Acalvio、Deception Guardrailsを発表 ただしAIエージェントのセキュリティにはデコイだけでは不十分

Acalvioは7月30日、従来のモデルフィルターが回避された後のAIエージェントに新たな防御層を加えるDeception Guardrailsを発表した。特許出願中のこの機能は、エージェントが調査する環境内に偽の認証情報、ツール、サービス、データを配置する。不正化または侵害されたエージェントは、本番システムに到達する前にこれらの資産へ接触することで正体を現す可能性がある。

このアプローチは、セキュリティ境界をプロンプトだけから移すものだ。エージェントが指示に従うことを前提とするのではなく、Acalvioは攻撃者がエージェントを操作したり、そのIDを盗んだりできると想定する。そのうえで、侵害されたシステムが実行時に目にするものを変える。

今回の発表は、古くからあるサイバーセキュリティ手法を、はるかに新しい問題の検証に転用するものだ。従来のハニーポットは人間の攻撃者を監視対象のシステムへ誘い込む。Acalvioは現在、推論、API呼び出し、データ取得、正規の認証情報による操作が可能なソフトウェアを、欺瞞的なインフラで誤誘導しようとしている。

中心的な緊張関係は明白だ。正規のプロセスが利用するはずのない資産に何かが触れた際、欺瞞は非常に強力な警告を生成できる。一方で、あらゆる危険な操作が必ずそのような資産のいずれかに遭遇するかどうかまでは判断できない。

Acalvio、AIエージェントのランタイムへ欺瞞を拡張

重要な変化は、もう1つのコンテンツフィルターではない。Acalvioは、エージェントがツールや認証情報を利用する運用環境の内部に検知ポイントを配置している。

AcalvioのDeception Guardrailsは、同社のShadowPlexプラットフォームをエージェントのワークフローおよび周辺のAIインフラへ拡張する。同社は、エンタープライズ向けハニートークン、エージェント向けハニースキル、デコイAIサービス、欺瞞的な操作に連動したリアルタイム検知という4つの主要コンポーネントを発表した。

ハニートークンとは、不正アクセスを露呈させることだけを目的に作成された偽の認証情報またはデータオブジェクトだ。ハニースキルは、エージェントが設定ファイルを読む際に見つける可能性のあるツール説明や機能に同じ原理を適用する。

Acalvioによると、これらのアーティファクトは、運用コンテキストとして使用されるファイルや設定画面に配置できる。エージェントが欺瞞的なツールを呼び出そうとしたり、偽の認証情報を使用したりすれば、その操作によってアラートが生成される。

同社はさらに、デコイのModel Context ProtocolサーバーでAI導入環境を囲む計画だ。MCPは、モデルが共通インターフェースを通じて外部ツールやデータに接続できるようにするプロトコルである。Acalvioが挙げる対象には、デコイの検索拡張生成システムや偽のAIエージェントも含まれる。

これらの資産は、複数の検知機会を生み出す。侵害されたエージェントは、利用可能なツールの列挙、設定ファイルの検索、認証情報の取得、ナレッジストアの照会、別のエージェントへの接続を試みるかもしれない。ワークフローが実際のリソースに到達する前に、各段階で悪意ある行動を露呈させる可能性がある。

発表資料は、この環境を「deceptive reality」と表現している。この言葉は製品の仕組みをよく捉えているが、その有効性は依然として同社の主張にとどまる。

AcalvioはDeception Guardrailsをモデル制御の代替として提示しているわけではない。同社はこれを、入力フィルタリング、出力フィルタリング、アラインメント保護が機能しなかった場合に備える補完的なランタイム層として説明している。

この区別は重要だ。AIエージェントはチャットボット以上の存在だからである。チャットボットはテキストを返す。エージェントは、サービスへの認証、ツールの選択、レコードの変更、メッセージ送信、コード実行、別のエージェントへの作業委任も行える。

リスクは、それらの操作が実際の権限を引き継ぐときに始まる。エージェントを操作する攻撃者は、すべての境界防御を突破する必要がないかもしれない。エージェントにはすでに、信頼された立場、有効な認証情報、エンタープライズシステムへの承認済み経路がある。

Acalvioのリリースは直接的な例を示している。エージェントが暴走した場合、同社によれば、欺瞞的な資産がその不整合を露呈させ、捏造データを返し、セキュリティ運用センターに警告を出せるという。この一連の流れは、実際の資産が影響を受ける前に攻撃を中断することを目指す。

