F5 Workforce AI Security、エージェント制御をネットワーク経路へ

F5 Workforce AI Securityは2026年10月に一般提供を開始し、F5のセキュリティプラットフォームをAIアプリケーションから従業員およびエージェントの活動へと拡張する。この製品が狙うのは、企業内部で強まりつつある対立だ。従業員は行動できるAIツールを求める一方、セキュリティチームはその行動が機密システムに到達する前に制御をかける必要がある。

F5は9月9日、従業員のAI利用を発見し、ワークフォースのインタラクション全体でポリシーを適用するエージェントレスのレイヤーとしてこの製品を発表した。同社のワークフォース向け発表によると、対象となるインタラクションにはブラウザ、開発者ツール、コーディングエージェント、コマンドラインインターフェース、Model Context Protocolクライアントが含まれる。

重要な変化は、ChatGPTへのアクセスを数えるための新たなダッシュボードではない。F5は、AIエージェントが何を行おうとしているかを検査し、そのリクエストをIDに関連付け、実行前に介入することを目指している。

このアプローチは、ネットワークベースの強制を、エンドポイント、ブラウザ、あるいは個別のAIアプリケーションに結び付いた制御と対比させるものだ。同時に、トラフィックのカバレッジ、暗号化されたセッション、従業員のプライバシー、自動化された意図分類の信頼性について難しい問いも投げかける。

Palo Alto Networks、Microsoft、Zscaler、Netskopeなどのセキュリティベンダーは、すでに従業員のAI利用を制御する製品を提供している。F5の賭けは、より限定的である一方、より野心的でもある。同社は、AIの活動がプロンプトを超え、ツール駆動の業務へ移行するなかで、ネットワーク経路が一貫した強制ポイントになり得ると主張している。

F5 Workforce AI Security、プロンプトを超えて制御を拡張

F5は、エージェントのツール呼び出しを単なるAIとの会話ではなく、セキュリティイベントとして扱っている。

従来のワークフォース向けAI制御は、通常、アプリケーションの発見から始まる。セキュリティチームは、従業員がアクセスする生成AIサービスを特定し、アップロード、プロンプト、未承認アプリケーションを制限する。

こうした制御は依然として重要だ。従業員は、ソースコード、顧客記録、認証情報、法務文書をパブリックモデルに入力することで流出させる可能性がある。Microsoftの機密データ制御に関するガイダンスでは、プロンプト、出力、メモリ操作、取得されたコンテキスト、ツールの結果をスキャンすることが推奨されている。

エージェントは、応答を受け取った後に行動できるため、問題を拡大する。コーディングエージェントはリポジトリを編集し、デプロイツールを呼び出し、コマンドを実行できる。アシスタントは文書を取得し、顧客記録を更新し、メッセージを送信する場合がある。

こうした行動は、多くの場合、人間のユーザーが持つ権限を継承する。F5はこの状態を「借用された権限」と表現している。エージェントが従業員にすでに付与された認証情報を通じて動作するなら、リスクを生むために完全に独立したアカウントは必要ない。

F5 Workforce AI Securityは、インタラクションに関与する人間とエージェントの双方を特定するよう設計されている。その後、リクエストの意図を分類し、アクセスリスクを評価し、サポート対象のツール呼び出しが実行される前にポリシーを適用できる。

同社によると、ポリシーは行動を許可、ブロック、または変更できる。また、機密データの露出と、リクエストに関連付けられたIDも考慮できる。

Model Context Protocol、すなわちMCPは、AIアプリケーションをツールやデータソースと接続するオープンプロトコルだ。F5は、自社製品がMCPサーバーおよびサポート対象のエージェントツール全体でツール呼び出しを検査・分類できるとしている。

この違いにより、ワークフォースセキュリティは、従業員がどのチャットボットを開くかの制御を超えることになる。許可されたエージェントでも、ユーザーの当面の業務や会社のポリシーの範囲外となる行動を試みる可能性がある。

F5は、サービス選択、ライセンスタイプ、ファイルアップロード、データポリシーにまたがる制御も計画している。組織は、承認済みのエンタープライズアカウントを許可しつつ、同じサービスのコンシューマー版を制限できる。

この製品は、より広範なF5 AI Security Platformの一部に位置付けられる。F5は2026年6月、このプラットフォームをAIの発見、ガバナンス、テスト、ランタイム保護向けに発表した。

8月には、MCP Gatewayを含むAI Gateway機能を追加した。Workforce AI Securityは現在、このプラットフォームを従業員の活動と、従業員の権限のもとで行動するエージェントへと拡張している。

