エンタープライズにおけるインテリジェント エージェントと MCP ツールのセキュリティ確保

By Mirko Peters · 2026-08-13

モダンなエンタープライズ テクノロジー、クラウド セキュリティ、人工知能の統合についての継続的な探求へ、ようこそお戻りくださいました。世界中の組織が生成 AI の導入を急ぐなか、デジタル業務の進め方に大きな変化が起きています。

Automatically translated with AI from the original post. Read the English original

モダンなエンタープライズ テクノロジー、クラウド セキュリティ、人工知能の統合についての継続的な探求へ、ようこそお戻りくださいました。世界中の組織が生成 AI の導入を急ぐなか、デジタル業務の進め方に大きな変化が起きています。単発の質問に答えるだけの静的なチャットボットの時代は、すでに急速に過ぎ去りつつあります。現在、企業は推論や計画を行い、複数ステップのワークフローを実行し、機密性の高い社内の業務データベース、人事システム、財務元帳と直接やり取りできる自律型インテリジェント エージェントを展開しています。この機能は前例のないレベルの業務生産性と革新をもたらしますが、同時に大きなセキュリティ、ガバナンス、アーキテクチャ上の課題も生み出します。

企業がこの変化にどのように対応しているのかをさらに深く知りたい方は、関連するポッドキャスト エピソード Microsoft AI Gateway - Simply Explained もぜひご覧ください。このエピソードでは、Microsoft AI Gateway や Azure API Management といったツールが、企業のすべての AI トラフィックに対する安全な入口をどのように提供するのかを解説しています。この包括的なブログ記事では、これらの中核的な考え方をさらに掘り下げ、ゼロ トラスト の原則、Microsoft Entra ID、マネージド ID、Model Context Protocol (MCP) が組み合わさって、インテリジェント エージェントを大規模に保護する仕組みを見ていきます。

エンタープライズ AI セキュリティの課題の概要

エンタープライズ AI のセキュリティ課題は、IT 部門やサイバーセキュリティ部門がこれまで直面してきたものとは大きく異なります。従来のソフトウェア アーキテクチャでは、アプリケーションは決定的なコードパスを通じてバックエンドのデータベースや API と通信していました。アクセス制御、ユーザー認証、API トークンは、確立された ID 管理システムによって厳格に管理されていました。すべてのトランザクションは予測可能であり、すべてのデータフローはソフトウェア開発ライフサイクルの中で厳密に定義されていました。

生成 AI によって、この予測可能性は崩れました。大規模言語モデル (LLM) と自律型エージェントは、確率的な推論によって動作します。自然言語の入力を受け取り、意図を解釈し、どのツールを呼び出すか、どのデータベースに問い合わせるか、どの操作を実行するかを動的に判断します。AI エージェントに社内のエンタープライズ ツールへのアクセスが許可されると、それは IT エコシステムの能動的な参加者になります。厳格なアーキテクチャ上のガードレールがなければ、AI エージェントは意図せず許可されていないデータベース クエリを実行したり、人事システムから従業員の個人を特定できる情報 (PII) を持ち出したり、暴走した自動化ループによって持続不可能なトークン消費料金を発生させたりする可能性があります。

さらに、多くの組織は当初、AI モデルを分散的な方法で導入しています。個々の開発チームが、カスタム アプリケーションをさまざまな外部および社内の AI プロバイダーに直接接続するのです。その結果、業界では「シャドー AI」として知られる、アーキテクチャ上の厄介な問題が生じます。セキュリティ チームは、どのアプリケーションがどのモデルを呼び出しているのか、どのようなデータがネットワーク上で送信されているのか、アクセス トークンがどのように管理されているのかを把握できなくなります。この課題に対処するには、場当たり的な統合から、一元化された、安全で、ポリシー主導のアーキテクチャへと移行する必要があります。

職場におけるインテリジェント エージェントと MCP ツールの理解

最新の AI システムを保護するには、まずその強力さを支える構成要素を理解する必要があります。現代のエンタープライズ AI スタックは、もはや単なるモデルのエンドポイントではなく、オーケストレーション レイヤー、自律型エージェント、専用の統合ツールで構成されています。この進化の最前線にあるのが、Model Context Protocol (MCP) と、高度なエージェント間 (A2A) 通信フレームワークです。

