エージェントの境界設定：ZscalerがAIエージェントの安全性を確保するNVIDIA OpenShellリファレンス アーキテクチャーをサポート

NVIDIAはエージェントの境界を定めます。Zscalerはその境界をエージェントがアクセスできるあらゆるものにまで拡張します。

私はCISOと話す機会が多いのですが、彼らから寄せられる質問が変わってきました。1年前は、AIを許可すべきかどうかという質問でした。現在では、エージェントの安全性を確保し、本番環境への導入を加速させるには何をすべきかという質問が中心になっています。

もっともな質問ですが、答えることは以前より難しくなっています。ここ数年、組織向けAIの多くは、ユーザーからの簡単なプロンプトに応答した後、次のプロンプトを待つというものでした。より新しいAIエージェントは複雑なタスクを受け取ると、達成するための方法を自ら考え、誰にも確認することなく処理を続けます。これこそが、エージェントを有用にしていると同時に、管理を難しくしている要因です。これまで何度も実証されているように、エージェントは誰も想定していなかった経路を何度も見つけ出してきました。テスト環境から抜け出し、権限を与えられていないシステムに侵入し、誰の承認も得ていないアクションを実行するのです。Zscalerのブログ記事であるAI向けのセキュリティでは、意図しないエージェント型AIの動作が発生した公開事例を詳しく解説しています。この記事を読んで印象に残ったのは、パターンが一貫していることです。いずれの事例でも、エージェントにはタスクの遂行に必要な範囲を超えるアクセス権があり、アクセス先のシステムとの間に何の制約も設けられていませんでした。

こうしたエージェントに欠陥があったとは考えていません。エージェントは、方法を見つけ出すという目的のために柔軟に行動していたのです。これらのインシデントを見ると、私は推論の失敗ではなく、アクセス制御の失敗だと考えます。今回紹介する取り組みは、このギャップの解消を目的としています。その一環として、自律型エージェントに施行可能な境界を設け、AIエージェントの安全性を確保するNVIDIA OpenShellリファレンス アーキテクチャーをサポートすることを発表します。Zscalerは、これらの制御をゼロトラスト アーキテクチャーにより拡張することで、組織のアクセス制御、データ保護、セキュリティ オペレーション全体にわたるAIセキュリティを提供します。これにより、組織はアクセスを制御し、侵害された動作による影響を抑えながら、エージェントを導入できるようになります。

想定外のユーザー

15年以上前にZscalerが創業した当時、ネットワーク上に誰も存在させるべきではないという考え方は、先駆的な一部の組織を除き、なかなか受け入れられませんでした。この主張は十分にシンプルなものでした。信頼できるエクスチェンジが、ユーザーとそのユーザーがアクセスを試みる権限を持つインターネットやアプリケーション間の接続を仲介し、検証とインライン検査を行い、許可された範囲を超えるものは認めないというものです。このゼロトラストの考え方は、組織のあらゆるレベルを保護するための取り組みに一貫して貫かれています。また、エージェントがインターネットの登場以来、CISOや業界が対応を迫られる最大の変革になることが明らかになった際、私たちがZscaler Security for AIを構築する基盤にもなりました。

アクセスという目的では、エージェントも別のユーザーです。しかし、エージェントと人間のユーザーには非常に大きな違いがあります。エージェントは数秒で作成でき、起動した人間がログアウトした後も動作を続け、さらに数を増やすこともできます。そして、エージェントを呼び出したユーザーの認証情報を、そのまま無条件にすべて与えてしまうことが少なくありません。これこそ、私が最も懸念している点です。

そこで、エージェントを導入する際には、次の質問を投げかます。このエージェントが接続を行うたびに、その接続を許可すると誰が判断したのでしょうか？答えがエージェント、プロンプト、または特定の誰でもないのであれば、その下でどのモデルが動いていようと、複雑なアクセスの問題に逆戻りしてしまいます。

AI向けのセキュリティでは、インベントリーやフロー制御からアクセス ガバナンスに至るまで、この質問に答えるための9つのゼロトラストの原則を解説しています。全体像については、ぜひこの記事をご覧ください。NVIDIAとの発表が持つ意義を理解するために、これらの原則のうち2つがランタイムとシリコンに組み込まれると何が起こるのかを見ていきましょう。