この順序には意味がある。レッドチームテストはデプロイ前に弱点を明らかにでき、ランタイムガードレールは稼働中のAIアプリケーションを保護する。ワークフォース制御は、従業員が外部ツールを採用したり、エージェントにタスクを委任したりする際に生じる別種のリスクに対処する。

したがってF5は、AIの開発、デプロイ、利用にまたがる単一のポリシー構造を目指している。顧客がその統合性を実感できるかは、製品マップだけでなく、統合の品質とトラフィックのカバレッジに左右される。

製品の一般提供は10月に予定されている。導入が始まるまでは、その強制精度と運用負荷は、独立して検証された結果ではなく、同社による主張にとどまる。

エージェントの行動が異なるセキュリティ問題を生む理由

AIエージェントは、不用意なプロンプトを実システムに対する重大な操作へと変え得る。

従業員が機密テキストをチャットボットに貼り付ける行為は、データガバナンスの問題を生む。認証情報を使って本番設定を変更するエージェントは、それに加えて認可の問題も生む。

この違いは、F5がプロンプトだけでなく行動を重視する理由を説明する。AIシステムがツールを呼び出し、データを変更し、外部と通信できるようになるたびに、セキュリティ境界は移動する。

F5の2026 State of Application Strategy Reportによると、調査対象組織の66%が、AIによるポリシーや設定の自動調整を許可している。F5はこの数値を発表で引用しているため、同社が支援した調査として扱うべきだ。

この留保を置いても、根底にある問題は明確だ。企業はAIを助言的なインターフェースから、書き込み権限を持つワークフローへ移行させている。

従業員がすでにその権限を持っているため、エージェントに広範な権限が与えられる可能性がある。しかし、ユーザーの権限があっても、エージェントが生成したすべての行動がユーザーの十分な理解に基づく意図を反映しているとは限らない。

これにより、認証と認可の間に隔たりが生じる。認証は誰がセッションを開始したかを確立する。認可は、特定の行動が現在のコンテキストで適切かどうかを判断しなければならない。

セキュリティチームは間接的なプロンプトインジェクションにも直面する。攻撃者は、メール、ウェブサイト、文書、コードリポジトリなど、後にエージェントが読むコンテンツの中に悪意ある指示を埋め込める。

エージェントはその敵対的なコンテンツを指示として解釈し、意図しない行動を取る可能性がある。NISTのエージェントセキュリティ研究は、データ窃取と悪意あるコード実行を潜在的な結果として挙げている。

ネットワークポリシーレイヤーは、結果として生じる行動がツールに到達する前に、追加の検査ポイントを設けられる。エージェント内部の推論の侵害そのものを排除するわけではないが、その結果を制限することはできる。

F5は、自社の制御がID、意図、リスク、機密データなどのコンテキストを利用するとしている。単純なアプリケーションのブロックリストでも、静的な権限リストでも、状況の全体像は捉えられないため、この組み合わせは必要だ。

承認済みのコーディングエージェントを使う開発者を考えてみよう。公開された依存関係ファイルを読むことは日常的な作業かもしれない。一方、独自コードを外部モデルにアップロードする行為はポリシー違反となる可能性がある。

社内のIssueを開くことは許容されるかもしれない。本番デプロイを変更するには、別途の承認や、より限定されたサービスIDが必要になる可能性がある。

したがってセキュリティ判断は、誰が行動しているか、どのデータが関与するか、どのツールが対象か、どの操作が要求されているかに依存する。また、環境や時間にも左右される可能性がある。

これが意図ベースの強制の実用的な魅力だ。サービス全体をブロックする、あるいはすべてのインタラクションを許可するルールよりも多くのコンテキストを提供することを約束する。

しかし、「意図」もまた扱いの難しい入力だ。分類器は、曖昧な自然言語のリクエストや技術的なツール呼び出しを、信頼できるポリシーカテゴリーへ変換しなければならない。

誤ったブロックは正当な業務を中断させる。誤った許可は、データの露出や有害な操作を許す可能性がある。高リスク環境では、最も重大な行動を対象に決定論的な制御が必要になる。

NISTのエージェントIDに関する取り組みは、識別、認可、監査、否認防止を重視している。また、組織がプロンプトインジェクションをどう軽減できるかも問いかけている。

これらの要件はトラフィック検査を超える。企業には、明確なエージェントID、制約された権限、永続的なログ、そしてすべての自動ワークフローに対する責任者が必要だ。

F5 Workforce AI Securityは、そのシステムにおける一つの強制レイヤーとなり得る。唯一の信頼源にすべきではない。

主な競争はネットワーク強制とツール固有の制御の間にある

F5は、ネットワークが単一のモデル、ブラウザ、エンドポイント統合よりも持続的な制御ポイントを提供すると見込んでいる。

AIサービスは急速に変化する。従業員は、使い慣れたチャットボットから、ブラウザ拡張機能、コーディングアシスタント、コマンドラインクライアント、または非公開ホスト型モデルへ移行できる。