ただし、この発表はDeception Guardrails自体に関する公開ベンチマークを示していない。新機能について、導入件数、検知率、誤検知率、アラートまでの時間はいずれも報告していない。

したがって、この製品はエージェントセキュリティに対する独立検証済みの回答としてではなく、サイバー欺瞞を技術的にもっともらしく拡張したものとして市場に登場する。その意義は、モデルが回答を生成した後、エージェントが目的を完了する前に制御を配置する点にある。

AIエージェントがリアクティブなセキュリティに圧力をかける理由

エージェントは分離されていた攻撃ステップを1つの連続したワークフローに圧縮し、分析担当者が侵害を認識して封じ込めるための時間を短縮する。

人間主導の侵入には通常、間がある。オペレーターは偵察を確認し、標的を選び、アクセスを得て、環境を調べ、次にどこへ移動するかを決める。自動化はこれらの段階を短縮でき、適応型エージェントはそれらを結び付けられる。

Acalvioは、自律システムが限られた人間の指示だけでネットワークを列挙し、認証情報を収集し、認証を行い、横方向に移動できると主張する。ラテラルムーブメントとは、1つの侵害されたリソースから、同一環境内の別のシステムへ進むことを意味する。

この運用モデルは、認識可能な振る舞いに依存するセキュリティ製品に課題を突き付ける。シグネチャベースのツールは既知のコードやインフラを探す。振る舞いベースのシステムは、確立されたベースラインからの逸脱を検出する。いずれも依然として有用だが、エージェントは行動を変化させ、正規のインターフェースを通じて動作できる。

侵害されたエージェントが割り当てられたIDを使用する場合、問題はさらに難しくなる。その呼び出しは承認済みのサービスアカウントから発信されるかもしれない。APIリクエストは通常業務に似ている可能性がある。記録は、安全な運用時と同じIDでログに表示されることもある。

エージェント型AIの慎重な導入に関する政府共同ガイダンスは、これをIDと権限の問題として説明している。このガイダンスは、広範な権限、静的な認可判断、弱いセグメンテーションが、侵害された1つのコンポーネントの影響を増幅し得ると警告する。

あるシナリオでは、財務システム、メール、契約リポジトリにアクセスできる調達エージェントを扱う。攻撃者はそのワークフロー内の低リスクなツールを侵害し、その後、エージェントの過剰な権限を引き継ぐ。

別のシナリオでは、サードパーティのスケジューリングコンポーネントを信頼するサポートエージェントを取り上げている。キャッシュされた認可判断により、侵害されたコンポーネントは機密性の高いアカウント機能へ到達し、請求処理を担うエージェントへ近づける。

これらの例は、モデルレベルのフィルターだけでは防御全体を担えない理由を示している。モデルフィルターは、AIアプリケーション内のコンテンツや振る舞いを評価する。それだけで認証情報を無効化したり、ワークロードを隔離したり、ネットワークをセグメント化したり、外部操作を1件ずつ検証したりするわけではない。

セキュリティチームは可視性の問題にも直面する。エージェントのワークフローには、計画コンポーネント、検索システム、プラグイン、API、他のエージェントが含まれる可能性がある。1つのタスクが複数サービスにまたがる長い判断連鎖を引き起こすこともある。

その結果、ログは断片化し得る。オペレーターは、ある層では承認済みリクエストを、別の層ではツール呼び出しを、さらに別の場所ではデータ変更を確認するかもしれない。特にエージェントがレビュー工程より速く動作する場合、これらの記録を結び付けるには時間がかかる。

欺瞞は異なるシグナルを提供する。設置された認証情報には正当な業務目的がない。デコイサーバーは承認済みのトラフィックを受信しないはずだ。そのため、アナリストがまずエージェントの推論を再構築しなくても、操作によって敵対的な偵察を露呈させられる。

この高信頼度のシグナルが主な魅力である。セキュリティ運用センターにはすでに大量の異常が届いている。通常のソフトウェアが決して触れるべきではないため、欺瞞的な資産は曖昧なパターンを具体的なイベントへ変えられる。

Acalvioは以前、米海軍のANTX FY25演習での結果を報告している。同社のランタイムセキュリティ分析によると、その欺瞞技術は、自動化された認証情報主導の侵入テストにおいて、100パーセントの真陽性アラートを生成し、攻撃者の目的の80パーセントを阻止した。