NVIDIAが境界を定め、Zscalerがその境界を拡張

こうした考え方は、コンピューティングの世界では新しいものではありません。オペレーティング システムでは、ユーザー空間のコードが自らを監視することは許されません。保護対象のレイヤーより下位のレイヤーで制御を実施するという考え方は、数十年も前に議論が終わっています。AIエージェントの安全性を確保するためのNVIDIA OpenShellリファレンス アーキテクチャーも、同じ規律を取り入れています。NVIDIA独自のAIの安全性とセキュリティを確保する部門は、Where Security Fits in an AI Agent Stackで、ハーネスはエージェントが何を試みるかを導き、インフラはエージェントが何をできるかを決定すると明快に説明しています。

AIエージェントの安全性を確保するためのNVIDIA OpenShellリファレンス アーキテクチャーは、安全なランタイムであるOpenShell、推論用のNVIDIA Vera Rubin、エージェントのハーネスやツールの使用を担うNVIDIA Vera CPU、そしてNVIDIA BlueField-4 DPU上で稼働し、継続的な帯域外モニタリングとシリコン上でのポリシーの施行を実現するNVIDIA Sentryを組み合わせています。

NVIDIA OpenShellは、エージェントを封じ込め、エージェントが何を認識し、何を実行し、どこにアクセスできるかを制御するオープン ソースのランタイム環境です。ゼロトラストの観点では、これはエージェントが実際に動作する場所にフロー制御を組み込むことに相当します。NVIDIA OpenShellは、エージェントのプロセスの外側でポリシーを施行し、カーネルレベルのサンドボックス制御などを通じて、エージェントの実行とアクセスを制御します。2つ目のNVIDIA Sentryは、NVIDIA BlueField-4上で稼働し、エージェントの活動を監視するとともに、シリコン上で独立してポリシーを適用します。これは、エージェントがアクセスできない場所から継続的に評価と封じ込めを行い、リスクの高い環境にさらなる保護レイヤーを提供する仕組みだと考えてください。

本日、NVIDIA GTC BerlinでのNVIDIAの発表に合わせ、Zscalerもこのプラットフォームを基盤とするエコシステムに参画します。現在、OpenShellリファレンス アーキテクチャーに基づくZscaler Security for AIの提供に向けて、NVIDIAと協力を進めています。

エージェントのワークフローは、ランタイム環境、外部API、内部データ ストア、クラウド アイデンティティーにまたがります。NVIDIAのランタイム制御レイヤーとハードウェアによる制御レイヤーを基盤として、Zscalerはこうしたやり取りに対して、組織全体にわたるゼロトラスト アクセス制御、データ保護、セキュリティ コンテキストを提供します。

どこにもアクセスできないエージェントは、誰にとってもほとんど役に立ちません。実際の業務を遂行するには、外部APIを呼び出し、内部のドキュメント ストアから情報を読み取り、クラウド アイデンティティーのもとで動作する必要があります。こうした処理の多くは、エージェントが稼働するクラスターから遠く離れた場所で行われ、通常は専用のハードウェアによる施行機能を備えていないインフラ上で実行されます。NVIDIA OpenShellは、エージェントの実行を制御します。つまり、エージェントがアクセスできるリソースやデータ、推論のルーティング先を管理します。Zscalerは、エージェントがランタイムの外部にアクセスする段階から制御を引き継ぎます。Zero Trust Exchangeを通じて、アイデンティティーとポリシーに基づいて各呼び出しを制御し、外部APIやモデル、MCPサーバーやツール、内部アプリケーション、データ ストア、クラウド/SaaSサービスにわたって、インライン検査、データ保護、セキュリティ コンテキストを適用します。また、すべてのエージェントが管理されたランタイムで動作するわけではないため、Zscalerは同じ可視性と制御をエンドポイントやクラウド ワークロード上で動作するエージェントにも拡張します。これにより、セキュリティ部門は、承認済みのエージェントだけでなく組織内に存在するすべてのエージェントを可視化し、管理できます。このように両者を組み合わせることで、組織はランタイムでエージェントを封じ込めるとともに、エージェントが動作するあらゆる場所、そしてエージェントがアクセスするあらゆる対象に対して、一貫した制御を適用できます。

制約のないエージェントの封じ込め

OpenShellのランタイムで動作し、顧客レコードの照合を指示されたエージェントを考えてみましょう。処理の途中で取得したドキュメントの1つに、顧客レコードを外部のアドレスに送信するよう指示する、隠された命令が含まれていることが判明します。

