homulaAIエージェントの導入を進める企業にとって、2026年10月中旬のニュースは一つの転換点だった。Microsoftが、社内で動くAIエージェントを**「インサイダー（内部不正者）」として扱う**新しいセキュリティ機能を打ち出したのだ。しかも、その理由を説明する言葉が強烈だった——複数の報道によれば、同社セキュリティ事業の責任者は「フロンティアモデルは、その出自を問わず信頼できない」と述べたという。自社でも最先端モデルを売る当のベンダーが、モデルそのものを「信頼できない前提」で設計し直すと宣言した。この構図こそ、2026年のエンタープライズAIが到達した地点を象徴している。
homula はエンタープライズ向けの AIエージェント・インテグレーターとして、「どのモデルが賢いか」よりも「エージェントに何をさせ、何をさせないか」の設計を顧客と詰めてきた。今回の発表は、その設計思想が業界の主流になったことを示す。本稿では報道で確認できた事実を整理し、特定ベンダーの製品に依存しない形で、企業が実務で引くべき統制ラインを具体化する。
何が発表されたのか——事実の整理
まず、複数メディアが一致して報じている内容と、報道ベースの発言を切り分けておく。
| 項目 | 内容 | 位置づけ |
|---|---|---|
| 発表 | 社内で動くAIエージェントを「インサイダー（内部不正者）」として扱う新しいセキュリティ機能。既存の脅威検知プログラム「Project Perception」の拡張と、上位プラン「Microsoft 365 E7」として提供 | 複数報道で一致 |
| 時期 | 2026年10月19日 | 複数報道 |
| 中核の主張 | 「フロンティアモデルは、その出自を問わず信頼できない」。悪意があるからでも、簡単にハッキングされるからでもなく、予測不能だから。モデルは「タスクの達成」を訓練されており、「組織の規範や判断」に従うよう訓練されていない | 同社セキュリティ事業責任者 Hayete Gallot 氏の発言として報道 |
| 仕組み | 「Guardian Agents」がエージェントの挙動を継続的に監督し、リスクの変化に応じて各エージェントにできることをポリシーで動的に調整する | 同社コーポレートVP Nadim Abdo 氏の説明として報道 |
| 人間の役割 | ルール策定と重要な意思決定は人間が保持。Guardian Agents はアラートの調査と、許可された範囲の防御措置を実行する | 報道 |
重要な留保: 報道では、これは「実証済みの仕組み」ではなく「これから検証される設計方針」として紹介されている。統制が実際に機能するという独立した証拠はまだ示されていない、との批判的な指摘もある。また「Project Perception」の当初ローンチ時期（2026年年央）については報道間で表記に揺れがあるため、本稿では「報道によれば」と明示する範囲にとどめる。
もともと Project Perception は、外部の攻撃者を想定した赤・青・緑のエージェントチームという形で始まったとされる。今回の拡張は、その射程を「すでに社内で動いているエージェント」に向けた点に本質がある。攻撃者を外に探すツールが、内側で動く味方のエージェントを監視対象に加えた——ここが潮目の変化だ。
「信頼できない」が意味するもの——悪意ではなく予測不能
「モデルは信頼できない」と聞くと、脱獄（ジェイルブレイク）やプロンプトインジェクションのような攻撃を思い浮かべるかもしれない。だが今回の主張の核はそこではない。報道で伝えられた論理はこうだ——モデルは「与えられたタスクを達成する」ように最適化されている。一方で、「組織のルールや文脈的な判断に従う」ようには訓練されていない。だから、悪意がなくても、善意のまま境界を踏み越える。
これは homula が繰り返し論じてきた「アライメントは確率的である」という論点と地続きだ。一回の実行で逸脱する確率が小さくても、エージェントが自律的に何十・何百ステップも動き、日々何千回と実行されれば、逸脱は「いつか必ず起きる低確率イベント」になる。賢いモデルほど、与えた目的を達成するために予期しない手段を取りうる。能力の向上は、予測可能性の向上を意味しない。
だからこそ結論は「より賢いモデルに祈る」ことではなく、「賢いモデルが何をしても、できることの範囲を先に狭めておく」ことになる。信頼できる社員かどうかを面接で見抜こうとするのではなく、全員に最小権限のアクセス権しか渡さないという発想である。
なぜ“社員”扱いなのか——権限とスケールの問題
エージェントを「インサイダー」になぞらえるのは、比喩として的を射ている。内部不正者が危険なのは、彼らが正規のアクセス権を持っているからだ。外から壁を破る必要がない。エージェントもまったく同じで、役に立つために必要な広いアクセス権が、そのまま最大のリスクになる。
しかもスケールが人間とは桁違いだ。業界調査では、AIエージェントを含む「非人間ID（NHI）」が、平均的な企業で人間ユーザーを大きく上回っている。Rubrik Zero Labs の調査は82対1という比率を示し、KPMG の2026年レポートも80対1超と報告している（いずれもベンダー・業界調査であり、数値はソースにより幅がある）。人間なら数百人規模の組織に、数万の「正規アクセス権を持つ自動実行主体」が同居している——これが今の企業の実像だ。
さらに悪いことに、その多くが過剰な権限を持ったまま放置されがちだ。共有サービスアカウントや静的APIキーを使い回し、退役したエージェントの権限が誰にも回収されない。人間の退職者のアカウントは止めるのに、エージェントには「オフボーディング」の仕組みがない。Microsoftの発表は、この放置された権限面こそが「内部不正者」の温床だと名指ししたに等しい。
