュリティ上の問題である。問題は、モデルが悪意のある命令を認識できるかどうかだけではない。問題は、モデルを取り巻くシステムが、エージェントが到達できる範囲、使用できる権限、そしてモデルが誤った判断を下した場合にエージェントが取ることができる行動を制限しているかどうかである。
エージェントは、馴染みのある制御を新たなシステム問題へと変える。
企業は既に、ID管理、ワークロードの分離、ネットワークの制限、ソフトウェアのテスト、ログの収集、インシデントへの対応といった方法を熟知している。これらの規制は依然として必要である。
エージェントは、制御システムがどのように連携して動作する必要があるかを変更する。エージェントは、実行時に自然言語による指示によって再プログラムすることができる。目標達成の方法を選択したり、ツールを呼び出したり、委任された認証情報を使用したり、他のエージェントを生成したりすることができる。モデル、プロンプト、ツール、MCPサーバー、および権限の変更に伴い、その有効機能も変化する可能性があります。
コーディングエージェントは、この問題を分かりやすく説明する。修正すべきバグを与えれば、ソースコードや内部ドキュメントを読み込み、パッケージをインストールし、外部APIを呼び出し、サブエージェントにタスクを委任し、変更をコミットする可能性がある。それぞれのステップは、単独で見れば妥当であるかもしれない。リスクは、実行時にプログラム可能な単一の主体が、委任された権限の下で複数のシステムを横断し、人間がすべての決定を検証するよりも速い速度で移動するという組み合わせから生じる。
したがって、セキュリティチームは各エージェントについて次の3つの質問に答える必要がある。
- 何が稼働していて、何ができるのか？
- 承認された範囲内に収まっていますか？
- 何か問題が発生した場合、何が起こったのかを証明し、それを阻止することは可能でしょうか？
ほとんどの組織は、これらの質問の一部に答えることができる。エージェント1つ、タスク1つ、そしてあらゆるモデル、ツール、資格情報、ポリシー決定、下流アクションにわたる1回の実行について、これらの質問に答えられる人はさらに少ない。
エージェントベースラインをご紹介します。これは、エンタープライズエージェントの構築、運用、および管理のためのオープンな設計図です。
Agent Baselineは、Docker、Snyk、Keycardによって作成され、企業向けエージェントの導入において満たすべき最低限のセキュリティ基準を定義するものです。
現在のv1.0草案には、6つの結果にわたる35コントロールが含まれています。
- 発見：すべてのエージェント、その所有者、目的、構成要素、依存関係、および有効なアクセスに関する正確な記録を維持します。
- 制約：エージェントの実行時間、データ、ツール、ネットワーク範囲、コンピューティング能力、および実行期間を、承認された目的に必要な範囲に制限する。
- 承認：結果的な行動を、明確なID、タスク、ターゲット、範囲、および有効期間に紐付ける。
- 観察：意図、ID、ポリシー、ツールの使用、アクション、結果を、安定した実行IDまたはトレースIDに関連付けます。
- 検証：エージェントが実際に動作する構成と環境でエージェントをテストし、その出力と結果を検証します。
- 対応策：当該エージェントを停止させ、その権限を取り消し、影響を受けたコンポーネントを隔離し、証拠を保全し、影響を評価する。
私たちは、Black Hat2026 で開催されたイベント 「Securing your AI Agent: The Road to Software Factory」 において、満員の聴衆を前に Baselineを正式に発表しました 。結果が気になる方は、以下の動画をご覧ください。
ドッカー社戦略担当副社長、エリ・アレイナー氏
エージェントのベースラインの実践
ベースラインには、サポートチケットのインシデントが以下のように格納されています。
「発見」とは、何が危険にさらされているかを明らかにすることです。エージェントレジストリには、エージェントの所有者と目的、実際に実行されているモデルとツール、クエリ可能なデータベース、使用できる認証情報、および呼び出すことができる下流エージェントが識別されます。これは現在の実行時における証拠であり、6か月前に承認された構成ではありません。
「制約」は出口を塞ぎます。エージェントは、顧客サポート向けに構築された機能プロファイルを持つ、隔離された環境内で動作します。ファイルシステムへのアクセスは制限されています。そのネットワークポリシーでは、承認されていない宛先への通信はデフォルトで拒否されます。外部アドレスへの接続を試みると、リクエストは失敗し、静かに成功する代わりに証拠が生成される。