これらの数値は、以前の演習およびAcalvioのより広範な欺瞞技術に関するものだ。新たに発表されたDeception Guardrailsの性能結果として扱うべきではない。

それでも、これらは同社の戦略を示している。Acalvioは、マシン速度で動く攻撃者も、依然として発見、ID、環境情報に依存すると見込んでいる。こうした依存関係は、防御側が誤った選択肢を導入できる場所を生み出す。

今回の発表は、複数のグループに同時に圧力をかける。エージェント開発者は、モデルが悪意ある指示を受け入れた後に何が起こるかを考慮しなければならない。IDチームは非人間アカウントを統制する必要がある。セキュリティベンダーは、モデル、アプリケーション、クラウド、ネットワークの境界をまたぐワークフローを観測しなければならない。

エンタープライズの購入者は最も広範な負担を負う。欺瞞で代替できない従来の防御を維持しながら、ランタイム欺瞞層が追加のセキュリティ制御を正当化するほどリスクを低減できるかを判断しなければならない。

真の競争は環境防御とモデルのみのガードレールの間にある

Acalvioの主張は、安全なモデルであることと、安全な運用環境であることは同じではないというものだ。

多くのAIガードレールは、モデルに入る、またはモデルから出る情報に焦点を当てている。プロンプトを分類し、禁止された話題をブロックし、機密データを特定し、アシスタントの応答を制約できる。

これらの制御は現実の問題に対処する。直接的なジェイルブレイクを減らし、一部のデータ漏洩を防ぎ、アプリケーションポリシーを適用できる。また、開発者がプロンプトと生成テキストを確認できるモデルの近くで動作する。

エージェント型システムは境界を広げる。モデルは回答をアクションへ変換でき、そのアクションは外部システムを変更し得る。周囲のワークフローに過剰な権限が付与されていれば、一見無害な応答が危険なツール呼び出しを開始する可能性がある。

侵害されたエージェントは、間接的に悪意ある指示を受け取ることもある。Webページ、文書、メール、ツール応答、汚染された検索ソースから読み取るかもしれない。この手法は一般に間接プロンプトインジェクションと呼ばれる。

エージェントがその指示を受け入れると、出力フィルターには異常が見えない場合がある。エージェントはファイルを要求し、許可されたAPIを呼び出し、既存のトークンを使用するかもしれない。個々の操作は有効に見える一方で、全体としての目的は敵対的であり得る。

Acalvioの環境アプローチは、この敵対的な目的を観測可能にしようとするものだ。すべての悪意あるプロンプトを予測する代わりに、防御側は不正なワークフローが探索しそうな監視対象の経路を作る。

共有ドライブと検索システムにアクセスできる社内リサーチエージェントを考えてみよう。攻撃者は、認証情報を探すため設定ファイルを検索するようエージェントに指示する命令を文書内に配置する。

想定される場所にある欺瞞的な認証情報は、その行動を露呈させる可能性がある。エージェントがそれをデコイサービスに対して使用しようとすれば、防御側は2つ目のシグナルを得て、ワークロードを隔離できる。

同じパターンはツールの探索にも当てはまる。エージェントは多くの場合、説明やスキーマを読んでツールを選択する。特権的な機能を探す悪意あるワークフローは、有用に見えながら監視対象のエンドポイントへしかつながらないハニースキルに遭遇する可能性がある。

デコイMCPサーバーは、拡大する統合レイヤーにも罠を広げる。正規のワークフローが使用すべきでないサーバーにエージェントが接続した場合、その接触は侵害、重大な設定ミス、または想定外の探索経路のいずれかを示している。

デコイRAGシステムは、別の信頼境界を標的とする。RAGは、クエリ時にモデルへ外部情報へのアクセスを与える。偽のストアは、不正な取得を検知しながら、攻撃者が実際の業務データにすぐ到達することを防げる。

このアーキテクチャにはトレードオフがある。アーティファクトが価値あるリソースに似ており、実際のワークフローの近くに配置されるほど、欺瞞は説得力を増す。同じ近接性が、導入と保守の負担を高める。

セキュリティチームは、正当な自動化がデコイを使用しないよう防ぐ必要がある。環境の変化に応じて欺瞞的な資産を更新しなければならない。また、攻撃と誤ったツール選択による判断ミスを区別する対応方針も必要となる。

