エージェントの行動ベースライン監視——異常検知と自動遮断の設計

プロンプトインジェクション対策のルールを整備し、OPAポリシーでツール実行を制御しても、攻撃者は正規に見えるアクションを積み重ねて目的を達成できます。個々の呼び出しはポリシーに違反せず、シーケンスを通じてはじめて「攻撃」の形になるためです。このギャップを埋めるのが行動ベースライン監視と異常スコアリングです。

本記事はAIエージェントガバナンスのピラーコンテンツに連動しています。大規模RDE体制のエージェントセキュリティ設計については/services/rde/をご参照ください。

ポリシールールが見逃す「行動の逸脱」とは

既知シグネチャを持たないアクション連鎖型攻撃には、行動ベースライン監視と異常スコアリングが必要です。

OPAポリシーや入力フィルタリングは既知の攻撃シグネチャに対して有効です。しかし実際のエンタープライズインシデントの多くは、次のような「シグネチャなし攻撃」として現れます。

コンテキストドリフト攻撃：エージェントが古い状態から誤った判断をするよう誘導します。例えばチケット管理エージェントが「解決済み」チケットを大量に再オープンし始めても、各APIコール自体は正当です。

順序逸脱攻撃：正規のツール呼び出しを正規でない順序で実行させます。「ファイル読み取り→外部URL送信」の2ステップが個別には許可されていても、セット実行は情報漏洩を意味します。

速度異常攻撃：人間の操作では不自然な速度でアクションを積み重ね、人間が介在できない状況を作ります。侵害されたエージェントはマシンスピードで処理を実行するため、人間による割り込みレビューは現実的ではありません。

これら3パターンは、ツール呼び出し前後のシグネチャスキャンやルールベース検証だけでは検知できません。対してベースライン監視は、「通常はこのパターンで動く」という期待モデルからの逸脱を検知するアプローチです。

4つの監視シグナルとベースライン構築

ツール頻度・推論チェーン長・アクション速度・エージェント間通信の4シグナルで30日のベースラインを確立します。

エンタープライズで採用されている行動監視の主要シグナルは次の4つです。

① ツール呼び出し頻度（Tool Call Anomaly Rate）

エージェントが定義されたスコープ外のツールを呼び出す回数、または単位時間当たりの呼び出し数の急増を追跡します。正常ベースラインは業務種別ごとに個別設定します。

② 推論チェーン長（Reasoning Chain Length）

エージェントが目標を達成するまでのステップ数を監視します。通常業務で数ステップで完結する処理が異常に長くなった場合、ループ攻撃または目標ハイジャックの可能性があります。

③ アクション速度（Action Velocity）

操作の実行間隔が通常パターンから大幅に外れた場合を検知します。人間が介在する業務フローでは自然な間隔があるため、その間隔の消失は外部操作の兆候として扱います。

④ エージェント間通信（Inter-Agent Communication）

マルチエージェント構成では、サブエージェント間の予期しないメッセージフローを検知します。通常のオーケストレーションパターンから逸脱した通信は、エージェント間で攻撃命令が伝播している可能性を示します。

ベースライン確立の手順

NeuralTrustのガイドラインでは、本番投入後30日間はベースライン学習フェーズとして行動データを蓄積し、その後継続的な比較モニタリングへ切り替えることを推奨しています。初期30日間は監査モード（記録のみ・遮断なし）で運用し、誤検知率を測定してからブロックモードを有効化します。

リアルタイム遮断パイプラインの設計

異常スコアがしきい値を超えた瞬間にインターセプターが割り込みLLMループを中断するゲートウェイ設計が基本線です。

遮断パイプラインは3層で構成します。

Layer 1：エージェントゲートウェイ（ツール実行前インターセプト）

ゲートウェイを「エージェントと接続ツールの間」に配置します。すべてのツール呼び出しリクエストはここを通過し、①〜④の異常スコアをリアルタイムに計算します。

Layer 2：リスクティア判定

判定	基準	アクション
自動通過	スコア正常・スコープ内	実行許可
通知継続	軽度逸脱（ログ記録）	実行継続＋SOCアラート
人間承認	高リスク・不可逆アクション	エージェントを一時停止
即時遮断	スコープ外・禁止操作	実行拒否＋インシデント起票

Layer 3：チェックポイント遮断

Microsoft Defender for Endpoint（2026年5月）は、エージェントネイティブイベントインターフェースを通じて3つのチェックポイントでスキャンを実行します。①ユーザープロンプト受信時、②ツール呼び出しリクエスト前、③ツール応答後——いずれかで異常を検知した段階でLLMループを切断します。Claude Code・Codex CLI・GitHub Copilot CLIがこのインターフェースをサポートしており、各エージェントのHooks APIを通じて統合できます。

この「ゲートウェイで止める」アプローチは、OPAポリシーが「既知ルール違反を止める」のに対し、「通常とは異なる行動パターン全体を止める」という補完関係にあります。ポリシーエンジン設計と組み合わせることで2つの防衛線が機能します。

エンタープライズSOC統合とインシデント対応

エージェント異常行動の検知はSIEMとプレイブック自動化によってMTTRを数時間から数分に短縮できます。

SIEMスキーマの標準化

エージェントイベントをSIEM（Splunk・Microsoft Sentinelなど）へ送信する際は、次のフィールドを統一します。

``json { "agent_id": "agent-hr-onboarding-01", "event_type": "anomaly_detected", "anomaly_type": "action_velocity", "anomaly_score": 0.94, "threshold": 0.80, "action_blocked": true, "tool_name": "file_write", "timestamp": "2026-07-22T10:23:45Z" }``

このスキーマにより、SOCアナリストはダッシュボードでエージェントごとの異常スコア推移を追跡できます。

インシデント対応プレイブック（3ステップ）

隔離：異常エージェントのツール権限を即時無効化し、他エージェントへの通信を遮断する
フォレンジック：直前100ステップ分のトレースログ（入力・思考チェーン・ツール呼び出し・出力）を取得し、攻撃の起点を特定する
復旧：ベースラインが正常に回帰したことを確認してから権限を段階的に復元し、同一パターンへのシグネチャルールをポリシーエンジンへ追加する

大規模マルチエージェント環境では、ZenityやNeuralTrustのようなエージェントセキュリティプラットフォームが上記パイプラインをマネージドで提供しています。自社実装と外部プラットフォームの使い分けは、SOCチームの規模と監視対象エージェント数に応じて判断します。

参考

まとめ

AIエージェントの行動ベースライン監視は、ポリシールールが対応できないシグネチャなし攻撃を検知するための必須レイヤーです。

4つのシグナル（ツール頻度・推論チェーン長・アクション速度・エージェント間通信）でベースラインを構築する
初回30日の監査モードでベースラインを確立してからブロックモードへ移行する
3層の遮断パイプライン（ゲートウェイ・リスクティア判定・チェックポイント遮断）でリアルタイム保護を実現する
SIEMスキーマとプレイブックを整備してSOC対応のMTTRを短縮する

Kuu株式会社のRDEチームは、エンタープライズ向けにエージェント行動監視基盤の設計・実装を支援しています。詳しくはReinvention Deployed Engineering（RDE）サービスをご覧ください。