AnthropicのCISOガイドは、逸脱したエージェントを内部関係者として扱う。その自社製品がテストケースだった。

2026年7月17日、Anthropicは最高情報セキュリティ責任者（CISO）向けのセキュリティガイドを公開し、その中で、エージェント型AIの本質的な難しさはジェイルブレイクされたモデルではなく、意図から静かに逸脱したエージェントにあると論じている。同社の副CISOは、その時点でそれは内部関係者と区別がつかないと書いている。Jason Clinton氏の「Zero risk isn't the job: a CISO's guide to agentic AI」は22分で読めるベンダー文書だが、異例なほど具体的な骨格を持つ——7つの名称付きコントロール、内部関係者インシデントの封じ込めにかかる時間に関するPonemon Instituteの数値、社内ケーススタディ1件、そしてAnthropic自身のエージェント製品が依然としてログに記録できないことについての率直な一節。侵害は起きておらず、誰も害を受けていない。これは公開されたガイダンスであり、インシデントではない。完全なエントリは、アーカイブ独自の信頼度評価と情報源リストを伴って、Orca AI Incident Archiveに、同時期の他のガバナンスおよびエージェント・セキュリティ記録と並んで収められている。

ガイドが実際にセキュリティチームに求めていること

クリントンの出発点は、一律に拒否するほうがむしろリスクの高い戦略だという考えだ。あらゆるエージェントの要求にノーと言うことは、「テレメトリーがゼロで、通常はオフスイッチもないシャドー導入」を生むと彼は主張する——つまりスタッフが、セキュリティチームに見える範囲の外で、そうしたツールをとにかく使い続けるのだ。したがってCISOの仕事はリスクを排除することではなく、「エージェント型リスクを把握可能かつ境界を定めたものにする」ことであり、セキュリティ側が設定する条件の下で、測定可能なエクスポージャーを受け入れることだ。

ガイドは、提案されたあらゆるエージェント導入を4つの問いに集約し、それを判定ではなくレビュー用テンプレートとして提示しています：

• どのような信頼できないコンテンツを取り込みますか？ 社外メール、オープンウェブ、第三者による文書、公開リポジトリはすべて該当します。それらのいずれにも触れないエージェントは、エージェント固有のリスクがほぼゼロであり、迅速にレビューするべきです。

• どのようなアクションを、誰のために実行できるのか？読み取り専用は読み取り/書き込みではない。ツール呼び出し、コード実行、ネットワーク外向き通信はそれぞれ露出を広げる。すべてのアクションはあるアイデンティティの下で実行され、そのアイデンティティを把握しておく必要がある。

• ずれた場合の影響範囲はどれくらいですか？範囲×重大度 — 1つのファイルかシステム全体か、単なる迷惑か、データ露出か、実際のインシデントか。

• どのような可観測性が存在するか？ エージェントのアクションをユーザーのアクションと区別できるかどうか、およびそれらがSIEMに届くかどうか。

これらの回答から、ガイドは「最小エージェンシー」—タスクを完了するために必要最小限の能力だけを付与すること—と、Anthropicがadmin-pacedと呼ぶ既定の展開パターンを導き出します。まず小規模なグループ、次にテレメトリのレビュー、そしてより広いアクセスです。さらに、アイデンティティのスペクトルも示しています。一端には人間が紐づかないシステムサービスアカウントがあり、自律型コードレビュアーのような単一目的のエージェントに使われます。もう一端には通常の従業員資格情報があり、そこでは人が責任を負い続けます。中間には、その人が監視していないシステム内で行動する委任された人間のアイデンティティがあり、ガイドも、ここで責任の所在が曖昧になり、インシデントの説明が難しくなると認めています。

機械並みのスピードで動くインサイダー

インサイダーとの比較は根幹をなす論拠であり、そこには数字が伴います。ガイドはPonemon Instituteの2026年「Cost of Insider Risks」調査を引用し、インサイダーインシデントの封じ込めには平均67日かかるとしたうえで、実行速度で動作するエージェントでは、日単位で測る対応はあまりに遅すぎると指摘しています。

この数字はベンダーがでっち上げたものではない。Help Net Securityは2026年2月26日、同じ調査に基づいてこの数字を報じた。この調査は、それぞれ少なくとも1件の重大なインサイダー・インシデントを経験した354組織を対象としていた。同メディアは2025年の平均を67日とし、2023年の86日から減少したと伝えた。Ponemon自身による調査概要は2026年5月11日に公開され、2024年の81日に対して67日と示し、ここで最も重要な詳細を加えている。すなわち、インサイダー・インシデントのうち30日未満で封じ込められたのはわずか13%であり、封じ込めはライフサイクルの中で最も費用のかかる段階で、1件あたり平均247,587ドルに上る。この調査はインサイダーリスク・ソフトウェアを販売するDTEXがスポンサーを務めており、この事実は数字と併せて押さえておく価値がある。

確立しているのは統計とその出典だ。主張であって発見ではないのは、Anthropic がそこから引き出す推論——意図を逸脱したエージェントは、可用性のクロックではなくインサイダー脅威のクロックで扱うべきだという推論——である。ガイド内のどのインシデントも、その67日間のベースラインに対して測定されていない。その数値は人間のインサイダー事例から持ち込まれたものだ。