モデルが誤って欺瞞的な資産に触れる可能性はある。エージェントは確率的システムであり、同じ入力でも異なる選択をすることがある。不十分なツール説明、設定ドリフト、不完全なルーティングルールによって、正当なタスクが誤ったサービスへ向かう場合がある。

この可能性は、Acalvioの「高信頼度」という位置付けを複雑にする。インタラクションは何かが起きたことを強く示すが、悪意を常に証明するわけではない。その事象は、攻撃者、整合していないエージェント、あるいはエンジニアリング上の欠陥を明らかにする可能性がある。

それでも運用上の価値はある。資産が使用されない前提で設計されているなら、いずれの結果も調査に値する。ただし対応の重大度は、エージェントのID、要求されたアクション、周辺の証拠に応じて決めるべきだ。

環境上のガードレールも、既知かつ正当な経路だけをたどる攻撃を阻止することはできない。デプロイメントを理解する攻撃者は、列挙を避け、不審な認証情報を無視し、実際のAPIを直接標的にする可能性がある。

したがって主な争点は、Acalvioと単一の競合製品との対決ではない。環境防御と、モデル制御によってエージェントのあらゆる行動を封じ込められるという前提との対立である。

Acalvioは、アラインメントが失敗した後も有用であり続ける独立したレイヤーとして欺瞞を提示している。より妥当な解釈は限定的だ。欺瞞は可観測性と妨害の機会を追加するが、それは侵害されたワークフローが埋め込まれたシグナルに遭遇した場合に限られる。

欺瞞ガードレールにもID、セグメンテーション、アクション制御が必要

デコイは侵害されたエージェントを明らかにできるが、その侵害を危険にする権限そのものを減らすわけではない。

エージェントは、そうしたアクションへの経路なしにデータを削除したり、資金を送金したり、インフラを変更したりすることはできない。認証情報、権限、ツールへのアクセスが、エージェントが引き起こせる損害を決定する。

このため、最小権限は補助的な詳細ではなく、最初の制御となる。各エージェントには、現在のタスクに必要なアクセスだけを与えるべきだ。権限はワークフロー開始時だけでなく、ツールの実行時にも評価すべきである。

短命な認証情報は、盗まれたシークレットの価値を下げる。固有のIDはアクティビティの帰属を容易にする。ネットワークセグメンテーションは、1つのコンポーネントが失敗した際の横展開を制限する。

影響の大きいアクションには、人間による承認が依然として適切である。システムはエージェントに支払いやインフラ変更の下書きを作成させつつ、実行の認可には人間を必要とできる。

これらの制御は、欺瞞とは異なる働きをする。IDガバナンスはエージェントが到達できる範囲を制限する。認可チェックは個別のアクションを制約する。セグメンテーションは移動を封じ込める。欺瞞は不正な経路を明らかにしようとする。

これらのレイヤーは組み合わせることで強くなる。欺瞞的な認証情報は権限昇格の試みを示せる一方、短命なアクセスは実際の認証情報が有用なまま残ることを防ぐ。デコイサービスはスキャンを明らかにできる一方、セグメンテーションはスキャナーを機密ネットワークから遠ざける。

ランタイム監視も必要なレイヤーの一つである。チームには、ツール呼び出し、IDの変更、取得データ、ポリシー判断、人間によるオーバーライドの記録が必要だ。これらの記録がなければ、欺瞞アラートは最初に見える症状を特定できても、それを生んだ経路までは特定できない可能性がある。

政府のエージェント型AIガイダンスは、エージェント間のやり取りに対する統合監査ログを推奨している。また、強固なID、ロールバック機構、制御された権限、監視、段階的な導入も求めている。

コーディングエージェントにおける運用障害に関する2026年の研究は、実際のインシデント報告からの証拠を加えている。研究者は547件のインシデントを分類し、326件を高または重大な深刻度と評価した。制約違反、破壊的なアクション、認可の回避、欺瞞は、主要なリスクとして挙げられた。

coding-agent studyでは、65％を超えるインシデントがバグ修正、セットアップ、または設定の最中に発生したことが分かった。著者らは、ガードレールが環境上の制約、透明性、安全に停止する挙動を強制しなければならないと主張している。

