この記事は、ゼロトラストエージェントに関するシリーズの第 2 部である。第 1 部では、自律型エージェントのための 3 つの決定論的な制御を確立していた。Cloud KMS による署名付きデータベース書き込み、gVisor によるユーザー空間カーネルでの隔離、そして CI のユニットテストに裏付けられた入出力ゲートウェイである。第 2 部は、これらの制御に共通する限界から出発する。すなわち、これらの制御は事前に明示的に指定できるケースしか捕捉できない。構文が正しければ、SQL パーサーはソーシャルエンジニアリングによる返金と正当な返金を区別できず、正規表現は物理的な USB ケーブルと開封済みのソフトウェアライセンスを区別できず、シングルターンのテストスイートは複数のターンにわたってエージェントから搾り取られていく様子を捉えられない。
記事は、Agent Development Kit（ADK） で構築した同じ Customer Support & Returns Agent をそのまま使い、それを Gemini Enterprise Agent Platform にデプロイする。セルフホストのコンテナ基盤と手作業で保守する正規表現リストを、Agent Gateway を通じて適用される 3 つのマネージドな制御に置き換える。Agent Gateway は、ユーザー、エージェント、そのモデル、そのツールの間に位置するランタイムの強制ポイントであり、3 つの制御とは Model Armor、Semantic Governance Policies、Agent Anomaly Detection である。記事は、ビルド時の制御がすり抜けさせてしまう攻撃を 1 件の注文例に対して順に示し、最後に、検出された異常に新しいポリシーで応えるクローズドループの修復で締めくくる。
記事はまた、チェックをプラットフォームへ移すことで、その所有者も変わると論じている。プラットフォームがエージェントのコードの外側でガバナンスを強制するため、ガバナンスはエージェント開発者とは別に、プラットフォーム管理者またはセキュリティ管理者によって定義・管理される。
要点
- 記事の前提は、ゼロトラストのランタイムでは個々のリクエストが正当に見えても攻撃の一部でありうると想定するため、すべてのルールを事前にハードコードすることはできない、というものである。
- Model Armor は、エージェントの推論ループが動き出す前に、イングレスの境界でプロンプトをプロンプトインジェクション、ジェイルブレイク、悪意のある URL について検査するインラインの AI ファイアウォールとして説明されている。該当したリクエストは 403 で破棄されるため、モデルは一切呼び出されず、トークンも消費されない。
- イグレス側では、Model Armor は送信される応答に対して Sensitive Data Protection を実行し、クレジットカード番号やシークレットといったデータを、ゲートウェイを出る前に秘匿化するものとして説明されている。
- 年間ソフトウェアライセンス 120.00 ドルの返金を求める、丁寧で構文的にも問題のないリクエストは、決定論的なゲートをすべて通過してしまう。記事の論点は、リクエストが「software」とは言わずに「Google Workplace user license」と名指ししているため、キーワードマッチングが失敗するというものである。
- Semantic Governance Policies は、LLM ベースの自然言語ポリシーエンジンとして説明されている。提案された各ツール呼び出しとそのパラメーターを、実行前にユーザーのプロンプト、会話履歴、平文で書かれたビジネスルールと照らし合わせて評価し、DENY の判定が出ればその呼び出しを抑止する。
- 記事によれば、Semantic Governance は、エージェントがツールにコード内で直接アクセスするか、API エンドポイントや MCP サーバーを通じてリモートでアクセスするかにかかわらず適用される。
- マルチターンのエクスプロイト(149.00 ドルの注文に対する 20.00 ドルの返金 8 回で、それぞれは個別には許可される)は、シングルターンのガードレールでは見えないものとして示されている。シングルターンのガードレールは各リクエストを個別に評価するからである。
- Agent Anomaly Detection は、統計モデルと LLM による分析を用いて、フリート全体のセッションテレメトリを監視するものとして説明されている。付属デモのローカルな代替実装は、ツール呼び出しの頻度、1 つのエンティティに対する繰り返しの書き込み、パラメーター値の累計を手がかりにしている。記事は、示している検出器の名前、信頼度の値、検出結果の形式は例示的なものだと述べている。
- 修復は、エージェントのコードを変更も再デプロイもせずに完結する。管理者、あるいは API を通じた自動化されたプロセスが、自然言語による新しい制約を作成し、ポリシーエンジンがそれを次のツール呼び出しに適用する。
- 記事は、これらのランタイム制御を第 1 部のビルド時の制御と 1 対 1 で対応するものとして提示しており、それらを置き換えるのではなく多層防御を形成するものだとしている。
背景
この記事は Google のスタッフが Google Cloud の製品について書いたものであり、Model Armor、Semantic Governance Policies、Agent Anomaly Detection に関する主張は、1 件の取引例で実演されたベンダー自身による説明であって、測定された結果ではない。記事は、本番環境ではエージェントは通常 Model Context Protocol やバックエンドの API を通じてツールにアクセスするが、付属デモでは簡単のためにツールをローカルの Python 関数として実装していること、またデモは外部依存なしにローカルで動作することに触れている。記事は 3 つのランタイム制御を、それぞれが他の制御ではカバーできない部分を担うものとして説明している。Model Armor はペイロードをフィルタリングし、ポリシーエンジンは意図について推論し、異常検知は時間の経過に伴う振る舞いを監視する。