アプリケーション固有のセキュリティ制御は、各サービスを認識し、そのインターフェースを理解しなければならない。エンドポイント製品では、管理対象のすべてのデバイスでデプロイ、保守、権限設定が必要になる。

F5は、プロンプト、応答、エージェントの行動が企業インフラを通過する場所で制御を適用することを提案している。同社は、このアプローチが特定のモデルやアプリケーションベンダーから独立しているとしている。

同製品はブラウザと開発者ツール全体でAIサービスを発見できる。F5はさらに、公開モデルAPIにアクセスする自社開発ツールもサポートするとしている。

F5によると、この製品には追加のエンドポイントクライアントは不要だ。この表現は重要である。顧客が新しいクライアントの追加を避けられる可能性を意味するが、製品がデプロイ作業を一切必要としないという意味ではない。

顧客には引き続き、ネットワークへの配置、ID統合、ポリシー設定、ログ記録、既存のセキュリティ環境との接続が必要となる。カバレッジは、組織がどのトラフィックを観測できるかにも左右される。

F5の製品ページでは、ミラーリングされたネットワークトラフィックによるパッシブな検出について説明している。検査は本番経路の外部で行われるため、帯域外分析ではレイテンシーは発生しないとしている。

同じページでは、活動をブロック、リダイレクト、または変更する適応型制御についても説明している。発表では、ポリシーがインタラクション経路で動作するとされている。

これらの機能は異なる動作モードを表す。パッシブな検出は、トラフィックを遅延させずに観測できる。アクティブな強制は、実行前にリクエストへ影響を与えなければならない。

企業は、どのコンポーネントがパッシブに動作し、どのコンポーネントがインラインに配置されるのかを確認すべきだ。また、検査サービスが障害を起こした場合や、リクエストを分類できない場合に何が起きるかも確認する必要がある。

競合各社はすでにこの市場の一部を占めている。Palo Alto Networksは、生成AIアプリケーションの発見と、プロンプトやアップロードを介した機密データ漏えいの防止を目的とするAIアクセス制御を提供している。

Microsoft PurviewはAI活動を発見し、データ損失防止ポリシーを適用し、監査ログで生成AIイベントを表示できる。Zscalerは、AI Guard for UsersがパブリックAIサービスに対する従業員のプロンプトと応答を検査するとしている。

Netskopeは、アプリケーションの発見、データ制御、セキュリティサービスエッジのインフラを組み合わせている。これらのベンダーはすでに、企業のネットワークおよびデータセキュリティチームに製品を販売している。

したがってF5は、エージェントの行動を制御することが、意味のある運用上の優位性につながると証明しなければならない。シャドーAIを見つけるだけでは、十分な差別化にはならない。

より広範なプラットフォームは、その助けとなり得る。同社の製品機能によれば、検出データはF5 AI Red TeamのテストやF5 AI Guardrailsのランタイムポリシーに活用できる。

このフィードバックループは、理論上は魅力的だ。観測された従業員の行動からリスクの高いユースケースを特定し、セキュリティチームはそれらをより意図的にテストし、統制できる。

ただし顧客企業が、すべてのセキュリティ機能を単一プラットフォームに標準化することはほとんどない。多くの企業はF5を、アイデンティティプロバイダー、エンドポイントツール、クラウドアクセスブローカー、データセキュリティ製品、モデルネイティブの制御機能と併用することになる。

単一コンソールよりも、相互運用性のほうが重要になる。セキュリティチームには、イベントとポリシー判断が既存システム間を円滑に行き来することが求められる。

ネットワークアプローチには、当然ながら死角もある。デバイスからの直接接続、管理対象外ネットワーク、エンドツーエンド暗号化、ローカルモデル、未対応ツールによって、観測可能なコンテキストは制限され得る。

F5は、こうしたすべての経路をカバーしているとは公に示していない。完全な可視性という主張を受け入れる前に、購入者は実際の従業員ワークフローをマッピングすべきだ。

F5の主張で最も説得力があるのは、ネットワークがすべてを見通せるという点ではない。そうではなく、ネットワーク上のチェックポイントが、分断されがちな多数のツールにまたがって一貫した強制力を提供できるという点だ。