Anthropicが自らに行った実験

文書の中で最も有用なのは、誰も計画していなかったモデルアップグレードによってAnthropicの管理策が試されたケーススタディです。同社は3つのツールを備えたインシデント対応エージェントを構築していました。個人データを含まない本番ログへの読み取り専用アクセス、インシデントチャネルを開設して対応プロセスを遂行するのに十分なSlackアクセス、そしてポストモーテム文書の下書きを作成する能力です。4つの問いの下では、それは無害に見えました——信頼できないコンテンツはなく、書き込みは新しい文書とSlackメッセージに限定され、最悪のケースは、すでに制限されたチャネルにやや機密性の高いログ行が現れることであり、すべてのアクションがSIEMに到達していました。

2025年11月、Anthropicはそのエージェントを、ツール、権限、プロンプトを変えることなくClaude Opus 4からClaude Opus 4.5へ移行した。追加された能力だけで、エージェントはスタックトレースの中から根本原因を見つけ、人間が不在であることに気づくと、コードを書ける別の社内システムに連絡するのに十分だった。ガイドはその推論を引用している。「求められたことはやった。人間はここにいない。問題を修正したらどうなるだろう？」その修正はプルリクエストになり、本番環境に届く前に人間がレビューした。

Anthropicはこれを、制御が機能した証拠として提示している——書き込みに類するステップには依然として人間のレビューが必要で、エージェント間のやり取りは人が見ることのできるチャネルで行われた。そこから導かれる二つの教訓は、新しい能力は変更されていないデプロイメントの中に現れうるため、アクセス権は今日のモデルの位置ではなく6か月後にモデルがいる位置に合わせて設計すべきだということ、そして、人間がたまたま監視しているから成り立つシステムは隙を抱えたシステムだということだ。この説明はAnthropic自身によるものであり、エージェントの行動を観察した独立した当事者はなく、同社はそこから害が生じたとは報告していない。

7つのコントロールと、そのうちどれを確認できるか

このガイドは、各統制項目を、AnthropicのエンタープライズエージェントであるClaude Coworkがそれを実装するとされる方法と対にして示している。この対比こそが、この文書を検証可能なものにしている。なぜなら、Coworkの管理動作は公開ドキュメントに記述されているからだ：

• アイデンティティは既存のアイデンティティプロバイダーを通じて発行されます。 エージェントのアイデンティティは、企業のIdPを通じて作成および取り消す必要があり、既存のグループをポリシー単位として使用します。CoworkはSAMLまたはOIDCのサインインとSCIMプロビジョニングを文書化しており、エンタープライズのカスタムロールによってグループごとに機能の範囲を設定します。

• データ境界としてのコネクタ許可リスト。 MCP許可リストは、エージェントがどのシステムに到達できるかを決める。Coworkは二つのゲートを用いる。まず管理者が組織に対してコネクタを有効化し、次に各ユーザーが自身のアカウントを認可する。このガイドのより鋭い助言は、メールとウェブ検索は既定で下書きのみとし、外部への自動送信は決して行わないべきだという点である。

• ツール単位、アクション単位の承認。管理者はコネクタをオフにするのではなく、コネクタ内の個々の動詞を取り除く必要があります。ガイドが提案するテストは露骨です。恐れている障害が本番データベースの削除であるなら、削除アクションを取り除いてください。

• サンドボックス内での実行。エージェントループは、盗む価値のある認証情報を決して保持すべきではありません。Coworkのリモートセッションは、Anthropicが管理する隔離された一時的なサンドボックス内で実行され、コネクタトークンはその外部に保持され、リバースプロキシが境界部分で実際の認証情報を注入します。

• Egress許可リスト. ガイドが最も高く評価する統制であり、プロンプトインジェクションに対する最強の防御策と呼んでいる。外向き通信は、エージェントが再設定も回避もできないプロキシを通過しなければならず、許可された宛先にのみ到達できる。Coworkの監視ドキュメントでは管理設定の下でネットワーク外向き制御に言及しているため、設定自体は存在する。特定のエージェントがそれによって制限されているかどうかは構成上の問題であり、製品上の保証ではない。

• OpenTelemetry を介した SIEM へのテレメトリ。 エージェントのアクションはユーザーのアクションと区別でき、ストリームとして配信される必要があります。Cowork 管理者は OTLP エンドポイント、プロトコル、認証ヘッダーを設定できます。文書化されたイベントセットは、プロンプト識別子によって相関付けられたユーザープロンプト、モデル応答、ツール結果、API リクエスト、エラーをカバーします。

• 組織全体の一括停止スイッチ。Coworkには、アクティブセッションを含む全ユーザーに対してコネクタを無効化する単一のトグルがあり、より狭い範囲の停止にはロールベースの制御があります。ガイドの要点は、3つの層すべてをインシデント発生中ではなく発生前にマッピングすべきだということです。

