AIエージェントに「どこまで任せるか」— NCSCが示した自律性と統制の対決め

社員が各自のPCでAIコーディングエージェントや自律型AIツールを動かす場面が増えると、情報システムやDX推進の担当者には新しい判断が求められます。コード生成だけなら既存の生成AI利用ルールで扱えても、ファイルを読み書きし、外部サービスへ接続し、複数の手順を自動で進めるエージェントになると、「どこまで任せてよいか」を別途決める必要が出てきます。

現場では、便利だから許可したい一方、想定外の操作まで自動で進んだ場合の責任範囲や停止方法が曖昧になりやすいです。すべて禁止すれば活用は進まず、各自の判断に任せれば環境や設定がばらつきます。そこで必要になるのが、エージェントに与える自律性に応じて、実行環境、通信、権限、人の監督、記録、停止手段をあらかじめ決める考え方です。本記事では、この「どこまで任せるか」と「そのために何を統制するか」をセットで決めることを「自律性と統制の対決め」と呼びます（当サイトが整理のために使う呼び名です）。

NCSCはなぜagentic AIのリスクを整理したのか

英国の国家サイバーセキュリティセンター（NCSC）は、2026年8月20日に「Managing the cyber risk of agentic AI」と題するブログを公開しました。執筆者はNCSCのPrincipal Security Architectで、対象はagentic AIシステムを設計・運用する組織とされています。

NCSCが前提としているのは、agentic AIが複雑な業務の自動化に役立つ一方で、誤作動や曖昧な指示によって、認可されていない活動や意図していない活動を行いうるという点です。AIエージェントは人間のような常識を前提に扱えないため、「通常ならここで止まるだろう」と期待するだけでは不十分になります。

また、モデル自体に組み込まれた安全制御も回避される可能性があるとしています。そのため、モデル側の制御だけに依存せず、実行環境やアクセス権、人の監督といった別の層でも安全策を用意することが求められます。エージェントが評価環境で範囲の外へ及ぶ行動を取った実例の整理は、英国AISIのインシデント報告から実行環境を点検した記事で扱っています。

NCSCはこの分野を引き続き研究中としており、今回のブログを土台に、後に正式なガイダンスを策定して置き換える予定だとしています。現時点では、agentic AIを業務に持ち込む際に何を決めておくべきかを整理するための材料として読むのが適しています。

自律性をどこまで許すのか？

NCSCが示す考え方の中心にあるのは、エージェントへ与える自律性と統制の釣り合いです。自律性が大きくなるほど、想定外の動作が起きたときの影響も広がるため、与える自律性に応じて統制も増やすという比例原則を採ります。たとえば、提案だけを行い実行は人が行うエージェントと、ファイル操作や外部サービスへの接続まで自動で進めるエージェントでは、同じルールを当てはめる理由はありません。後者には、より細かな権限設定や通信制御、監督、記録が必要になります。

権限管理についても、NCSCはエージェントごとに固有のIDを与え、業務に必要な最小限の権限だけを持たせることを勧めています。資格情報は可能な限り短い寿命にし、長期間使い回せる認証情報を持たせる範囲を抑えます。

社内ルールを作る際は、「AIエージェントを使ってよいか」だけを決めても足りません。どの業務で、どの操作まで自律実行を認めるか、その範囲に応じて何を必須の統制とするかまでセットで定義する必要があります。

実行環境はどこまで隔離するべきか

NCSCは、エージェントを常にサンドボックス化された環境で実行し、ローカルとネットワークの双方で、何と通信できるかを制御するよう求めています。

通信については、可能な限り、エージェント環境への内向き・外向きの通信を既定で拒否し、必要な接続だけを許可リストで通す考え方が示されています。これは、エージェントが想定外の指示を受けた場合でも、接続できる先そのものを限定しておくための措置と整理できます。通信の許可リストをネットワーク側でどう実装するかは、姉妹サイトのAIエージェントの出口を許可リストで絞る記事が扱っています。

この観点では、社員が各自のPCにツールを入れ、個別の設定でエージェントを動かす運用には管理上の課題が出やすいです。サンドボックスの条件、通信先の許可リスト、権限設定を端末ごとに同じ基準で保つ必要があり、設定差や例外が増えるほど確認も複雑になります。AIコーディングエージェントを社員PCで動かす構成のリスクで整理したとおり、環境が地続きであること自体が確認を難しくします。

