Agent Governance Toolkit（AGT）は、本番環境の自律型 AI エージェントを統制するために Microsoft が公開しているオープンソースのツールキットである。掲げられている対象範囲は、エージェント向けのポリシー強制、アイデンティティ、サンドボックス化、サイトリライアビリティエンジニアリングで、単一のパッケージでインストールでき、どのエージェントフレームワークとも併用できる。リポジトリを読んだ時点では Public Preview（一般提供前に破壊的変更を含む可能性がある、本番品質のリリース）とされており、MIT License でライセンスされていた。
このプロジェクトは、エージェントが自律的に行動するようになると運用者が答えられなくなる 3 つの問いを中心に、その目的を組み立てている。ある行動が許可されているのか、マルチエージェントシステムの中でどのエージェントがそれを実行したのか、そして起きたことを事後に証明できるのか、である。プロジェクトは、OAuth スコープや IAM ロールが制御するのはエージェントがどのサービスに到達できるかだけで、接続後に何をするかではないと主張し、5 つのエージェントが 1 つの API キーを共有していれば、「エージェントがやった」というのはインシデント対応として役に立たないと述べている。
AGT の中心的な設計上の主張は、プロンプトレベルの安全性は制御面にならないというものである。リポジトリはこれを確率的なシステムへの丁寧なお願いにすぎないと論じ、プロンプトインジェクションに関して公開されている業界のガイダンス、公開されている適応型攻撃の結果、そして Microsoft 自身のレッドチーミングの取り組みを、モデル層の防御が構造上確率的なものにとどまる証拠として挙げている。AGT はこの問題にプロンプトの中で対抗するのではなく、モデルの意図が外部に送出される前に、あらゆるツール呼び出し、メッセージ送信、委任を決定論的なアプリケーションコードでインターセプトする。そのため、カーネルが拒否する行動は、プロジェクトの言い方を借りれば、単に起こりにくいのではなく構造的に不可能になる。
機能
最小の利用単位は単一のラッパーである。govern() はツール関数と YAML のポリシーファイルを受け取り、統制下に置かれた呼び出し可能オブジェクトを返す。これは呼び出しのたびにポリシーを評価し、判定を監査証跡に書き込み、ポリシーが行動をブロックした場合は GovernanceDenied を送出する。ポリシーは名前付きのルールからなる YAML 文書で、各ルールは条件とアクションを持つ。deny と、名前付きの承認者グループを伴う require_approval の両方が例示されている。より充実した AgentControl API はマニフェストを読み込み、介入ポイントをプログラムから評価して判定を返す。
リポジトリは、ポリシーエンジン、アイデンティティ、監査ログの順に重なる階層型アーキテクチャを説明しており、どの層も任意で、ほとんどのチームはフルスタックを採用せずにポリシー強制と監査ログだけを運用していると述べている。ポリシーエンジンは YAML、OPA、Cedar を受け付け、アイデンティティは SPIFFE、DID、mTLS を通じて扱われる。監査ログは改ざん検知可能とされ、評価ごとに判定記録を生成する。
機能は名前付きのパッケージにまとめられている。Agent OS（ポリシーエンジン、エージェントのライフサイクル、ガバナンスゲート）、Agent Control Specification（Rust のコアを持つ、ステートレスで決定論的かつフェイルクローズドなポリシー判定ランタイム）、Agent Mesh（ディスカバリー、ルーティング、トラストメッシュ）、Agent Runtime（4 つの特権リングにわたる実行サンドボックス化）、Agent SRE（キルスイッチ、SLO 監視、カオステスト）、Agent Compliance、Agent Marketplace、Agent Lightning（強化学習トレーニングのガバナンス）、Agent Hypervisor である。別途挙げられている追加機能には、ツールポイズニング、ドリフト監視、タイポスクワッティング、隠し指示のスキャンを対象とする MCP Security Gateway、プロセス、設定、リポジトリにまたがって未登録のエージェントを見つける Shadow AI Discovery、ガバナンスダッシュボード、12 の攻撃ベクトルを扱うプロンプトインジェクション評価器、そしてプルリクエストの作成者を審査するためのコントリビューター評判 GitHub Action がある。
コマンドラインツール agt は、インストール確認（agt doctor）、OWASP コンプライアンス検証（agt verify。証拠が弱い場合に CI を失敗させる --strict モードを持つ）、プロンプトインジェクション監査（agt red-team scan。最低評価のしきい値を持つ）、そしてポリシーのリントを提供する。
採用状況とエコシステム
AGT は Python、TypeScript、.NET、Rust、Go の SDK を提供している。リポジトリによれば、5 つすべてがポリシー、アイデンティティ、トラスト、監査というコアのガバナンスを実装しており、フルスタックを備えるのは Python であり、Copilot CLI と Claude Code 向けのパッケージは TypeScript SDK 上に構築されたファーストパーティの開発者向けインターフェースである。Claude Code については特に、リポジトリをプラグインマーケットプレイスとして追加し、そのガバナンスプラグインをインストールすることで AGT を導入する。v4.1.0 の時点で、Python 側は 45 個のパッケージから 5 つのトップレベルのディストリビューションに統合され、以前のパッケージ名はリダイレクト用のスタブとして引き続きインストール可能になっている。
フレームワークとの統合は、Microsoft Agent Framework（ミドルウェア）と Semantic Kernel（.NET と Python）についてはネイティブ、AutoGen、LangGraph/LangChain、CrewAI、Google ADK、Mastra についてはアダプター、OpenAI Agents SDK と LlamaIndex についてはミドルウェアとして挙げられており、さらに Haystack、Dify、Azure AI Foundry との統合もある。
このプロジェクトは、文書化された仕様に異例なほど重きを置いている。主要なコンポーネントにはすべて、実装が何を MUST、SHOULD、MAY として行うべきかを定める適合性テストを伴う、RFC 2119 形式の正式な仕様があると述べ、992 件の適合性テストに裏づけられた 10 件の仕様と、29 件のアーキテクチャ決定記録を挙げている。また、OWASP Agentic AI Top 10、NIST AI RMF 1.0、EU AI Act、SOC 2 に対するコンプライアンス対応表も公開している。
リポジトリは 1 つの限界について率直である。AGT がガバナンスを強制するのは OS カーネルではなくアプリケーションのミドルウェア層であり、そのためポリシーエンジンとそれが統制するエージェントは同じプロセスを共有する。そこで、リポジトリ自身の本番環境向けの推奨は、OS レベルの分離のために各エージェントを別々のコンテナで実行することであり、既知の制約を文書化したリストも維持している。