何が起きたか

VentureBeatに掲載されたNutanixのスポンサード記事で、同社プロダクトマネジメント担当シニアディレクターのOscar Wahlberg氏が、エージェンティックAIを本番環境で運用するためのセキュリティ設計を示しました。骨子は「単一の対策では守れない」という主張と、インフラ層・ネットワーク層・コントロールプレーン層という3層への責務分割です。各層は別カテゴリのリスクを担当し、同じ制御をスタック全体で重複させません。単一のセキュリティ製品やベンダーだけでは成立しない、というのが前提に置かれています。

なぜ重要か——「悪意」ではなく「善意の誤作動」が主戦場

最も本質的な指摘は、プロンプトの悪意を検知するガードレールでは足りない、という点です。Wahlberg氏は、正規に付与された認証情報をエージェントが「まったく別の用途」に使い、データベースを誤って削除したり機微データを漏らしたりするケースを挙げます。つまり脅威モデルの中心が、外部からの攻撃だけでなく正規権限を持つ自律主体の暴走に移っている。推論し、判断し、実行まで行うシステムに対して、アプリケーション層の制御はそもそも設計されていなかった、という整理です。

これは監査・内部統制の観点で読むと意味が変わります。従来のアクセス制御は「人が申請し、人が承認する」前提で組まれていますが、エージェントは秒単位で他エージェントやAPIを呼び、必要なら別のエージェントを起動します。承認の粒度と実行の粒度がずれる。ここが埋まらない限り、PoCは通っても本番の稟議は通りません。

3層の役割分担

インフラ層は「誰がこの環境で動いているのか」に答える信頼の起点（root of trust）を作ります。プラットフォーム構成証明（attestation）、コンフィデンシャルコンピューティング、セキュアブートで、要求が正規のエージェントから来たのか、なりすましかを検証する。金融など規制産業ではAI本番ワークロードを隔離し、エージェントも環境も割り当てられた範囲の外で動けないようにします。守る対象はモデルやランタイムの改ざん、サプライチェーン侵害、機微なAIワークロードへの不正アクセスです。

ネットワーク層が扱うのは、エージェント同士・API・業務システム間で発生する動的で並行的な通信です。従来の静的なネットワーク設定はこれを想定していません。制約のないエージェントが際限なくAPIを叩き、データソースを照会し、さらにエージェントを増やせば、東西トラフィックが膨張し、その中に横展開（ラテラルムーブメント）やデータ持ち出しが紛れ込みます。Nutanixの回答はAgent Gateway（Nutanix Agentic AI solutionの一部）で、ゼロトラストセグメンテーション、マイクロセグメンテーションのNutanix Flow、そしてCisco Secure AI Factoryとの統合で挟み込む構成です。Wahlberg氏は「AIエージェントをネットワークアイデンティティの新しいクラスとして扱い、明示的に許可された相手としか通信できないようにすべき」「硬直した静的ルールから動的なポリシー適用へ移行する」と述べています。物理面ではNutanixソフトウェアがCisco UCSサーバーやCisco AI PODsと統合し、コンピュート・ストレージ・ネットワークをターンキーで提供します。

コントロールプレーン層は「頭脳」と位置づけられ、エージェントの権限、ツールアクセス、リソース消費、ランタイム可視性を一元管理します。Agent Gatewayは異なるモデルやツールに対する統一エンドポイントとして機能し、IT部門はエージェントを単一の制御点に向けて設定できる。管理者はモデルやMCPツールへのアクセスを観測・監査・制御し、特権アクセスにゲートをかけます。ここが押さえるのは権限の悪用、暴走エージェント、未承認ツールの利用、データ漏洩、そしてエージェントがランタイムループにはまったときの過剰なトークン消費です。

最大の設計ミスは「1つのモデルを全層に引き伸ばすこと」

Wahlberg氏が挙げる最大のアーキテクチャ上の誤りは、単一のセキュリティモデルをAIスタック全層に適用できると思い込むことです。結果として、エージェントを止めてしまうか、重要な穴を開けたままにするかのどちらかになり、加えて性能劣化と運用摩擦が生じます。氏の言葉を借りれば、責務を適切な層に割り当てないことで統制上の死角が生まれ、「モデル出力は守ったがエージェント間のデータ漏洩を見逃す」「ネットワークは守ったが、エージェントがループにはまってトークンを激しく燃やしていることを把握するコントロールプレーンの可視性がない」という事態が起き���す。

逆に言えばフルスタックで守れていれば、モデル層の脅威が初段フィルタをすり抜けても、ハードウェア由来の信頼、ネットワーク隔離、エージェント層のアクセス制御がエージェントを拘束し続けます。3社の分担も明快で、Intelはコンピュートの供給とハードウェアルートの信頼・コンフィデンシャルコンピューティングによる実行環境の保護、加えてアクセラレータでのコスト低減を担い（AMX内蔵のIntel Xeon 6プロセッサは、高価なGPUだけに頼らずAI推論を効率化する例として挙がっています）、Ciscoが安全なファブリックで通信を包み、Nutanixがソフトウェア基盤と中央のコントロールプレーンで権限・可視性・コスト統制を強制します。

過小評価されているのはコントロールプレーン

Wahlberg氏は、企業が現在最も過小評価しているのはコントロールプレーンだと言います。真のコントロールプレーンは初期導入で終わらず、継続的な可観測性と厳格なトークンガバナンスでDay 2運用を簡素化するものだ、と。そして近い将来、組織は数個のユースケースから数千のエージェントが自律的に動く段階へ移る——だからこそ、エージェントIDとツール権限、トークン予算をリアルタイムで管理する中央ガバナンス層を「今日から」作れ、というのが結論です。

なお本記事はNutanixが提供するスポンサード記事であり、VentureBeatは金銭的関係のある記事を常に明示する方針を取っています。ポジショントークである点は差し引いて読む必要がありますが、「トークン消費もセキュリティ指標である」という整理は、ベンダーを問わず持ち帰る価値のある視点です。

💼 事業会社視点：これは自社にどう効くか

日本企業の実務に引き直すと、効くのは3点です。第一にAI-BPRの稟議が変わる。エージェントに実行権限を与える案件は、これまでのSaaS導入審査（SOC2確認とSSO連携）では通せません。情シスとリスク管理部門に「エージェントIDの棚卸し」を新しい管理対象として今期中に追加すべきで、遅れるほど現場のシャドーエージェントが先行します。第二にコスト統制がセキュリティ課題に昇格する点。ループにはまったエージェントのトークン浪費は、従来なら経理が翌月に気づく事象ですが、Wahlberg氏はこれを可視性の欠落として扱っています。ECやSaaS事業者は、エージェント単位のトークン予算とアラートをKPIダッシュボードに載せるのが現実的な第一歩です。第三に受託開発・SIerには商機と地雷が同居します。Cisco UCS／AI PODsとNutanixの組み合わせのようなターンキー構成は、オンプレ資産と規制要件を抱える金融・製造の案件で刺さる一方、「モデル選定とプロンプト設計」だけを売るPoC屋は数千エージェント時代に価格競争へ落ちます。役員が今週動くなら、社内で稼働中のAIエージェントが何にアクセスできるかを1枚にし、権限が用途を超えている箇所を数えることです。3層のどこが空いているかは、その表を見れば分かります。