2．利便性と統制のギャップ

AIエージェントは、外部ツールの呼び出し、複数システムとの連携といった従来の生成AIよりも実務に近い作業を自律的に進められます。一方で、その利便性により新たな統制課題も生まれます。AIセーフティ・インスティテュート（AISI）が公表した「AIセーフティに関する評価観点ガイド（第1.20版）」（※1）でも、AIエージェントシステム特有の評価観点として「観測と制御」が追加され、自律的な挙動や外部環境との相互作用をどのように評価するかが重要な論点になっています。

NTT DATAでは、最新のAIリスクに関する30本以上の論文をもとに、AIエージェントに関するリスクを整理し、その全体像を図2に示しています。リスクは複数の領域にまたがっており、具体的には攻撃者に悪用される可能性のある箇所（攻撃対象）の拡大、権限設定や評価設計に起因する運用・設定ミス、モデル内部状態の不透明性、LLMの特性に由来する不安定さなどのリスクが確認されています。AIエージェントのリスクの詳細については、過去記事（※2）でも整理していますので、併せてご覧ください。

図2：AIエージェントリスクの全体像

たとえば、プロンプトインジェクションやメモリ汚染により、エージェントが逸脱した出力をする可能性があります。また、運用・設定ミスによる権限の奪取により、過剰な権限を持つエージェントがツールを誤用したり、意図しないデータや機能へアクセスしたりしかねません。さらに、エージェント同士の相互作用によって新たな脆弱性が生じたり、タスクや処理が自己増殖的に拡大したりすることで、誤った判断や不適切な出力が連鎖し、影響範囲が広がるリスクもあります。

特にAIエージェントでは、判断過程や内部状態の可視性が低下することにより、どのような権限で、どの情報を参照し、どのような根拠で操作を実行したのかを事後的に確認しにくい場合があります。その結果、責任の所在や停止判断のタイミングが不明確となりかねません。さらに、個人契約で利用されるAIエージェントの普及により、組織が把握・管理していないAIエージェントの利用が増加することが想定されます。前述したリスクが組織の管理外で顕在化する可能性が高まるため、シャドーAIへの対応も今後の重要な課題です。

3．ガーディアンエージェントとは

AIエージェントの利用における利便性と統制のギャップを埋める仕組みとして注目されているのが、ガーディアンエージェントです。従来は、AIへの入力や生成された出力を対象とした制御が中心でしたが、ガーディアンエージェントは、外部ツールの呼び出しや複数ステップの処理を含む、AIエージェントの実行中の振る舞いそのものを監視・制御する役割を担います。

Gartnerは、ガーディアンエージェント（Guardian Agent）を、エージェントの利便性と生産性の利点を保ちながら、AIの使用に対する制御を維持するためのメカニズムとして位置づけています（※3）。ガーディアンエージェントの機能は次の3タイプに分類されます。

• Reviewer：AIによって生成された出力およびコンテンツを特定し、その正確性および許容可能な利用であることをレビュー
• Monitor：AIおよびAIエージェントによるアクションを観測・追跡し、人またはAIによるフォローアップを行う
• Protector：運用中に、自動化されたアクションを用いて、AIおよびAIエージェントによるアクションおよび権限を調整またはブロック

ガーディアンエージェントを導入し、設定監査と実行時の監視・制御を組み合わせることにより、企業内AIエージェントのライフサイクル全体を通じたガバナンスとリスクマネジメントを実現できます。

4．ガーディアンエージェント最適構成の探索

NTT DATAでは、ガーディアンエージェントの最適構成を探索するにあたり、OWASP Top 10 for Agentic Applications for 2026（※4）と当社で整理したAIエージェントリスク管理ガイドの考え方に基づき、ガーディアンエージェントの3タイプを実現するために必要な要素を6つのコンポーネントに整理しています。これら6つの要素は、入力・文脈の検査、権限制御、判断証跡の記録、操作と影響の事前確認など、それぞれ異なる役割を担います。

