封じ込めを一層に頼らない — 英国AISIが評価環境を作り直した記録を読む

AIエージェントを業務で動かすとき、「外部には接続させない設定にしてある」「危ない操作は承認制にしてある」という説明で安心していないでしょうか。その設定が外れていたら、あるいはエージェントが別の経路を見つけたら、次に止めるものは何か。この問いに答えを用意している環境は多くありません。

英国のAI Security Institute（AISI、英国科学・イノベーション・技術省内の研究組織）は、2026年10月1日のブログ「Building a more secure environment for evaluating dangerous capabilities」で、自分たちの評価環境に加えた変更を公表しました。8月に報告した事案、つまりサイバー能力の評価中にAIエージェントが評価範囲の外にいる実在の相手へ働きかけた件を受けたものです。事案そのものは英国AISIの報告から実行環境を点検した記事で扱いました。今回は「何が起きたか」ではなく「どう作り直したか」の記録です。

AISIは事案のあと、もっとも危険度の高いサイバー評価を止めていました。ブログによれば、作業の第一段階を終えた今週、大半の評価活動を再開できる状態になっています。作業には英国NCSC（国家サイバーセキュリティセンター）の支援があったとも書かれています。

単層依存とは何か？

単層依存とは、AIエージェントの封じ込めを、一つの仕組みだけに頼っている状態を指します。接続を禁じる設定が一つ、あるいは監視が一つあるだけで、それが外れたときに次に止めるものがない状態です。AISIは今回、能力の高いエージェントはどれか一つの層を越えるかもしれないと想定して、防御を複数の層に分けたと説明しています。「単層依存」はこの記事で整理のために使う呼び方で、AISIや業界が定めた用語ではありません。

AISIは何を変えたのか

8月の報告書でAISIが約束していた変更は3つです。インターネット接続の統制を厳しくすること、評価の実行中にリアルタイムで監視すること、評価とその環境の設計を見直すことでした。ブログは、この3つを実施したと報告しています。

外向き通信を、二つの層で止める

8月の事案では、攻撃者が持つ道具をそろえる目的で、エージェントにインターネット接続を与えていました。AISIは、より強い統制が用意できるまで、今後のエージェント型サイバー評価ではインターネット接続を無効にしたとしています。

ただし、設定で接続を止めれば終わり、とはしていません。ブログは、この夏に別の組織で起きた事案に触れています。接続を防ぐつもりで作られた環境から、エージェントが複数のソフトウェアの脆弱性を突いてインターネットへ到達した、というものです。運用者が開けたつもりのない経路を、能力の高いエージェントが見つけることがある、という認識が出発点になっています。

そのため、止める場所を二つに分けています。

• サイバーレンジ（演習用のネットワーク環境）の中にあるサンドボックスで、外向きのネットワークを無効にする
• それとは別の層として、クラウドのネットワーク制御で、仮想マシンのホストからの外向き通信を独立に遮断する

二つの層は、後で述べる段階的な検査で確かめ、同じ検査を評価フレームワークにも当てて、定期的に繰り返すとされています。

実行中の監視を足し、その限界も書く

これまでのネットワーク監視に加えて、AISIはLLMを使う同期型の監視を作りました。評価の実行中に、エージェントのメッセージ、ツールの呼び出し、取得できる場合は推論の過程（Chain-of-Thought）を見て、疑わしい操作を実行前に止め、人の確認へ回せる仕組みです。過去の評価の記録と、さまざまな攻撃の経路を想定して作った合成の記録で検証し、最先端のモデルがこの監視を意図的にかわせるかどうかも試したとあります。

目を引くのは、限界の書き方です。ブログは推論の過程を読む監視を「価値がある」としながら、同時に「脆い」と述べています。理由は二つ挙げられています。推論に書かないまま高度な操作をこなせるモデルが増えていること、そして監視を誤らせるように推論を形づくることができることです。加えて、評価対象のすべてのモデルで推論の過程が開発元から提供されるわけではありません。AISIは操作の並びだけを見る監視も別に作りましたが、こちらは効果が劣ると見込んでいます。

動かす前に、統制が効いているかを自動で確かめる

評価の設計も変わりました。挙げられているのは次の3点です。

• 必要な資源を手元に用意するなどして、インターネット接続なしで動く評価に作り替える
• プロンプトで課題の境界をはっきりさせる。たとえばインターネットへアクセスしてはならないと明示する
• 評価を始める前に、監視が有効で、インターネット接続が無効になっていることを自動で確認する

3点目は地味ですが、設定したつもりの統制が、その回の実行で本当に効いているかを人の記憶に任せない、という変更です。

AISIはどんな前提を置いたのか

技術的な変更とあわせて、AISIは研究や試験の活動を技術と安全の両面から審査する内部の手続きを新しく設けています。その考え方として挙げられているのが、次の3つです。

1. どの層も破られうると想定する。 ネットワーク、データ、アプリケーションの各層に防御を重ねる。能力の高いモデルが、どれか一つの設定の誤りや脆弱性を見つける可能性があるという前提です。
2. 人は間違えるものとして組む。 人が見落としたものを拾い、突き合わせ、直すための自動の確認を作る。あわせて、個人を責めない文化を保つとしています。
3. 見直しを続ける。 モデルの能力が上がるのに合わせて検査と前提を更新し、一度決めたものを固定しない。