エージェントのアイデンティティーは変わらず、認証情報も有効で、与えられたタスクは正当なものです。新たに発生したのは、これから行おうとしている接続だけです。インライン検査を行うことで、取得したコンテンツを受信時に分析し、エージェントが動作する前に、埋め込まれた指示を検知できます。さらに、エージェントがそれでもデータの転送を試みた場合、そのリクエストはポリシーに照らして評価されます。このエージェントには、このタスクの遂行にあたって顧客データをその送信先に送る正当な理由がありません。データは転送中に阻止され、試みの記録も残されます。これが実現される結果です。

AI GuardとOpenShell

OpenShellは、エージェントがどのように実行されるか、推論がどこに行くかを管理します。Zscaler AI Guardがこの交差点に追加するように設計されているのは、組織独自のAIポリシーであり、プロンプトとレスポンスにインラインで適用され、プロンプトインジェクション、脱獄の試み、露出したシークレット、流出する機密データなどを監視します。私たちはすでにNVIDIAとこのバージョンの開発に取り組んでいます。今年初めにはNVIDIA NeMo Guardrails向けのAI Guard統合をリリースしましたが、OpenShellでの作業は、アプリケーションからランタイムへと、同じアイデアをさらに一段深く推し進めるものです。

AI Guardは単独で機能するものではありません。Zero Trust Exchangeの製品であるZscaler AI Gatewayは、エージェントの接続を仲介し、アクセス範囲をタスクに必要な範囲に限定します。また、ユーザー向けに構築したエクスチェンジをエージェントにも対応させる役割を担います。AI Access Graphは、エージェントに必要以上の権限が付与されている箇所を可視化します。

Sentryの役割

インラインでの制御によって、エージェントに許可されるアクションを管理できます。それ自体では、問題が発生した際にセキュリティ部門が迅速に対応できるとは限りません。特に、エージェントがソフトウェアによる境界を完全に回避してしまった場合はなおさらです。そこで登場するのがNVIDIA Sentryです。NVIDIA DOCAを基盤とし、NVIDIA BlueField-4 DPU上で動作するNVIDIA Sentryは、エージェントの動作を継続的に監視し、ホストの外部にある独立した信頼ドメインからセキュリティ ポリシーを適用します。NVIDIA Sentryは、異常な動作やポリシー違反を検知すると、リアル タイムでポリシーを施行し、ミリ秒単位でエージェントを隔離できます。また、調査や対応に必要な信頼性の高いテレメトリーを組織のセキュリティ プラットフォームに提供します。

ただし、生のテレメトリーも、それに基づいて行動できる人やシステムに届かなければ、その価値は限られます。SOCアナリストが不正なエージェントの動作を手作業で追跡し、特定のコンテナー、エージェント、アイデンティティーにまでたどり着く頃には、脅威はすでに次の段階へと進んでいます。

Zscaler Exposure Managementは、NVIDIA SentryとNVIDIA DOCA Argusから帯域外で取得されたこのテレメトリーを、Zscaler Data Fabric for Securityに直接取り込みます。これにより、インフラから得られるシグナルを、具体的なGPUノード、コンテナー ポッド、アプリケーションの所有者、ビジネス上の重要度など、実環境に即した詳細なコンテキストと自動的に関連付けます。こうしたイベントをエクスポージャー、悪用可能性、アイデンティティー、進行中のCVEの脅威と照合することで、システムは瞬時にリスクの優先順位付けを行います。たとえば、独自のモデル ウェイトをホストする本番クラスターのエクスポージャーは、開発用サンドボックスにある同一のエクスポージャーよりも自動的に高い重要度に設定されます。

Zscaler Deceptionは、開発パイプライン全体に合成APIキー、ルアー用ベクトル データベース、デコイとなるエージェント エンドポイントを配置し、この防御に予防的なレイヤーを追加します。エージェントが未承認の経路を探り始めると、これらのデコイが確実に判定できるアラートを発生させ、実際の資産に到達する前に封じ込めを可能にします。

この新たなシリコンからクラウドまでの可視性を活用することで、ZscalerのAgentic SecOpsソリューションはまもなくNVIDIA DPUのテレメトリーをゼロトラスト、エンドポイント、アイデンティティー、クラウドの各シグナルと関連付け、攻撃チェーンの全容とそれに伴うリスクを特定できるようになります。そのうえで、手動での引き継ぎを待つことなく、エンドポイントの隔離、不正なプロセスの終了、アイデンティティー トークンの失効、水平方向のアクセスを遮断するためのZero Trust Exchangeポリシーの更新など、攻撃チェーン全体にわたる連携した封じ込めを実行できるようになります。

