NSA／CISA／NIST が AI エージェントに共同セキュリティ・ガイドラインを公表：人間による監督の維持を重視

NSA, CISA and NIST Release New Security Guidelines to Detect and Shut Down Rogue AI Agents

2026/10/19 CyberSecurityNews — NSA／CISA／NIST が公表したのは、承認されたタスクの範囲を超えて動作する AI エージェントに対する、検出、封じ込め、停止のための共同セキュリティ・ガイドラインである。この任意のガイダンスは 2026年10月16日に公表され、超知能の訓練および評価中に発生するインシデントを管理するための、10 の実践事項を定めている。重点が置かれているのは、人間による監督の維持である。

NIST の発表では、実践すべき一連の事項が、準備／検出／対応／復旧／報告に分類されている。その主要な対象となるのは、人間による監督が限定されてしまう長時間のタスクについて、高度な能力を持つ AI エージェントを訓練／評価する組織である。この推奨事項は、こうしたシステムを導入する、一般的な組織にも適用できる場合がある。

この文書では、AI エージェントに関連する事象を、SI 制御インシデント (SI control incidents) と呼んでいる。それが発生するのは、AI エージェントが指示されていない重要な操作を実行し、タスクの境界を定めるポリシーやセキュリティ制御に違反する場合である。具体例として挙げられるのは、外部関係者との無許可の接触／金融取引／第三者のシステムへのアクセスなどである。

制御を逸脱する AI エージェント向けのガイドラインとは？

この定義が、AI エージェントの自律的な動作と、攻撃者の指示による活動を区別していることを重視する必要がある。プロンプト・インジェクションや意図的なバックドアが組み込まれたモデルによる動作は、外部から与えられた指示に起因するものであり、SI 制御インシデントの主な対象ではない。このガイダンスで取り上げるものには、実害が発生する前に弱点が明らかになるニアミスも含まれる。

AI エージェントが公開 Web サイトへの侵入を試みた事例に関する記事は、自動化されたシステムがアクセス制限に遭遇した場合に、タスクの境界が重要となる理由を示している。それらの報道は、インシデントへの準備措置を示す、今回のガイダンスとは別のものである。

NSA／CISA／NIST が推奨するのは、AI エージェントのアクセス範囲を、タスクの遂行に必要なデータ／ツール／システムに制限することである。また、可能な場合には、ネットワーク・アクセスに厳格な許可リストを適用し、許可された通信を監視対象のゲートウェイ経由に限定すべきとしている。さらに、組織にとって必要なことは、隠れた通信や永続化に加えて、モデルの重みの無許可コピーなどに悪用される可能性がある経路を特定することである。

検出の対象には、AI モデル／関連ソフトウェア／ホストシステム／ネットワーク活動を含める必要がある。監視ツールやログを、AI エージェントが変更できないようにすることも重要である。可能であれば、異なるモデル系列の監視モデルを使用して検出結果を相互検証し、共通する監視上の死角を減らすことが推奨されている。

このガイダンスでは、AI エージェントの出力の中に、監視システムを標的とするエクスプロイトが含まれる可能性についても警告している。これは、AI 環境全体のアクセス制御／監視／監査記録を対象とする、NIST の AI セキュリティ制御オーバーレイ案に関する報道とも関連している。

中心的な推奨事項の 1 つが、AI エージェントの停止である。この共同ガイダンスが求めるのは、制御の失敗や進行中のインシデントを検出した場合に、影響を受ける AI エージェントの実行を自動的に停止することである。重大度に応じて保護策が強化され、その有効性が検証されるまで、組織にとって必要なことは、関連する訓練／評価／導入を一時停止することである。

インシデント対応チームに求められるのは、モデルの重み／チェックポイント／ツール呼び出し／拒否された操作／信頼できるログの保存である。それに加えて、漏えいした認証情報の無効化／侵害された可能性がある環境の再構築／バックドアや隠れた通信経路の除去も必要となる。運用を再開する前に必要なことは、インシデントで確認された操作に対する監視／アクセス制限／停止制御などが、有効に機能することの検証である。

組織に求められるのは、影響を受ける関係者への通知／法的な報告義務の履行／関連するインシデントやニアミスに関する政府の専門家との情報共有である。このガイダンスは、NIST SP 800-61r3 および確立されたインシデント対応の実践事項を基礎とし、その適用範囲を自律システムへ拡張するものである。

この記事は、AI エージェントや関連基盤を運用する組織に向けた、NSA や CISA などの機関による運用制御と事後対応の指針に関する解説文です。定義範囲を超えた指示外の処理や保護制御の無効化が背景に存在します。影響として、社外関係者との無断通信／外部システムへの侵入が生じる恐れがあります。対応策として、通信路の制限／監視基盤の分離／異常検出時の全処置停止／アクセス情報の破棄が求められます。