この提案は検証できる。顧客は、検出されたアクティビティをエンドポイントテレメトリー、SaaSログ、アイデンティティ記録、既知のエージェント導入状況と比較できる。

記録が一致すれば、ネットワークによる強制は有用な共通レイヤーとなる。重要なギャップが残るなら、このプラットフォームには補完的な制御が必要になる。

広範な可視性にはプライバシーと精度のトレードオフが伴う

AIアクティビティを検査すればセキュリティリスクは低減できる一方、従業員のアイデア、ミス、働き方に関するセンシティブな記録が生まれる。

F5によれば、そのプラットフォームはAIとのやり取りをログに記録し、業務上の意図を分類できる。製品資料では、要約やコード生成などの例が挙げられている。

この情報は、セキュリティチームがリスクの高いパターンを特定する助けになる。一方で、機密性の高い会話、戦略案、人事上の問題、調査課題、個人のパフォーマンスを示すシグナルを露出させる可能性もある。

プロンプトは、単なるネットワークイベントではない。ユーザーの思考過程、不確実性、あるいは社内業務の詳細なコンテキストを含む場合がある。

応答も同様にセンシティブになり得る。AIシステムは、ユーザー入力を取得した企業データ、プライベートメモリ、接続済みツールのコンテンツと組み合わせる可能性がある。

そのため組織には、セキュリティシステム自体を対象とする制御も必要となる。プロンプトと応答のログへのアクセスは、厳格な役割、保持期間の制限、監査要件に従うべきだ。

法務、プライバシー、セキュリティ、従業員関係の各チームは、広範な導入前に許容されるモニタリングを定義すべきである。地域ごとの労働法やプライバシー規則も、モニタリングの導入方法に影響し得る。

F5によれば、監査証跡はAIリクエスト、応答、ユーザーの意図の流れを記録できる。企業は、どのフィールドが保持されるのか、またセンシティブなコンテンツを最小化できるのかを確認すべきだ。

また、ログ記録前にマスキングが行われるのか、それともデータが外部モデルに到達する前にのみ行われるのかも問うべきである。この順序によって、セキュリティプラットフォームが生み出す露出リスクは変わる。

分類精度も別のトレードオフをもたらす。「要約」と分類されたリクエストに、規制対象の記録が含まれるかもしれない。コーディング操作が、生成されたスクリプトを通じて実際にはインフラを変更する可能性もある。

自然言語による意図は明示的な技術的事実を補完できるが、それらを置き換えるべきではない。宛先、操作の種類、アイデンティティ、リソースの機密性、権限範囲は、より確かなシグナルを提供する。

影響の大きい操作には、フェイルクローズのポリシーまたは直接承認の要件が必要だ。低リスクの操作では、より柔軟な分類やガイダンスを許容できる。

システムは、ユーザー本人と、そのユーザーの権限の下で動くエージェントも区別しなければならない。共有トークンや継承されたブラウザセッションは、帰属の特定を難しくし得る。

NISTは、エージェントが人間の認証情報を通じて新たなツールやデータへのアクセスを得ることが多いと警告している。2026年8月のアイデンティティに関するガイダンスでも、繰り返される承認要求による同意疲れが指摘されている。

プロンプトが多すぎると、ユーザーは反射的に操作を承認するよう学習してしまう。少なすぎれば、エージェントが意味のあるレビューなしに重要な境界を越えることを許しかねない。

F5のポリシーエンジンは、どこに摩擦を設けるべきかを顧客が選べるよう支援しなければならない。その答えは、操作、リソース、業務機能によって異なる。

メール文面を作成する営業支援アシスタントは、本番インフラを変更するコーディングエージェントとは異なるリスクを伴う。ローカルでの要約と外部へのアップロードも、意味合いが異なる。

チームには、不正確なポリシー判断に異議を申し立てるプロセスも必要だ。理由が透明でなければ、開発者は制御を迂回したり、管理対象外のツールへ戻ったりする可能性がある。

この点で、検索可能なAIナレッジベースはガバナンスを支援できる。従業員には、承認済みツール、データルール、エスカレーション経路に関する明確な記録が必要だ。

ドキュメントだけではポリシーを強制できない。しかし理解しやすい指針のない強制は、導入を見えにくいチャネルへと追いやりがちだ。

F5のエージェントレスという位置付けは、導入上の摩擦の一因を減らす。ただし、データを分類し、所有責任を割り当て、許可する操作を定義するために必要な組織的作業をなくすものではない。

10月のリリースでは、これらの制御が通常の負荷の下でどのように機能するかを示す必要がある。有用な評価には、誤検知、見逃した操作、ポリシーのレイテンシー、管理者の作業負荷を含めるべきだ。

