エージェントが自律的にツールを呼び出し、マルチステップのタスクを実行する時代に、従来の「入力→出力→人間が判断」という前提で設計されたNIST AI RMF 1.0は、そのままでは適用できない箇所がある。自律性・委任・リアルタイム実行という3要素が、GOVERN・MAP・MEASURE・MANAGEの各フェーズに新たな技術統制を要求する。この記事では、エージェントガバナンスの観点から、各フェーズの実装要点を整理する。
NIST AI RMFとは何か——エージェントが突きつける「適用ギャップ」
NIST AI RMF 1.0はGOVERN・MAP・MEASURE・MANAGEの4機能からなる自発的フレームワーク。エージェントの自律実行を想定しておらず、CSAのアジェンティックプロファイルが8項目の統制拡張を提供している。
NIST AI RMF 1.0（NIST AI 100-1）は2023年1月に公開された自発的フレームワークで、AIシステムの信頼性向上を目的に策定された。2024年にはGenerative AI Profile（NIST AI 600-1）が追加されたが、エージェントが自律的にツールを呼び出し、複数ステップの行動を連鎖させるアーキテクチャは想定外だった。
Cloud Security Alliance（CSA）は2026年3月に「Agentic NIST AI RMF Profile v1」を公開し、この「適用ギャップ」を埋める8項目の拡張統制（AG-GV・AG-MP・AG-MS・AG-MG 各2〜3項目）を定義している。2026年Q4にはNIST自身がAI Agent Interoperability Profileを発行する予定であり、業界横断での標準化が加速している。
また、ISO/IEC 42001技術統制と対照すると、NIST AI RMFはリスク管理プロセスの設計に重点を置き、ISO 42001は認証可能なマネジメントシステムに重点を置く点で補完関係にある。両者は相互排他ではなく、エンタープライズでは並行運用されることが多い。
GOVERNフェーズ——自律ティア分類と委任説明責任の設計
GOVERNでは全エージェントをティア1（完全監督）〜ティア4（完全自律）に分類し、ティアに応じたガバナンス義務・レビュー頻度・承認要件を定義する。ティア3以上は独立セキュリティ検査が必要になる。
GOVERNフェーズで最初に着手すべきは、自律ティア分類（AG-GV.1）の設計だ。
| ティア | 説明 | 要求される統制 |
|---|---|---|
| Tier 1 | 完全監督。全行動に人間の承認 | 基本ログ・承認ワークフロー |
| Tier 2 | 低リスク行動は自律、高リスクは承認 | 行動分類エンジン・条件付き承認 |
| Tier 3 | 大半の行動が自律。例外のみエスカレーション | リアルタイムモニタリング・独立検査 |
| Tier 4 | 完全自律。事後の監査のみ | 自動隔離・取締役会レビュー |
次に委任説明責任レジスター（AG-GV.2）を整備する。エージェントごとに「ビジネスオーナー」「技術責任者」「委任権限の系譜」「レビュースケジュール」を記録し、マルチエージェント構成での責任拡散を防ぐ。高自律ティアでは動的リアルタイムレジスターとIAM基盤の連携が必要になる。ポリシーエンジンとガードレールの設計も参照のこと。
MAPフェーズ——ツールリスク評価とアクション結果グラフの設計
MAPでは各ツールを「結果スコープ」「可逆性」「認証要件」「構成リスク」の4軸で評価し、ツール実行シーケンスが引き起こしうる結果経路をグラフとして可視化する。
ツールリスク分類（AG-MP.1）では、エージェントがアクセスするすべてのツールに対して以下の4軸でスコアを付与する。
- 結果スコープ: 読み取り専用（低）〜破壊的操作（高）
- 可逆性: 完全可逆（低）〜不可逆（高）
- 認証要件: 無認証（高リスク）〜多要素認証（低リスク）
- 構成リスク: 単一ツールの失敗 vs. 連鎖実行時の増幅リスク
スコアが高いツール（例: インフラ削除API、外部送金）は最も厳格な認可フローに組み込む。STRIDEによる脅威モデリングとツールリスク分類を組み合わせると、設計段階でリスク経路を特定しやすい。
アクション結果グラフ（AG-MP.2）では、ツール呼び出しシーケンスと実世界への結果経路をマッピングする。特にマルチエージェント構成では、エージェントAの失敗がエージェントBへ伝播する経路（AG-MP.3）を明示的に設計し、侵害拡散リスクを制御する。
