Google ADKのゼロトラストAIエージェント設計を読む

短い要約

Google Developersが公開したAgent Development Kitのゼロトラスト解説は、AIエージェントを単なる賢いプロンプトではなく、本番システムとして扱うべきだと示しています。サポートと返金を行うエージェントの例では、重要な書き込みに署名を付けること、不信なコードをサンドボックスで動かすこと、入出力をテスト可能なポリシーで検査することが説明されています。AIツールを選ぶチームにとって重要なのは、モデル性能だけでなく、検証できる identity、制限された実行、監査ログ、prompt injection に耐える制御があるかです。

いま重要になる背景

AIエージェントはデモから、サポート窓口、IDE、社内ダッシュボード、運用、決済に近い業務へ移っています。返信案を作るだけなら人が確認できます。しかし返金を承認し、ファイルを変更し、社内APIを呼び、顧客データを使って回答するなら、通常の本番ソフトと同じ安全設計が必要です。Googleの記事 https://developers.googleblog.com/build-zero-trust-ai-agents-with-googles-agent-development-kit/ は、この問題を抽象論ではなく具体的な構成として示しています。

ゼロトラストとは、一つの境界を信用しない考え方です。システムプロンプトは役に立ちますが、悪意ある指示はチケット、文書、Webページ、ファイル名、ツール出力に紛れます。モデルは推論できますが、お金、データ、identity、コード変更に関わる部分では、実行基盤が制限を強制しなければなりません。

参考にしたい設計原則

第一の原則は、意図と権限を分けることです。エージェントが返金すべきだと判断しても、最終的な書き込みは特定のサービスidentityで署名され、受け側サービスが検証するべきです。これにより、どのエージェントが、どのワークフローで、どの操作を行ったか追跡できます。

第二の原則は隔離です。エージェントはコード片を実行し、ファイルを変換し、外部ツールを呼ぶことがあります。それでもホスト上で広い権限を与えるべきではありません。サンドボックスは、生成コードの失敗や悪意ある入力の影響範囲を小さくします。

第三の原則は意味を理解する防御です。ドメインや拡張子だけを見るのでは足りません。返金額が上限を超えるか、回答が個人情報を含むか、コマンドが破壊的か、ツール呼び出しが依頼範囲を超えるかを確認する必要があります。この種のルールはCIでテストできる形にするべきです。

ツール選定への影響

https://www.bttc.site/software でAIコーディング支援や自動化ツールを比較する場合、安全性の証拠をチェックリストに入れてください。独立したサービスidentity、スコープ付き認証情報、人間の承認、サンドボックス実行、監査ログ、エクスポート可能なポリシー、明確なドキュメントがあるかを確認します。見栄えの良いデモでも、すべてが個人トークンで動くなら本番業務には危険です。

小さなチームでも同じ考え方を使えます。エージェントが触れるリポジトリ、クラウドアカウント、文書、支払いシステムを決め、高リスク操作は人間のレビューに残します。判断とツール呼び出しのログを保存し、関連するAIツール動向は https://www.bttc.site/blog でも確認できます。

導入チェックリスト

まず、エージェントができる操作を列挙します。文書を読む、コードを検索する、チケットを作る、ファイルを編集する、コマンドを実行する、メッセージを送る、支払いを承認する、APIを呼ぶ、などです。それぞれを取り消しやすさと影響範囲で分類します。公開FAQの参照は低リスクですが、請求、認証、本番設定、顧客データの変更は強い制御が必要です。

次に、狭いidentityと短命の認証情報を使います。開発者個人のトークンを全ワークフローに使い回してはいけません。ネットワーク、ファイル、メモリ、実行時間を制限します。最後に、prompt injection、機密データ要求、破壊的コマンドを含む回帰テストを用意します。目的はモデルを完璧にすることではなく、危険な動作を安全に失敗させることです。

よくある質問

強いシステムプロンプトだけで十分ですか？

いいえ。プロンプトは指示であり、安全境界ではありません。重要操作にはスコープ付き認証情報、署名、サンドボックス、承認、監査が必要です。

Googleの解説から何を学ぶべきですか？

モデルの推論と運用上の権限を分けることです。エージェントは提案できますが、実際に起きることはサービスとポリシーが強制します。

ソフトウェア選定にどう役立ちますか？

identity、ログ、権限境界、安全な実行、ポリシーテストを確認する具体的なチェックリストになります。

運用時に見落としやすい点

導入後に重要になるのは、誰がポリシーを更新し、誰が例外を承認し、どのログをどれくらい保存するかです。AIエージェントは便利なので、最初は小さな権限でも、時間とともに多くのツールへ接続されがちです。毎月、接続先、権限、失敗ログ、承認された例外を見直すだけでも、影の自動化を減らせます。

もう一つの注意点は、ユーザー体験と安全性を対立させないことです。高リスク操作だけを止め、低リスクの検索や要約は速く実行できるようにすれば、開発者や運用担当者はルールを回避しにくくなります。よいゼロトラスト設計は、すべてを禁止する設計ではなく、危険な操作ほど証拠と承認を求める設計です。

また、エージェントを評価するときは、管理画面だけでなく失敗時のふるまいを見る必要があります。署名検証に失敗したとき、ポリシーに合わない出力が出たとき、サンドボックスが時間切れになったとき、ツールは安全に停止するでしょうか。ユーザーに説明可能なエラーを返し、ログに十分な情報を残し、同じ操作を無制限に再試行しないことが重要です。

最後に、ベンダーの説明をそのまま信じるのではなく、小さな検証環境で試すべきです。テスト用のチケット、偽の顧客データ、危険なコマンド例を用意し、権限と監査が期待どおりに働くか確認します。この作業は時間がかかりますが、導入後の事故対応よりはるかに安く済みます。さらに、評価結果を文章として残せば、将来別のエージェント製品を比較するときにも再利用できます。権限、ログ、サンドボックス、承認の四点を共通形式で記録しておくと、流行の機能名に惑わされず、実際に運用できるかを判断しやすくなります。

まとめ

ゼロトラストAIエージェントは自動化を止めるためのものではありません。署名、サンドボックス、ポリシー、監査によって、自動化を実業務に使えるほど安全にするための設計です。