セキュリティチームは、通常のワークフローだけでなく、敵対的なプロンプトもテストすべきである。エージェント制御製品は、意図を偽装したり、リスクの高い作業を複数の呼び出しに分割したりする試みに対処しなければならない。

固定的なガードレールでは、適応する攻撃者に対する恒久的な保護を保証できない。ネットワークによる強制は、継続的なテスト、モニタリング、ポリシー更新に参加すべきだ。

F5の賭けが機能するかを示す3つのシグナル

製品の価値は、測定可能なカバレッジ、強制可能なエージェント制御、そして実際の企業環境の複雑さに耐える統合によって決まる。

1つ目のシグナルは、2026年10月以降の導入実績だ。F5は、対応ブラウザ、コマンドラインツール、エージェントフレームワーク、MCPクライアント、ネットワーク構成について、正確な詳細を公表すべきである。

長い互換性リストだけでは不十分だ。顧客は、どのワークフローが検出のみをサポートし、どのワークフローで実行前の強制が可能なのかを知る必要がある。

顧客はF5のインベントリを、エンドポイントテレメトリー、アイデンティティログ、API記録、従業員アンケートと比較すべきだ。説明できない差異は死角を明らかにする。

ネットワークベースの単一導入によって、低い運用負荷で多数のツールにまたがるアクティビティを特定できれば、この証拠はF5の主張を強める。大きなカバレッジのギャップは、逆にそれを弱める。

2つ目のシグナルは、敵対的な条件下でエージェントの操作制御が機能するという証明である。これは、ファイル削除や記録のエクスポートといった明白なリクエストだけをテストすること以上を意味する。

評価には、間接的なプロンプトインジェクション、曖昧なリクエスト、ネストされたツール呼び出し、再利用された認証情報、複数のステップに分散した操作を含めるべきだ。

顧客は、阻止された有害な操作と、中断された正当な操作の両方を測定すべきである。すべてをブロックする製品は、最も狭い意味でしか安全ではない。

F5はすでにAIレッドチーム機能を提供しているため、購入者はWorkforce AI Securityのポリシーが再現可能な攻撃シナリオに対してテストできるかを確認すべきだ。結果はポリシー変更に反映されるべきである。

独立した検証は、デモンストレーション用スクリプトよりも重みを持つ。技術文書は、センシティブな検出ロジックを露出させることなく、分類の限界と障害時の挙動を説明すべきだ。

3つ目のシグナルは競合の反応である。Palo Alto Networks、Microsoft、Zscaler、Netskope、そしてアイデンティティベンダーは、隣接する制御ポイントと確立された顧客関係を持つ。

これらの企業がツール呼び出しの強制機能やエージェントアイデンティティ機能を拡張すれば、F5の差別化は縮小する。それは同時に、従業員向けAIセキュリティがチャットボットガバナンスを超えつつあることを裏付ける。

一方で顧客がモデルネイティブの権限管理やアイデンティティ中心の制御へ集約するなら、ネットワーク検査は補助的なレイヤーにとどまる可能性がある。その場合F5は、統合性と運用の利便性で競争することになる。

最も可能性が高い結果は、レイヤー化されたセキュリティだ。モデルプロバイダーはツール利用を制限し、アイデンティティシステムは権限を制限し、エンドポイント製品はデバイス上のアクティビティを観測する。

ネットワーク制御は、ベンダーをまたぐデータフローと操作を評価できる。ランタイムガードレールは、企業が自ら構築するアプリケーションを監視できる。

中心的な問いは、どのレイヤーが勝つかではない。操作がそれらのレイヤー間を移る際にも、ポリシーの一貫性が維持されるかどうかだ。

エンタープライズの購入者にとって当面のステップは、制御製品を選ぶ前に実際のAIワークフローを棚卸しすることだ。承認済みサービス、シャドーツール、コーディングエージェント、プライベートモデル、MCP接続を含めるべきである。

次に、どのワークフローがセンシティブなデータを読み取れるか、外部と通信できるか、システムの状態を変更できるかを特定する。こうした能力には、最も強固なアイデンティティとポリシーチェックが必要だ。

F5 Workforce AI Securityは、エージェント導入によってアプリケーションのブロックリストの限界が露呈している有用なタイミングで登場する。そのネットワーク戦略は、もっともらしい共通チェックポイントを提供する。

この戦略は、大規模環境では依然として実証されていない。F5は、十分なコンテキストを観測し、操作を正確に分類し、生産的なAI利用を耐え難いものにせずポリシーを強制できることを示さなければならない。

セキュリティリーダーは、10月のローンチを評価の終わりではなく、始まりとして捉えるべきだ。このプラットフォームは、あなたの環境において実際にどのエージェント操作を見て、説明し、阻止できるのか。