図3：ガーディアンエージェントの構成図

• 1．Prompt & Memory Scanner
  プロンプトインジェクションやメモリ汚染のように、入力や文脈が改ざんされるリスクに対して、不正な指示や汚染された記憶を検査します。
• 2．Tool / Function Authorization
  ツールやAPIの誤用、過剰権限、外部連携の悪用を防ぐため、利用可能な機能や権限を確認し、不適切な呼び出しを抑制します。
• 3．Policy Enforcement Engine
  エージェントが目的から逸脱したり、保護対策を回避したりする場合に、組織ポリシーに基づいて出力や行動を制御します。
• 4．Decision Audit Logger
  エージェントの判断がブラックボックス化するリスクに対して、入力、出力、ツール利用、判断の証跡を記録し、後から追跡できる状態を作ります。
• 5．Impact Simulator
  重大な操作や不可逆な処理を行う前に、業務・セキュリティ・法務面の影響を予測し、必要に応じて人による確認につなげます。
• 6．Compliance Logic Executor
  エージェントの行動や判断が、社内規程、法令、業界ルール、組織ポリシーに適合しているかを評価し、必要な制御を適用します。
  この6つの必要機能と3タイプの関係は、表のとおり整理されます。

表：ガーディアンエージェントの3タイプと6つの必要機能の関係
※「Reviewer」「Monitor」「Protector」の3タイプは、Gartner（※3）が示す分類です。

ただし、ガーディアンエージェントは、AIセキュリティ全体を単独で解決する仕組みではありません。AIエージェントは、アーキテクチャ設計、ID・アクセス管理、データ保護、ツールやAPIのガバナンス、組織ガバナンスなど、複数の統制領域にまたがって動作します。そのため、AIエージェントの安全な活用には、多層防御の考え方が前提となります。Identity and Access Management（IAM）、Data Loss Prevention（DLP）、ネットワークセキュリティといった既存の統制は引き続き重要です。そのうえで、ガーディアンエージェントは、従来の統制だけでは十分に対応しにくい、AIエージェント固有のリスクや運用上のギャップを補完する役割を担います。

5．ガーディアンエージェント関連製品の現在地

現時点では、ガーディアンエージェント関連製品は、AIエージェントの可視化、棚卸し、利用状況監視、リスク検知といったReviewer／Monitor領域から実装が進んでいます。一方で、危険な行動を即時に停止する、権限を動的に制御する、逸脱したエージェントを自律的に隔離するといったProtector領域は、まだ製品ごとに対応範囲の差が大きいのが実情です。市場全体としては発展途上にあります。

大手プラットフォーマー各社では、AIエージェントを企業内で一元管理する統制基盤の整備が進みつつあります。エージェントの台帳管理、可視化、権限管理、監査、データ保護、運用管理などを統合し、企業内のAIエージェントを横断的に管理する方向性が示されています。

一方、専業ベンダーの領域では、AIエージェント固有のリスクに着目した機能開発が進んでいます。SaaS、クラウド、MCP（Model Context Protocol）サーバー、ツール呼び出し、コーディングエージェントなどを対象に、設定・権限・実行時挙動を横断的に評価し、危険な操作を実行中に検知・制御するランタイム制御を重視する動きが見られます。

今後は、これまで述べたリスクへの対策として、単一エージェントの制御にとどまらず、マルチエージェント間の連携制御が不可欠です。さらに、各国・地域でAI安全基準や規制枠組みの策定が進むことで、AIエージェントの観測と制御を担う「ガーディアンエージェント」の普及が加速すると考えられます。

6．NTT DATAとしての展望

企業がAIエージェントを安全に活用し続けるには、単に利用を制限するのではなく、どこで、誰が、どの目的で、どの権限を持つAIエージェントを利用しているのかを継続的に把握し、リスクに応じて管理する仕組みが求められます。

NTT DATAでは、AIエージェントを安全に使い続けるための管理・統制のあり方について、技術動向の調査、実機検証、実務適用の観点から整理を進めています。今後も、発展を続けるAIガバナンス領域において、企業がAIエージェントを活用する際の課題や対応策を継続的に整理し、発信していきます。