はじめに
今週は、AIにも具体的な統制の手段が出てきたと感じる発表がありました。
CrowdStrikeが、AIエージェントを守る製品「Falcon Guardian」に、非常停止の機能「AI Kill Switch」を加えたと発表しました。あわせて、エージェントの観測と、事前の自動テストを手がける2社を買収する契約も発表しています。
筆者は今週、Falcon GuardianのWebセミナーを受講しました。AIに対するセキュリティ製品を知ったのは、これが初めてで、「AIにも、具体的な統制の手段が出てきた」というのが素直な印象です。この記事は、公式の資料で確認できたことを軸に書き、印象は「筆者の見方」として分けます。
この記事は、2026年11月7日時点の内容です。
今週の要点
- Falcon Guardianは、エンドポイントで使われているAIのエージェントやモデルを見つけ、プロンプトを検査して、ポリシーを適用する製品です。
- 新機能のAI Kill Switchは、今日から使えるとされています。ただし、止める場所は、まずゲートウェイです。エンドポイント上で止める機能は、今後です。
- 買収する2社の製品(観測と事前テスト)は、契約を結んだ段階で、完了はこれからです。提供も、同社の会計年度の第4四半期の予定です。
- すべて、ベンダー自身の説明です。効果を示す数字は、独立した検証を確認できていません。
Falcon Guardianとは(公式の説明)
CrowdStrikeは、Falcon Guardianを、AIの採用から実行までを守る、AI検知・対応の主力の製品と位置づけています。公式の資料で確認できた機能は、次のとおりです。
- 発見: エンドポイント上の、シャドーAI(管理外のAI)、エージェント、アプリ、モデル、MCPサーバー、スキル、ツールを見つけます。
- 検査と統制: 対応するエージェントの内部に入る「フック」が、AIとのやり取りを検査し、ポリシーを適用します。プロンプトインジェクションなど、AI特有の攻撃も検知するとしています。検知には、同社のAIセキュリティ用のモデル群「SafeMind」を使うと説明しています。
- AIゲートウェイ: AIの通信を、中央の一点で検査し、ポリシーを適用します。公式によれば、一般提供されていて、Guardianに含まれます。
- 可視化: Falconのセンサーで、プロセス、ファイル、エージェントがアクセスするリソースを見ます。AIの通信も、エンドポイントで検査します。
- AI Kill Switch: 次の章で書きます。
フックの対象は、公式の資料で、Claude Code、OpenAI Codex、GitHub Copilot、OpenCode、Cursorなどと書かれています(筆者が使っているClaude Codeも含まれます)。11月3日のプレスリリースには、Microsoft 365 Copilotも入っています。Guardian自体は、公式によれば、2026年9月から一般提供です。
まだ使えない部分(公式が「近日」「今後」としているもの)
- クラウドのワークロード、Linux、Kubernetesなどでの、エージェントの発見。
- エージェントの種別ごとの、ゲートウェイでの強制。
- エージェントのアクセスを認可する、IDと連動した制御(時期の記載なし)。
- Macでのネットワーク検査(早期アクセスの段階)。
AI Kill Switchで、できること。まだできないこと
AI Kill Switchは、セキュリティチームが、AIエージェントを手動で止める機能です。11月3日のプレスリリースと、製品ページの記述を、分けて整理します。
プレスリリースの記述
- 権限を持つ管理者が発動します。すべての操作は、監査証跡に記録されます。
- Falconのセンサーが、エージェントの実行を止めます。止める場所は、まずゲートウェイで、エンドポイント上は「今後」です。
- 対象のホストやホストグループで、エージェントの再起動を、ポリシーで阻止します。
- エージェントの、企業ネットワークへのアクセスを遮断します。
製品ページの記述
- ゲートウェイでの強制によって、指定したAIモデルやプロバイダーへのアクセスを切る、と説明しています。
書かれていないこと
- 承認のワークフローや、二人承認の仕組みは、公式の資料に書かれていません。書かれているのは、「権限を持つ管理者が発動する」までです。
つまり、いま確実に使えるのは、ゲートウェイを通る通信を、止めたり、切ったりする部分です。端末の中で動いているエージェントそのものを止める機能は、まだ「今後」です。
買収2社:観測と、事前のテスト
CrowdStrikeは、2社を買収する契約を結んだと発表しました。契約の締結であり、完了はこれからです。
| Fiddler AI | Dreadnode | |
|---|---|---|
| 役割 | エージェントの観測 | AIの自動セキュリティテスト |
| 内容(公式) | デプロイ前の評価、判断や推論、ツール呼び出しの追跡、本番での挙動のずれや誤情報の検知、監査の証跡 | 100種を超える既知の攻撃手法(ジェイルブレイク、プロンプトインジェクションなど)でテストし、深刻度順に整理。OWASPやNISTの枠組みに対応づける |