「承認」機能は、不正アクセスによる損失額を制限します。当該エージェントは、広範なデータベース権限を持つ正式な資格情報を保有していません。それは、顧客サポート業務、許可された記録、および許可されたアクションに関連付けられた、短期間の権限を付与される。業務を委任する場合、下流のエージェントは元のエージェントが持っていた権限以上の権限を受け取ることはできない。
「制約」と「承認」を組み合わせることで爆発半径を測定可能になるが、これは事故発生時よりも事故発生前に実施する方がはるかに良い。侵害された攻撃は、ホスト上で実行およびアクセスできるもの、証明および使用できるID、外部に接続できるものの3つの方向に影響を及ぼす。各方向には、それを縮小するコントロールがあります。
ブロックされたリクエストと、まれに発生するクエリは、すべて同じ実行IDに紐づけられます。つまり「観察」とは、相関関係のある証拠を収集することであり、1週間後に5つのログをつなぎ合わせて物語を組み立てる必要がないということだ。そして、これらのことは全く驚くべきことではなかった。なぜなら、「 Validate」は既に、このエージェントが実際に動作する構成において、プロンプトインジェクションに対するテストを実施していたからである。
「応答」にはそれが含まれています。実行は停止され、有効な権限は取り消され、証拠は保全され、影響を受けた顧客記録の範囲が特定されるため、チームは実行がどこまで及んだかを正確に把握できる。重要なチケットは、調査が進行中でも、承認済みの手動による代替手段を通じて処理され続けます。
これらはいずれも、モデルの動作に依存しない。ほとんどのチームは既にこうした監視装置を3つか4つ設置しているが、よくある問題はそれらが連携していないため、ある場所で発砲しても証拠が別の場所に残ってしまうことだ。
エージェントの時代における組織のセキュリティ確保
エージェントは幅広いタスクを遂行できる。単一のエージェントが、人間のエンジニアのように、開発の内部ループと外部ループをシームレスにナビゲートし、PRD（本番環境要件定義書）を確認し、コードを記述し、コミットし、最終的に変更を本番環境にプッシュすることができます。また、さまざまなツールを使用し、元のエージェントと同じツールと認証を利用して並行して動作するサブエージェントを作成することで、非常に高速に処理を実行する能力も備えています。
エージェントのガバナンスは、顧客との業務において繰り返し求められる要件となっています。彼らは、開発者のマシン、認証情報、ソースコード、外部サービスへの無制限のアクセス権をエージェントに与えることなく、コーディングエージェントの生産性を向上させたいと考えている。
これにより、AIエージェントを安全に実行するマイクロVMサンドボックスであるDockerサンドボックスと、組織全体でAIエージェントがアクセスできるものや実行できるものを管理するための集中制御レイヤーであるDocker AIガバナンスが開発されました。これらの新製品は、既存のDocker MCP GatewayおよびDocker Hardened Imagesと合わせて、あらゆる規模の組織に、エージェントによるリスクを管理するための基盤となるインフラストラクチャを提供します。
エージェントベースラインの詳細については、こちらをご覧ください。
私たちは7月30 、 2026にAgent Baseline v 1 . 0 -draftを公開し、Black Hat USA 2026のSecuring Your AI Agent: The Road to the Software Factoryで発表しました。下記のリンクから、オンデマンドでセッションを視聴できます。
草案は9月30、2026までコミュニティによるレビューを受け付けています。私たちは、実施状況に関するフィードバック、不足している管理策、管理策が効果的でないことを示す証拠、および要件によって過大な運用負担が生じている事例を探しています。
- ホワイトペーパーはこちらからダウンロードできます
- agentbaseline.orgにアクセスして、アーキテクチャに関するコメントをお寄せください。
エージェントは今後もアクセス権と自律性を拡大していくでしょう。彼らが完璧に振る舞うことを基準にすることはできない。彼らが何ができるのかを把握し、彼らが行ける場所を規制し、彼らが何をしたのかを追跡し、何か問題が起きた時には彼らを阻止することが、我々の基準となるべきだ。