一方、実行環境を組織でまとめて管理する形であれば、通信制御や権限設定を環境側で共通化しやすくなります。個々の利用者に「安全に設定してください」と任せる範囲を減らし、組織として定めた条件の中でエージェントを動かすという設計が取りやすくなります。

人はどこで監督するのか

NCSCは、人の関与を3つの類型に分けています。human-in-the-loop（実行前に人が承認する方式）、human-on-the-loop（人が監視し必要に応じて介入できる方式）、human-out-of-the-loop（人が関与しない方式）です。

どの方式を採るかは、エージェントが行う業務の影響に応じて決める必要があります。特に影響の大きいシナリオでは、技術面の統制と並行して、人の監督を維持することが推奨されています。

ここで決めるべきなのは、「人が見る」という曖昧な方針ではありません。どの操作を実行前承認にするか、どの範囲は監視しながら自動実行を認めるか、どの処理は人の関与なしで動かしてよいかを区分する必要があります。

同じエージェントでも、読み取りだけを行う処理と、外部へ書き込みを行う処理では扱いを分けられます。業務単位、操作単位で監督方式を決めておけば、自律化の範囲を段階的に広げる判断もしやすくなります。

記録と停止手段は用意されているか

NCSCは、エージェントの思考過程の記録（chain of thought）やtranscript、サンドボックス環境のログ、ネットワーク通信の記録を取得し、それらを改変や削除から保護したうえで、セキュリティ運用の監視に組み込むよう勧めています。

これは、問題が起きた後に「何をしていたのか」を追える状態を作るための準備といえます。誰がどのエージェントを起動し、どの権限で、どこへ接続し、どの処理を行ったかを確認できなければ、原因調査や影響範囲の確認が難しくなります。何をどの単位で残すかは、AIエージェントのセッション監査ログで扱った論点と重なります。

さらに、インシデント時にはエージェントの活動を直ちに停止できる手段を持つべきとしています。停止手段は、運用ルールとして「止めることができる」と書くだけでは足りず、実際に止められる仕組みを用意しておく必要があります。

社員個人のPCごとにエージェントが分散していると、ログの保全や停止方法もばらつきやすいです。実行環境を組織側で管理すれば、記録の取得、改変防止、監視への連携、緊急停止を共通の運用として実装しやすくなります。

よくある質問

小規模な試用でも、ここまでの統制が必要ですか？

NCSCは、統制の強さを与える自律性に釣り合わせる考え方を示しています。提案だけを行い、実行は人が確認する使い方であれば、必要な統制は比較的少なくなります。ファイル操作や外部サービスへの接続まで自動で進める場合に、サンドボックスや通信の許可リスト、記録の重みが増します。

モデルに安全機能が組み込まれていれば十分ではないですか？

NCSCは、モデルに組み込まれた安全制御は回避されうるため、それだけに頼らず追加の安全策を講じるべきだとしています。実行環境の隔離、通信の制御、最小権限、人の監督といった別の層を重ねる構成が推奨されています。

まず何から手を付ければよいですか？

業務ごとに、どの操作まで自律実行を認めるかを書き出すことが出発点になります。そのうえで、実行環境・通信先・権限・監督方式・ログと停止手段を、認めた範囲に釣り合う形で決めていきます。実行環境を組織でまとめて管理する形にすると、これらを共通の条件として実装しやすくなります。

まとめ

NCSCが2026年8月20日に公開したブログは、agentic AIに自律性を与えるほど、それに応じた統制も必要になるという考え方を示しています。利用停止を一律に求める内容ではありません。

自社でエージェント利用を許可する前に、少なくとも次の事項は言葉にしておきたいところです。どの業務でどこまで自律実行を認めるか。エージェントをどのサンドボックスで動かし、どの通信先だけを許可するか。どの操作を人が承認・監視するか。エージェントごとのIDと最小権限をどう管理するか。どのログを残し、誰が監視し、異常時にどう停止するか。

この一覧を決めずに各自のPCへ導入を広げると、利用者ごとに統制条件が分かれやすくなります。反対に、実行環境を組織でまとめて管理すれば、サンドボックス、通信、権限、監督、記録、停止を共通の条件として扱いやすくなります。組織側で環境を用意する設計はAIエージェントのためのワークスペース設計で整理しています。

agentic AIの導入判断では、ツールの機能だけを見るのでは足りません。「自律性と統制の対決め」、つまり自律性の範囲と、その範囲を支える統制を対にして決めることが、組織で運用するための出発点になります。

出典

• 英国 National Cyber Security Centre（NCSC）ブログ「Managing the cyber risk of agentic AI」（2026年8月20日公開） ブログ本文