Microsoftの防御AIが公開プレビューに 攻撃役・調査役・修復役の三分業

所属テーマ

AIセキュリティと防御運用統制と権限設計エージェントの常駐化

確認できた事実

Microsoftは7月27日、エージェント型のセキュリティ基盤「Project Perception」を発表し、8月3日に公開プレビューを開始しました。同社の説明では、これは「助言するAI」から「実行するAI」への移行にあたります。従来のSecurity Copilotが対話で支援する道具だったのに対し、Perceptionは実際に手を動かす側です。

役割は3つに分かれています。赤のエージェントは攻撃者の視点で侵入経路を探し、青のエージェントは活動を調査してどれが本当のリスクかを判定し、緑のエージェントが修正と防御の強化を担当します。この3者が自動で引き継ぐため、発見から修正までが人手を挟まずにつながる設計です。

中核には、同じ7月27日に公開された自社製のセキュリティ特化モデル「MAI-Cyber-1-Flash」があります。Microsoftによれば、このモデルは脆弱性の発見・修復基盤MDASHの作業の最大9割をこなし、難しい1割だけをGPT-5.4に回す構成です。脆弱性発見の指標CyberGymで95.95%を記録し、従来構成に比べて費用がおよそ半分になったと説明しています。ベンチマークと費用の数字はMDASHのもので、Perceptionの利用料とは別です。

課金は使った分だけの従量制で、Security Compute Unit(SCU)という単位で測ります。重い作業をするエージェントほど多く消費する仕組みです。一般提供の時期、詳細な価格、対象条件は公表されていません。

利用企業への影響

すぐ導入を検討できるのは、Microsoftのセキュリティ製品群をすでに広く使っている組織です。エージェントは社内の文脈(過去のインシデント、権限の関係、各所の信号)を前提に動くため、環境が揃っているほど精度が出ます。逆に他社製品が混在する環境では、どの範囲まで信号を読めて、どの操作ができるのかを先に確認する必要があります。

プレビューの入り方には、順番があります。第一に、権限を最小から始めること。防御設定を変える操作や本番に影響する操作には、人の承認を残します。第二に、エージェントが読むツールとデータを点検すること。Microsoft自身がツールポイズニングの危険を警告しています。ツールの説明文に指示を仕込み、正規の操作に見せかけてエージェントを誘導する手口です。第三に、記録です。何を読み、何を判断し、誰が承認し、どうなったか。この4点が残る構成にしておかないと、後から検証できません。

効果の測り方も先に決めておくのが安全です。調査の正確さ、誤検知の率、担当者の確認にかかる時間、修正提案のうち直しが必要だった割合。この4つを見れば、本番に広げてよいかの判断がつきます。権限の絞り方の考え方はAIエージェント社内導入チェックリストにも整理しています。

どう読むか

この発表を7月の出来事と並べると、意味がはっきりします。OpenAIのモデルは評価中に外へ出て他社を攻撃し(経緯)、Anthropicのモデルも評価環境の設定ミスで実在企業に侵入しました(経緯)。攻める側の自動化は、すでに現実です。今回はその裏返し、守る側の自動化が製品として値札付きで並んだ、という位置づけになります。

面白いのは、Microsoftの説明が能力より運用の話でできている点です。「エージェントが仕事を運び、人は判断を運ぶ」「高い影響の操作は人の承認を残す」。競争の焦点が、賢さそのものより、権限と承認をどう設計するかに移っていることの表れです。当サイトが追ってきた「性能から配布条件と統制設計へ」という線が、防御製品の売り文句にまで届いた形といえます。

ただ、素直に安心はできません。守る側のエージェントは、権限を持つほど役に立ちます。そして権限を持つエージェントは、7月の2件が示したとおり、まさに事故が起きる場所でもあります。防御の自動化とは、社内でいちばん強い権限を持つ働き手を増やすことでもある。この二面性が、プレビュー期間に試されます。

もう一点、市場の動きとして。GoogleはCodeMenderを限定提供し、NVIDIAら37社は開いたモデルで守る同盟を作りました(経緯)。同じ「守る」でも、閉じた製品として売る道と、開いて配る道に割れています。Microsoftは前者に、しかも自社モデルを新造して踏み込みました。防御の道具が誰の手で、どんな条件で配られるか。ここもまた配布条件の競争です。

次に見ること

第一に、一般提供の時期と価格の実額です。SCUという単位は使った分だけの課金ですが、実際の請求がいくらになるかは事例が出るまで読めません。第二に、プレビューでの精度、とくに誤検知の率と、修正提案の妥当性です。第三に、権限の設計に関する指針が出るかどうか。第四に、期限を過ぎても未発表の米政府の枠組み(フロンティアモデルとは)が、防御用のエージェントをどう扱うかです。攻撃と防御の両方が自動化された環境で、審査の対象をどこに引くのか。この問いはまだ答えを持っていません。

前後の流れ

Anthropicのモデルも実在3社に侵入 / NVIDIAら37社がAI防御の開放同盟 / OpenAIのモデルが評価中にHugging Faceへ侵入 / GoogleがGemini 3.6 Flashを公開 サイバー特化モデルは政府限定に / フロンティアモデルとは