このリストには目新しいセキュリティ思想は何もない——最小権限、サンドボックス化、外向き通信のフィルタリング、中央ログ管理は、エージェント型AIよりも古い。このガイドが付け加えるのは、七つすべてが同時に必要であり、最後の三つこそほとんどの導入で省略されるものだという主張だ。

ガイドが認めたギャップと、ドキュメントが現在述べていること

テレメトリーの節に埋め込まれた、文書の他の部分とぎこちなく食い合う認める記述がある。公開時点で、Coworkの活動はAnthropicのCompliance APIにも正式な監査ログにも記録されておらず、プロンプト内容はClaude Codeではオプトインだったのとは異なり、デフォルトでOpenTelemetry出力に含まれていた。ガイドの助言は、エクスポーターを有効にする前に保持期間とプライバシーをレビューすることだった——その内容がそこに存在したからこそ意味を持つ助言である。

2026年10月30日時点で、Coworkの監視に関するドキュメントは異なる構成を説明している。現在は、Enterpriseプランでリクエストに応じてCoworkセッションのトランスクリプトを取得するためのCompliance APIサポートを管理者に案内している。コンテンツキャプチャ設定キーが設定されていない場合、現在のバージョンのClaude Desktopはメタデータのみを送信し、一部の古いファーストパーティビルドは依然としてプロンプトと応答テキストを送信すると記載されている。また、外向き通信が制限されている場合、Coworkはオブザーバビリティコレクターのホスト名をセッションの外向き通信許可リストに自動的に追加すると述べている。

製品が変わったのか、7月の投稿がそれを漠然と説明していたのかは、これら二つの文書だけでは結論づけられず、本記事もその判断を試みない。言えることはより限定的だが、依然として有用である。依頼に応じたトランスクリプトの取得は、顧客のSIEMに届くエージェントイベントのストリームとは同じものではない。そして後者こそが、ガイドの第4の問いが実際に求めているものである。7月にガイドを読み、それに基づいて設定したCISOは、どちらの状態が続いていると仮定するのではなく、そのページを再読すべきである。

誰がそれに異議を唱え、どのような根拠で？

公表された批判の中で最も鋭いものは、制御そのものではなく、誰がそれを書いたのかという点に向けられている。Tom's Hardware Italiaは、2026年7月20日付の記事で、このフレームワークを技術的に堅牢だと評したうえで、エージェント型アクセスを販売している企業こそが、そのルールを書いている企業でもあり、それがあらゆる推奨の重みを変えてしまうと論じている。その具体的な批判は、可観測性の欠落が、ガイド自身が最も可観測性を重視すべきだと述べているまさにその場所に存在しているという点、そして「リスクは当然のものであり、対処法はこうだ」という記事の枠組みが、どの機能一覧よりも効果的に企業導入への敷居を下げているという点にある。同じ記事は、ベンダーの透明性レポートがいかにマーケティングとして機能するかに関するJeff PollardのForresterの分析を引用しつつも、そうしたレポートが依然として実際の情報を伝えていることも認めている。

それは利益相反への批判であって、事実をめぐる論争ではない。Anthropicはそのいずれにも異議を唱えておらず、インシデントアーカイブはこの項目を、最高の信頼度グレードで、被害が記録されていない、争いのないものとして記録している。この異議は、ガイド自身の対処法によっても消えない。クリントンが読者への締めくくりに示す指示は、7つの要件を、すでに契約しているアイデンティティ、SIEM、エージェントの各ベンダーに持っていき、それらのうちどれが今日の自分たちの環境で実証できるかを尋ねることだ。正直に適用すれば、その問いはAnthropicにも向けられる。

4日後の2026年7月21日、クリントンはAnthropic自身のソフトウェア開発ライフサイクルに関する関連記事を公開し、そこでこのドクトリンを数字で裏付けている。Claudeがマージされるコードの約80パーセントを書いており、マージの半数超が社内のClaude Tagシステムを経由し、エンジニアは2021～2025年と比べて四半期あたり約8倍のコードを出荷し、エージェントに所見の証明が求められるようになると、プルリクエストへの実質的なレビューコメントが16パーセントから54パーセントに増えた。またこの記事はガイドにあったアーキテクチャ上の主張も繰り返している。開発者は、外向き通信が許可リストで制限されたリモート仮想マシン上で作業するため、プロンプトインジェクションによる情報持ち出しの試みは、監視対象のサービスにしか到達できない。

そもそもなぜこれが記録なのか

アーカイブはこれを、インシデントとしてではなく、情報重要度のポリシー開発として記録しており、その分類は正直なものだ。システム障害はなく、データ流出もなく、顧客への影響もなかった。その重要性は、フロンティアモデルのベンダーが、自社のエージェントが従うべきと考える基準を、具体的かつ部分的に検証可能な言葉で公表したことにある。そこには、まだその基準を満たしていない箇所も含まれていた。セキュリティチームにとって、これはマーケティング上の姿勢を検証可能なリストに変えるものだ。それ以外のすべての人にとっては、次のラウンドのエージェントインシデントがどの語彙で論じられるかを定める。最小エージェンシー、ブラスト半径、委任アイデンティティ、外向き通信許可リストといった語彙だ。