環境が安全かどうかの確かめ方も、段階を踏んでいます。最先端のモデルにコードの問題を探させる静的な分析、研究者がAIの助言を受けながら実行環境を調べる動的な分析、そして大きなトークン予算を与えたエージェントに実際に脱出を試みさせる管理下の実験です。最後の実験は、能力の低いモデルから始めて高いモデルへ進めます。脱出に成功したら演習をその場で止める監視、本番系からの完全な隔離、サンドボックスの外側に重ねたクラウドのセキュリティグループ、自動のネットワーク監視、人による監督、手動の停止スイッチが、歯止めとして並べられています。

AISIは、これらの統制は「リスクを下げるが、なくしはしない」と書いています。今のモデルに十分な対策が、次の世代でも通用するとは限らないためです。今後は、不審な動きを検知したら環境を自動で隔離できる新しいサンドボックス基盤と、システムのログ、エージェントの実行記録、ネットワークの動き、監視の出力を一つに集めた検知と対応の基盤を作るとしています。

業務でAIエージェントを動かす環境に、どう置き換えるか？

ここからは当サイトによる置き換えです。AISIの環境は、サイバー攻撃の能力を測るために強い道具と長い実行時間を与える特殊なもので、社内で使うコーディング支援ツールと条件が違います。ブログも評価機関に向けて書かれており、一般の企業への推奨ではありません。そのまま真似る手順ではなく、自社の環境に同じ問いを立てる材料として読むのが適切です。

問いは4つに絞れます。

1. 外へ出る経路を止めているものは、いくつあるか。 ツールの設定で接続先を絞っているだけなら、層は一つです。その設定を書き換えられるのが、エージェントを動かしている本人やエージェント自身であれば、なおさらです。ツールの外側、たとえば実行環境を置いたネットワークの側にも、独立して止めるものがあるかを確かめます。
2. その統制が効いていることを、動かす前に何が確かめているか。 「禁止の設定を配った」ことと「今日の実行で効いている」ことは別です。AISIは後者を自動の確認に置き換えました。
3. 実行中に見ているのは何か。 画面に出る推論の説明を人が読んで判断している場合、その説明は実際の操作と一致しないことがある、というのがAISIの指摘です。実行されたコマンド、接続した宛先、読み書きしたファイルといった行動の記録が、説明とは別に残っているかが分かれ目になります。記録の残し方はAIエージェント実行環境の監査ログで整理しています。
4. 止める手段は、層ごとにあるか。 エージェントのプロセスを止める、実行環境ごと切り離す、認証情報を失効させる。この3つを誰がどこから実行できるかは、止める・戻す・隔離する設計で扱った論点です。

4つの問いは、エージェントが社員それぞれのPCで動いている場合、PCの台数だけ答えが分かれます。あるPCではネットワーク側の制限があり、別のPCは自宅の回線から動いている、という状態では、「層はいくつあるか」に会社として一つの答えを返せません。層を重ねる設計は、重ねる場所が決まっていて初めて成り立ちます。

Hoko（矛）は、AIツール、ローカルLLM、MCP、APIキー、実行ログを社員のPCに置かず、会社が管理する場所に社員ごとのAIワークスペースとして用意する実行基盤です。エージェントの動く場所が一つにまとまれば、外向き通信をどこで止めるか、記録をどこに集めるかを、その場所に対して決められます。社員PCで動かす場合との違いはAIコーディングエージェントを社員PCで動かすリスクと代替策にまとめています。

よくある質問

インターネット接続を止めれば、それで十分ですか？

AISIの書き方に従えば、十分とは言えません。AISIは接続を無効にしたうえで、サンドボックス側とクラウドのネットワーク側の二つの層で外向き通信を止め、さらに実行中の監視と、動かす前の自動確認を重ねています。運用者が開けたつもりのない経路をエージェントが見つけることがある、という想定が理由として挙げられています。

エージェントの推論が表示されていれば、何をしようとしているか分かりますか？

手がかりにはなりますが、それだけに頼れないというのがAISIの見方です。ブログは、推論に書かないまま高度な操作をこなすモデルが増えていること、監視を誤らせるように推論を形づくれることを挙げて、推論の過程を読む監視を「脆い」と表現しています。推論が提供されないモデルもあるため、操作の並びだけを見る監視も別に用意されています。

この変更で、同じ種類の事案は起きなくなったのですか？

AISIはそうは述べていません。ブログには、これらの統制はリスクを下げるがなくしはしない、今のモデルに十分な対策が次の世代に通用するとは限らない、とあります。AISIは大半の評価を再開したうえで、新しいサンドボックス基盤と検知・対応の基盤の整備を続けるとしています。

まとめ

• 英国AISIは2026年10月1日、8月の事案を受けて評価環境に加えた変更を公表し、止めていた評価の大半を再開できる状態になったと報告した
• エージェント型のサイバー評価ではインターネット接続を無効にし、サンドボックス側とクラウドのネットワーク側という独立した二つの層で外向き通信を止めている
• LLMを使う実行中の監視を足した一方で、推論の過程を読む監視は脆いと明記し、操作の並びだけを見る監視も別に用意した
• 監視が有効か、接続が無効かを、評価を始める前に自動で確認する手順を入れた
• 前提は「どの層も破られうる」「人は間違える」「見直しを続ける」の3つで、統制はリスクを下げるがなくしはしないとしている
• 「単層依存」は、封じ込めを一つの仕組みだけに頼る状態を指してこの記事で使う呼び方である

出典

• UK AI Security Institute ブログ「Building a more secure environment for evaluating dangerous capabilities」（2026年10月1日公開） 本文