クラスター内の検知を防御につなげる方法

ZscalerとNVIDIAの両社は、一方の環境で得られた知見がもう一方の環境の保護にも活用されるよう緊密に連携しています。組織のコンテキストがシリコン上での施行に反映され、シリコンが検知した情報が組織のコンテキストをさらに充実させます。近い将来、NVIDIA SentryがAIクラスター内で進行中のエクスプロイトを検知すると、ThreatLabzの調査チームがその振る舞いのシグネチャーやフォレンジック上の指標を分析します。そこで得られた知見から、予防的な検査ルールが自動生成され、グローバルなZero Trust Exchange全体に展開されます。その過程で、Agentic SecOpsに新たな検知機能が追加されることも多く、保護対象を組織内のワークステーション、クラウド ワークロード、従業員にまで拡張できます。また、こうした制御は双方向に機能します。Zscaler Agentic SecOpsがネットワーク レイヤーやアイデンティティー レイヤーで分散型のキャンペーンを検知した場合、検証済みの振る舞い検知ポリシーをNVIDIA BlueFieldのシリコン上のポリシー エンジンに直接送り返せるようになります。これにより、DPUにハードウェア アクセラレーションを活用したフィルターが設定され、ラインレートでのパケット破棄やワークロードの隔離が可能になります。

オープンな構築

OpenShellはオープン ソースとして設計されており、現在では、その機能のかなりの部分がNVIDIA以外の担当者によって開発されています。そうした担当者は本番環境で問題を発見すると、修正をフィードバックしてきました。多くの組織が依存することになるインフラにおいて、これは適切な構築方法だと私は考えています。Zscalerも、積極的にこの取り組みに参加していく予定です。ZscalerがOpen Secure AI Allianceの初期パートナーとなり、Blueprint Allianceの創設メンバーにもなったのも、同じ理由です。

今すぐCISOに伝えたいこと

私が話をする相手で、エージェントをどうブロックするか尋ねる方はいません。彼らが知りたいのは、エージェントを安全に活用するにはどうすればよいかということです。CISOに最初に取り組むべきことを3つ伝えるとすれば、以下のとおりです。

1. 誰が判断するのか確認する。エージェントが行うすべての接続について、エージェント以外の主体が許可を判断していることを確認してください。
2. インラインで検査する。ログからは何が起きたか把握できます。インライン検査は、何が起きるかを変えます。エージェントが誰かに確認される前に100回もの呼び出しを実行できる環境では、これは重要な違いです。
3. 環境をまたいで機能する制御を選択する。 組織の環境は、オープン、クローズド、ハイブリッド、マルチベンダーが同時に混在するようになります(おそらく、すでにそうなっているでしょう)。しかも、その大半は専用のハードウェアの背後に配置されるわけではありません。モデル、ランタイム、ベンダー全体で機能する制御を優先してください。
4. フィードバック ループをつなぐ。クラスター内の詳細なテレメトリーを、SecOpsのワークフローに直接取り込んでください。シリコンレベルの可視性とゼロトラスト ポリシーを組み合わせることで、ローカルでの検知をグローバルな防御につなげる継続的なフィードバック ループを構築できます。

自律型AIの基盤は、まさに今この瞬間にも築かれています。そして、この段階で下された選択は、長期間定着する傾向があります。ZscalerがNVIDIAと緊密に連携しながらこの取り組みを進め、オープンな形で開発を行っていることをうれしく思います。

詳細は、最近公開したブログ記事「AI向けのセキュリティ」をご覧いただくか、ZscalerのSecurity for AIとAgentic SecOpsのWebページをご覧ください。

セーフ ハーバー

将来の見通しに関する記述：本ブログには、当社経営陣の考えや想定、現時点で同経営陣が入手可能な情報に基づいた、将来の見通しに関する記述が含まれています。これには、予定されている統合、製品の機能、NVIDIAとの取り組みに関する記述が含まれます。将来の見通しに関する記述には、リスク、不確実性、状況の変化が伴うため、実際の結果は大きく異なる可能性があります。本ブログで言及している未リリースのサービス、機能、統合は、現時点では提供されておらず、予定どおりに提供されない場合や、提供自体が実現しない場合があります。お客様は、現時点で提供されているサービスや機能に基づいて購入を判断してください。Zscalerは、本ブログに記載された将来の見通しに関する記述を更新する義務を負いません。