| 提供 | 「Falcon Observe」として、同社の会計年度の第4四半期に一般提供の予定 | 同社の会計年度の第4四半期に一般提供の予定 |
| 買収の完了 | 同社の会計年度の第4四半期の見込み | 同社の会計年度の第4四半期の見込み |
| 価格 | 非開示(主に現金、一部は権利確定条件つきの株式) | 非開示(同左) |
金額について: Wall Street Journalが、Fiddlerを約4億ドル、Dreadnodeを約0.95億ドル、合計で約4.95億ドルと報じています。これは報道で、CrowdStrikeの発表ではありません。
狙い(公式の説明から読み取れること)
Dreadnodeのテストの結果は、Falcon Guardianのポリシーの推奨に反映される、と説明されています。つまり、「事前のテスト」で見つけた弱点を、「実行時の制御」に返す流れです。観測、テスト、実行時の制御を、一つのプラットフォームでつなぐ考え方です。
筆者の見方:インフラ屋として
ここからは、筆者の見方です。公式の説明とは分けて書きます。
1. 「止める手段」が、製品の機能になった
長年、障害対応や運用の設計をしてきました。そこには、緊急停止やサーキットブレーカーの考え方があります。異常があったら、誰が、どこで、何を、止めるのか。AIエージェントにも、同じ設計が必要だと感じていました。それが、ベンダーの製品の機能として出てきたのは、意味があると思います。
2. 「どこで止めるか」が、設計の分かれ目
今回の発表で、いちばん大事だと感じたのは、止める場所です。
- ゲートウェイで止める: 通信を止められます。ただし、ゲートウェイを通らない動きは、止められません。
- エンドポイントで止める: 端末の中のエージェントそのものを止められます。ただし、これは「今後」です。
つまり、現時点の「止める手段」は、入口の統制です。端末の中の動きまでは、まだ届きません。この差を、導入の前に、理解しておく必要があります。
3. 「誰が止めるか」は、製品が決めてくれない
公式の資料では、止めるのは「権限を持つ管理者」です。誰に、その権限を持たせるのか。夜間や休日に、誰が判断するのか。止めた後の、業務への影響を、誰が引き受けるのか。これは、製品ではなく、運用の設計です。Kill Switchがあっても、判断の手順がなければ、使えません。
確認しておきたい点
- ベンダー自身の説明です。 公式のプレスリリースと製品ページが中心で、独立した第三者の検証は、確認できていません。
- 効果を示す数字は、検証されていません。 アナリストの分析(NAND Research、9月の発売時点)は、同社の主張として、200種を超えるプロンプト攻撃の手法をカバーすること、検知率99%、応答の遅れが100ミリ秒未満、という数字を伝えています。ただし、アナリスト自身が、独立した検証が必要としています。
- 未提供の機能が多い。 先に挙げた、エンドポイントでの停止、IDと連動した制御、クラウドへの拡張などです。公式も、未リリースの機能は変更されうる、購入は現在利用できる機能で判断するよう、書いています。
- ベンダーへの依存。 アナリストは、一つのベンダーに、多くのセキュリティ機能を寄せるリスクも指摘しています。
- 買収は完了していません。 金額は、報道です。
- セミナーの内容は、この記事の根拠にしていません。 筆者の印象として書いた部分を除き、公式の資料で確認できたことだけを書いています。
今週のその他のニュース
ほかにも、AIエージェントの統制に関する話題が、いくつかありました。以下は、一次の資料を確認していない、二次の報道ベースです。
- Google Cloud「Agent Compute Engine」(10月22日の発表): エージェントのセッションごとに、専用の仮想マシン(microVM)を割り当て、認証情報はサンドボックスの外で管理する設計と報じられています。プレビューは、「今後数か月以内」とされ、まだ使える状態ではありません。「止める」のではなく、「そもそも被害の範囲を、閉じ込める」設計です。
- AIエージェントのセキュリティ事故に関する調査: Cloud Security Allianceなどの調査で、多くの企業が、AIエージェントに関する事故を経験し、管理部門が把握していない「シャドーエージェント」も、広く見つかったと報じられています。ベンダーの出資する調査を含むので、数字の解釈には、注意が必要です。
- KubeCon North America(11月9〜12日): 来週の開催です。AIの推論とエージェントに関するトラックが、新設されたと報じられています。開催前の情報で、確定した内容は、開催後に確認します。
次のアクション
- 自社でAIエージェントを使っているなら、止める手段が、誰の権限で、どこにあるのかを、一度書き出してみてください。製品を入れる前に、決められることです。
- Claude Code、Codex、Copilotなどを使っている場合、どのツールが、どの経路で通信しているかを、棚卸ししてみてください。統制は、見えているものからしか、始められません。
- 製品を検討するなら、「今日から使える機能」と「今後の機能」を、別の表にして、比べてください。
先週の記事: Anthropicの上場申請書を読んでみた
出典
コメント