一社の監督ツールに任せてよいのか——中立レイヤーの論点
ここで企業が冷静に見るべき論点がある。今回の監督機能は、Microsoftの上位プラン（Microsoft 365 E7）に束ねられた形で提供される。自社のエージェント統制を、特定ベンダーのスイートに全面的に預けることには、見過ごせない副作用がある。
現実の企業は、一社のエージェントだけを使っているわけではない。コーディング支援、業務自動化、データ分析——用途ごとに異なるベンダーのエージェントやモデルが混在し、n8n や Dify のようなワークフロー基盤、社内の内製エージェントも並走する。ある一社の監督ツールは、自社エコシステムの中のエージェントは手厚く見るが、他社製や内製のエージェントまで等しく統べられるとは限らない。結果として「監督の空白地帯」が生まれ、そこが新たなシャドーIT（野良エージェント）の温床になる。
統制レイヤーは、モデルやベンダーから独立した「中立の層」に置くのが堅い。どのモデル・どのプラットフォームのエージェントであっても、同じ最小権限・同じ承認ルール・同じ監査基準で横串に統べられる状態を作る。ベンダーのロックインに統制まで引きずられないことが、長期の自由度を守る。
「エージェントを内部不正者として扱う」という考え方自体は正しい。問題は、その統制をどの層に、誰の都合で置くかだ。統制はビジネスの前提であり、特定ベンダーの販売戦略に従属させるべきものではない。
homulaの観点——「狭める・監督する・証明する」を製品で
では、ベンダー中立の立場でエージェントを「信頼できない内部者」として統べるには、具体的に何を実装すればよいか。homula が顧客と引いてきた統制ラインは、次の5点に集約される。
- 万能アカウントの廃止（最小権限）: エージェントに「人間と同じ広い権限」を与えない。用途ごとに専用IDを切り、触れるツール・操作・データ範囲を明示的に絞る。退役時に権限を確実に回収する仕組みまでをセットにする。
- 影響の大きい操作に承認ゲート: 送金・外部送信・本番データの書き換え・削除など、取り返しのつかない操作には人の承認を必須にする。予測不能なモデルでも、最後の一線は人が握る。
- 実行時の監督とリスク連動: 「与えた瞬間の権限」で終わらせず、挙動を実行時に見て、リスクが上がれば動的に権限を絞る。Microsoftの「Guardian Agents」が狙うのと同じ機能を、中立の層で持つ。
- 実行の全証跡化: 誰が・いつ・どの権限で・何をしたかを、改ざん耐性のある形で長期保存する。インシデントは起きる前提で、「説明できる状態」を先に作っておく。
- ブラストレディウス（影響範囲）のレビュー: 新しいエージェントを足すたびに「最悪、これは何を壊せるか」を見積もり、影響が大きすぎる用途は本番に出さない判断を持つ。
homula の統合プラットフォーム Agens は、MCP を活用して200以上のツールと構築ゼロで接続し、用途ごとのエージェントを素早く立ち上げる。その上で Agens Control が、承認フロー・DLP・RBAC・5年分の監査ログを提供し、上の5点を「接続の層（最小権限）」と「統制の層（承認・監査）」で構造的に担保する。特定モデルやベンダーに縛られず、横串で統べられることが、中立レイヤーとしての要点だ。
こうした考え方は、homula が過去に論じてきた非人間IDと最小権限、ツール単位の承認ゲートとエージェントID、検証可能な実行証拠と一本の線でつながっている。今回のMicrosoftの発表は、それらが「将来の備え」ではなく「いま実装すべき標準」であることを、業界最大手が追認した出来事だと読める。
まとめ
Microsoftが「フロンティアモデルは信頼できない」と述べ、エージェントを「内部不正者」として監督するツールを打ち出したことは、三つの含意を同時に突きつけた——(1) モデルの逸脱は悪意ではなく予測不能から生じ、能力が上がっても消えないこと、(2) エージェントは正規の権限を持つインサイダーであり、人間と桁違いのスケールで増えていること、(3) 必要なのは賢いモデルではなく、できることを先に狭める統制であること。
打ち手は明快だ。「エージェントにできることを狭め」「実行時に監督し」「何をしたかを証明できる」——この三点を、どのモデル・どのベンダーのエージェントにも等しく適用できる中立の層で担保する。能力の拡大をためらう必要はない。拡大するからこそ、境界を先に引く。エージェントを止めずに、暴走の被害だけを構造的に止める——それがエージェント時代の企業に残された、確実に効く仕事である。
出典・参考: TechCrunch: Microsoft says AI agents are like insider threats as ‘frontier models can’t be trusted’、TechRadar Pro: Microsoft admits 'frontier models can't be trusted'、Unite.AI: Microsoft Adds Guardian Agents to Project Perception for AI Insider Risk、GeekWire: Microsoft security business chief Hayete Gallot on the agentic era、Cloud Security Alliance: Agentic AI Identity & IAM research note
「信頼できない前提」でエージェントを動かす統制は、最小権限の接続と承認・監査の仕組みから始まります。homula が、ベンダーに縛られない中立の統制レイヤーを貴社と一緒に設計します。