問題は、エージェントの次のリクエストです
AI エージェントとは、何かを読んだうえで次の行動を決めるプログラムです。その性質こそが有用さの源ですが、 同時に次のネットワークリクエストを、読ませた側の手の届く場所に置くことにもなります。
これは今年の話題になってから後付けしたものではなく、最初から設計対象でした。ポリシーは識別情報に対して 書きますが、ここでの識別情報には NHI（非人間識別情報）、AI エージェント、MCP、Tool 実行の委任が 含まれています。
いまの制御は、そのほとんどがエージェントの内側にある
実際に使われている制御は、どれも良いものです。呼べる関数や MCP サーバを決めるツールの許可リスト。 影響の大きい操作の前に挟む確認。そしてガードレール、多くの場合は別のモデルによるテキストの検査。 素朴なものは一つもありませんし、このページはそれらを否定していません。
指しているのは、3つに共通する構造上の性質です。いずれもエージェント自身のスタックの内側で 動いています。許可リストを強制しているのはフレームワークであり、確認画面を描いているのは 同じプロセスであり、ガードレールは同じ種類の入力を読むモデルです。つまり 操作される対象と同じ側の信頼境界に置かれています。作りが悪いという話ではありません。 置かれている場所の話です。
ツールの許可リストは、到達範囲の一覧ではない
これが具体的な形で、自分の配備に照らして確かめる価値がいちばんある部分です。許可リストが決めるのは エージェントが何を呼べるかであって、エージェントがどこまで届くかではありません。
シェル、コードインタプリタ、ブラウザ操作、あるいは HTTP リクエストを出せるツールが1つでもあれば、 実際の到達範囲は許可リストではなく、そのエージェントが動いているホストがネットワーク的に 届く先すべてです。サブプロセスはフレームワークのポリシーに縛られません。その呼び出し経路に フレームワークがいないからです。許可リストと影響範囲は別の集合で、 書き出されているのは片方だけです。
ですからエージェントについて有用な問いは、たいてい「だませるか」ではありません。だませる前提で考えて、 「だまされた日に、どこまで届くのか」を問うほうが役に立ちます。 そしてこの問いに答えるのはフレームワークではなく、ネットワークです。
エージェントの外側にある制御点は、そのためにある
Edge は、エージェントの自己申告を読みません。通信を見て、識別情報・端末・ポスチャ・ポリシーに照らして 判定します。他のあらゆる通信と同じ扱いです。どのフレームワーク、どのモデル、どのツールが生んだかにも、 そのツールが誰かの一覧に載っていたかどうかにも関係ありません。egress は egress です。
プロンプトインジェクションは、最初の一歩が新しいだけの横展開です
形は見慣れたものです。攻撃者が影響を与えられる何かが、誰も意図していない次のホップを生む。 端末上では侵害されたプロセスが隣に手を伸ばすことであり、エージェントでは汚染された文書が 社内 API へのリクエストを生むことです。段階は同じですし、答えも同じです。 次のホップには許可が要る。そして既定では許可されていない。
そのために実際に作ってあるもの
- 非人間識別情報が一級の主体です（
nhi、agenttool）。 借りたトークンの持ち主である人間についてではなく、エージェントそのものについて ポリシーを書けます。 - 委任された権限は、明示的で、永続化され、失効できます（
delegatedgrant）。 誰かの代理で動くエージェントは、記録として存在する委任の下で動き、その記録は取り消せます。 - step-up 承認は帯域外で行われます（
humanapproval）。 上の節にそのまま答えるのがこれです。プロセス内の確認は、操作された当のスタックが要求しています。 こちらは違います。エージェントが何を読むかを支配している攻撃者が、それによって答えまで 支配することにはなりません。 - 社内システム間のホップは、ひとつずつ認可されます（
eastwest）。 すでに内側にいる機械からエージェントが出すものも含めてです。 - 応答しなくなったエージェントは遮断されます（
revocation）。 黙ったから問題ない、とは扱いません。 - すべての判定が監査に残ります。エージェントが予想外のことをしたとき、 「何に届こうとしたのか、いつか」に答えが出ます。しかもエージェント自身の自己申告に 依存しない答えです。
これが解決しないこと
エージェントがだまされること自体は止められません。ネットワークの側では原理的に無理です。 だますのはモデルの文脈の中で起きることで、リクエストが生まれた時点で説得はすでに終わっています。 プロンプトインジェクション対策としてネットワークの強制を売る相手がいたら、それは層を間違えています。
できるのは、だまされたエージェントがどこまで届くかを絞ることと、何に届こうとしたかを残すことです。 このサイトの他の主張と同じ形です。問題の一段階を名指しし、隣の段階はそれを担う道具に委ねます。