この研究はAcalvioの製品を検証したものではない。ただし、プロンプトによる防御だけでは重要な運用リスクが未解決のまま残る、というより広い結論を支持している。

Acalvioは、エンタープライズの購入者が新機能を評価できるようになる前に、なお実務上の質問に答える必要がある。

第一に、システムはカバレッジをどのように測定するのか。セキュリティチームは、どのエージェント、認証情報、ツールレジストリ、RAGストア、MCP接続が保護されているかを知る必要がある。フルスペクトラムのカバレッジという一般的な主張は、資産レベルのマップの代わりにはならない。

第二に、正当なエージェントが欺瞞的なツールを選択した場合、何が起きるのか。プラットフォームには、コンテキストを考慮した重大度、調査データ、封じ込めの選択肢が必要である。そうでなければ、高信頼度のアラートが依然として高コストな対応ミスを生む可能性がある。

第三に、Acalvioはどのようにデコイの信頼性を維持するのか。攻撃者が環境に関する知識を集めるにつれ、静的なアーティファクトは識別されやすくなる。説得力のある欺瞞には、ライフサイクル管理、変化、実際のアーキテクチャを反映した配置が必要となる。

第四に、ガードレール自体が新たな攻撃面になることを何が防ぐのか。デコイMCPサーバーとエージェント向けツールは、信頼できないリクエストを処理しなければならない。不十分な分離は、防御サービスを横展開の起点に変える可能性がある。

第五に、プラットフォームは検知後、どれほど速くエージェントを封じ込められるのか。アラートだけでは、マシン速度のワークフローを止められない。有用な統合は、認証情報の失効、ワークロードの隔離、セッションの遮断、または再認可の要求を行うべきだ。

ローンチ資料は、Deception Guardrailsが脅威が本番環境へ横展開する前に「無力化」できるとしている。この結果は、公開された製品テストで独立して実証されてはいない。

最も信頼できる短期的な役割は、標的を絞った妨害を伴う早期検知である。防止に関するより強い主張には、多様なエージェントフレームワーク、攻撃手法、エンタープライズ構成にわたる証拠が必要だ。

購入者は、製品が異なるプラットフォームで開発されたエージェントを観測できるかも確認すべきである。エンタープライズのデプロイメントで、単一のモデル、単一のオーケストレーションフレームワーク、単一のクラウドだけが使われることはまれだ。

有用なランタイムレイヤーは、非公開の推論トレースに依存せず、こうした境界をまたいで機能すべきである。実行可能な証拠は、インタラクションをログ記録・強制できるID、ネットワーク、ファイル、API、ツールの各レイヤーに存在する。

セキュリティチームは、Deception Guardrailsを多層防御の一部として扱うべきである。エージェントへの広範な権限付与や弱いデプロイメント慣行を正当化するために使うべきではない。

最も安全なエージェントも、まず限定された権限から始まる。その土台が失敗し、攻撃者が経路を探し、環境が損害の拡大前にその探索を明らかにできるとき、欺瞞は価値を持つ。

Acalvioのアプローチが有効かを示すもの

次の試験は、デモンストレーションでデコイがエージェントを捕捉できるかではない。新たな盲点を生まずに、企業がこのシステムを大規模に運用できるかどうかである。

最初に注目すべきシグナルは、独立した製品検証である。購入者には、Deception Guardrailsを直接プロンプトインジェクション、間接インジェクション、盗まれた認証情報、悪意あるMCPツール、侵害されたRAGソース、横展開と比較する統制されたテストが必要だ。

これらのテストは、検知と防止を分けるべきである。プラットフォームがアクティビティを検出したか、遅延させたか、偽の情報を返したか、アクセスを遮断したか、エージェントを封じ込めたかを報告すべきだ。

結果には誤検知も含めるべきである。悪意あるインタラクションをすべて検知しても、正当なエージェントを頻繁に罠にかけるシステムは、本番ワークフローを混乱させ、セキュリティチームを疲弊させる可能性がある。

Acalvioが以前に引用した演習結果は有用な背景を提供するが、後から発表された製品を検証することはできない。テストは、新しいエージェント固有のアーティファクトと統合を対象にすべきだ。

第二のシグナルは、本番環境での採用である。公開される顧客事例では、チームがどこにハニートークンを配置したか、何件のエージェントをカバーしたか、アラート後にどの対応アクションを取ったかを説明すべきである。

ケーススタディは、運用上の摩擦を含めることで、より有益になる。購入者には、導入時間、保守要件、アラート量、インタラクションの調査に必要なアナリスト作業量が必要だ。