MEASUREフェーズ——行動テレメトリと自律校正評価
MEASUREでは行動速度・権限昇格率・委任深度・境界越えコールのランタイムメトリクスを継続収集し、リスク許容閾値との乖離を検出して自律ティアを自動校正する仕組みを設計する。
行動テレメトリ（AG-MS.1）は、暴走エージェント・侵害エージェント・ドリフトの早期検知に不可欠だ。収集すべき主要メトリクスは以下の通り。
- 行動速度: 単位時間あたりのツール呼び出し数（急増は異常の兆候）
- 権限昇格率: 予定外の権限要求頻度
- 委任深度: エージェントがサブエージェントへ委任する階層数（深すぎると追跡困難）
- 境界越えコール: 事前定義のツールスコープ外へのアクセス試行
行動異常検知の設計と組み合わせることで、ランタイム段階での逸脱を自動検知できる。
自律校正評価（AG-MS.2）では、メトリクスをリスク許容閾値と定期比較し、高精度のエージェントはティア昇格、エラー率が高いエージェントはティア降格を自動トリガーする。人間のレビューなしで自律レベルを調整するフィードバックループが、MEASUREの核心だ。
MANAGEフェーズ——インシデント対応とドリフト検出
MANAGEでは暴走・行動ハイジャック・委任チェーン侵害への対応プレイブックを整備し、人間の承認を待たず数百ミリ秒以内に自動隔離を実行できる仕組みをアーキテクチャに組み込む。
エージェント特有のインシデント（AG-MG.1）には次の4種がある。
- 暴走エージェント: 行動速度が閾値を超え制御不能になった状態
- 行動ハイジャック: プロンプトインジェクション等で意図せぬ命令に従う状態
- 委任チェーン侵害: マルチエージェント構成内で侵害が横方向に伝播する状態
- 漸進的ドリフト: 累積した小さな逸脱が基準から大きくずれた状態
各インシデントに対し、インシデント対応プレイブックを事前定義する。特に重要なのは、人間の承認なしに自動実行できる「事前承認済み隔離応答」の設計だ。Governing-Orchestratorパターンでは、専用エージェントがミリ秒単位でキルスイッチを実行する。
ドリフト検出（AG-MG.2）では、許容可能な変動と問題のあるドリフトを識別し、根本原因に応じてファインチューニング・スコープ縮小・ティア降格・再デプロイのいずれかを選択する。
エージェントの廃止（AG-MG.3）時は、永続メモリの廃棄処理、認証情報の失効、監査ログの保全、下流システムの更新を手順化する。監査ログの改ざん防止設計はこの廃止手順と組み合わせて設計する。
規模別の留意点（SMB / エンタープライズ）
SMB では、Tier 1〜2のエージェントからフレームワーク適用を始め、ツールリスク分類をスプレッドシートや軽量なCMDBで管理するところから着手するのが現実的だ。行動テレメトリはManagedサービス（AWS Bedrock AgentCoreのログ機能等）に依存することでインフラ投資を最小化できる。Kuu の AI Ops サービスでは、SMBがNIST AI RMFの段階的適用を支援する体制を提供している。
エンタープライズ では、Tier 3〜4エージェントの独立セキュリティ検査、GOVERN機能とIAM基盤（SSO/SCIM）の統合、マルチエージェントトポロジーのリスクマッピング（AG-MP.3）が必須要件になる。LLMゲートウェイ・ポリシーエンジン・行動テレメトリ基盤の統合設計が求められる場合は、Kuu の RDE サービスが大規模実装を支援する。
参考
- NIST AI RMF Agentic Profile v1 (CSA Labs)
- AI Risk Management Framework | NIST
- NIST AI 600-1: Generative AI Profile
まとめ
NIST AI RMF 1.0はエージェントの自律実行を想定して設計されていないが、CSAのアジェンティックプロファイルが補完する8項目の拡張統制（自律ティア分類・委任レジスター・ツールリスク評価・アクション結果グラフ・行動テレメトリ・自律校正・インシデント対応・ドリフト検出）を実装することで、ガバナンス空白を埋められる。NIST自身が2026年Q4にエージェント向けプロファイルを発行予定であり、今から実装に着手しておくことが標準化後の対応を楽にする。
エージェントガバナンス体制の設計・実装について相談がある場合は、Kuu の AI Ops サービスからお問い合わせください。