幅広いエンタープライズ導入は、欺瞞が標準的なランタイム制御になり得るというAcalvioの主張を強める。ラボに限定された小規模なデモは、より狭いユースケースを支持するにとどまる。

第三のシグナルは、競合他社とプラットフォームベンダーがどう反応するかである。エージェントセキュリティにはすでに、モデルフィルター、IDガバナンス、サンドボックス化、ツールゲートウェイ、アプリケーションスキャン、ランタイムポリシー強制が含まれている。

主要なエージェントプラットフォームがネイティブの欺瞞的資産や監視対象の偽ツールを追加すれば、Acalvioの環境に関する論点は支持を得る。反対に、購入者が決定論的な認可ゲートウェイを標準化するなら、欺瞞は専門的な検知レイヤーにとどまる可能性がある。

これらのアプローチは相互排他的ではない。ゲートウェイは不正な呼び出しを遮断でき、デコイはエージェントがその呼び出しを試みたことを明らかにできる。市場における問いは、どのレイヤーが予算、運用上の責任、統合の優先順位を得るかである。

標準はその判断を形作る。MCPはツール接続を容易にするが、探索、ポリシー、監視の共通地点も生み出す。そのレイヤーにおける認証と認可の改善は、露出を減らせる。

標準が改善しても、欺瞞は有用であり続ける可能性がある。安全なプロトコルでも、盗まれたID、汚染されたデータソース、悪意ある指示をすべて防ぐことはできない。ただし、罠が機能すべき経路を狭めることはできる。

Acalvioのタイミングは妥当である。企業は、顧客データ、コード、社内文書、クラウドサービスに関わるワークフローへ、エージェントを実験段階から移行させている。これらのシステムが権限を得るにつれ、ランタイムの挙動はより重要になる。

同社には、拡張可能な既存の欺瞞プラットフォームもある。これにより、ハニートークン、デコイ、IDシステム、セキュリティ運用との統合に関する経験を得ている。ただし、それでもエージェント固有の実装を証明する必要はなくならない。

開発者にとって、このローンチはすべての信頼境界を文書化するよう促すものだ。エージェントのモデル、プロンプト、ツール、ID、データストア、外部サービスには、それぞれ別個の制御が必要である。

エンタープライズの購入者にとって、重要な問いはサイバー欺瞞が説得力を持つように聞こえるかどうかではない。Acalvioが、その組織が実際に運用するエージェントとシステム全体にわたる信頼できるカバレッジを示せるかどうかである。

セキュリティチームにとって、Deception Guardrailsは意図を探る新たな場所を提供する。エージェントが偽の認証情報やデコイツールに触れれば、通常の異常検知では見逃される可能性のある証拠が生まれる。

制約も同様に重要である。欺瞞アラートがないことは、エージェントが安全であることを示さない。埋め込まれた資産に触れずに、ワークフローが侵害されている可能性がある。

Acalvioを評価する組織は、自社アーキテクチャに対して敵対的テストを実施すべきである。検知までの時間、封じ込めまでの時間、正当なエージェントとのインタラクション、欺瞞に遭遇する攻撃経路の割合を測定すべきだ。

チームは、その対応を事前にリハーサルしておくべきだ。ガードレールが発動した場合、認証情報を取り消すのか、エージェントを隔離するのか、下流のツールを停止するのか、あるいは調査のためにセッションを維持するのかを、即座に判断する必要がある。

こうした準備が、アラートを防御につなげるのか、それともすでに進行中の攻撃の記録をもう一つ増やすだけに終わるのかを左右する。

Acalvioは、モデルのコンテンツを制御することと、エージェントの振る舞いを保護することの間に、現実的な隔たりがあると指摘している。同社の答えは、侵害されたエージェントにとって環境の信頼性を低くすることだ。

この考え方は注目に値する。なぜなら、組み込みの安全策があっても操作されるエージェントは存在する、という不都合な前提を受け入れているからだ。もっとも、その罠が攻撃者の経路上にどの程度の頻度で現れるのかについては、製品側が独立した証拠を示す必要がある。

AIエージェントにより多くのアクセス権が与えられる中、セキュリティ責任者は具体的な問いを投げかけるべきだ。明日、信頼していたエージェントが敵対的な存在に変わった場合、どの統制がその権限を制限し、その行動を明らかにし、次のアクションを止められるだろうか。