インテリジェント エージェントは、環境を認識し、自律的に行動することで特定の目標を達成するように設計されたソフトウェアです。職場での例として、新入社員のオンボーディングを担当するエージェントを考えてみましょう。このエージェントは、そのために会社のポリシーを読み込み、人事システムと連携して雇用契約書を作成し、Microsoft Entra ID に新しいユーザー アカウントをプロビジョニングし、IT 調達データベースにハードウェアの申請を送信する必要があります。

ここで Model Context Protocol (MCP) ツールが欠かせなくなります。MCP は、AI モデルやエージェントが外部のデータソースや開発者向けツールに安全に接続するための標準化された方法を提供します。モデルやデータソースごとに個別の統合をカスタムコーディングする代わりに、開発者は標準化された MCP サーバーを構築します。これらのサーバーは、特定の機能やデータスキーマを AI エージェントに公開します。ただし、MCP ツールは抽象的な AI の推論と実際の企業内での操作をつなぐ役割を担うため、重大な攻撃対象領域になります。権限のないユーザーがプロンプトインジェクション攻撃で AI プロンプトを操作した場合、保護が不十分な MCP ツールによって、エージェントが不正なコマンドを実行したり、制限されたデータベースにアクセスしたりする恐れがあります。こうした経路を保護することは、企業における AI 導入の基本的な要件です。

自律型 AI システムにゼロトラストが重要な理由

長年にわたり、サイバーセキュリティの業界はゼロトラストのセキュリティモデルを推進してきました。「信頼せず、常に検証する」という基本理念に基づき、ゼロトラストでは、企業リソースへのアクセスを許可する前に、すべてのユーザー、デバイス、アプリケーションからの要求を継続的かつ明示的に検証することを求めます。ゼロトラストはもともと人間のユーザーや従来型デバイスを想定して設計されましたが、その原則は現在、自律型 AI システムやインテリジェントエージェントにとっても不可欠なものになっています。

ゼロトラストの AI アーキテクチャでは、企業ネットワークの境界内で動作しているというだけで、AI モデル、クライアントアプリケーション、インテリジェントエージェント、MCP ツールのいずれも暗黙的に信頼されることはありません。AI エージェントによるすべての要求は、認証され、認可され、暗号学的に検証されなければなりません。エージェントが財務データベースへのアクセスを要求した場合、セキュリティレイヤーは、呼び出し元アプリケーションの ID だけでなく、要求の具体的なコンテキスト、プロンプトを入力したユーザー、そして当該エージェントが特定のデータセットに対して特定の操作を実行する権限を持つかどうかも確認する必要があります。

従来の境界型セキュリティは、生成 AI の時代には機能しなくなっています。境界はもはや物理的なファイアウォールではなく、AI モデルのコンテキストウィンドウと、それが利用する API エンドポイントの境界だからです。自律型エージェントは、ユーザーの意図と自動化された実行の境界を曖昧にします。AI ゲートウェイにゼロトラストの原則を適用することで、組織は最小権限のアクセスを厳格に徹底できます。エージェントが侵害されたり、プロンプトインジェクション攻撃によって誤った動作をさせられたりした場合でも、ゼロトラストの境界が影響範囲を制限し、社内の企業システム間での不正な横方向移動を防ぎます。

Microsoft AI Gateway が厳格なアクセス許可の境界を適用する仕組み

広範囲に広がる企業の AI 環境全体にゼロトラストを実装するには、クライアントアプリケーションと AI モデルプロバイダーの間に配置される、安全なゲートウェイという専用のアーキテクチャコンポーネントが必要です。この課題を解決するのが、Azure API Management 上に構築された Microsoft AI Gateway です。

Microsoft AI Gateway は、企業のすべての AI トラフィックに対する安全な一元的な入口として機能します。数百に及ぶアプリケーション、コパイロット、インテリジェントエージェントが、Azure OpenAI、Microsoft Foundry、Anthropic、Google Gemini、Amazon Bedrock などのさまざまな AI モデルエンドポイントと直接通信するのではなく、すべてのトラフィックがゲートウェイを経由します。この一元的な傍受ポイントにより、プラットフォームチームやセキュリティチームは、組織全体で一貫したアクセス許可の境界、レート制限、セキュリティポリシーを適用できます。

ゲートウェイ内では、管理者が包括的なポリシーを設定し、受信するプロンプトを検査し、ユーザーの ID を検証し、コンテンツの安全性フィルターを適用し、特定の MCP ツールへのアクセスを制御できます。適切な認可なしにアプリケーションが AI モデルやツールを呼び出そうとした場合、ゲートウェイはバックエンドシステムに到達する前に、その要求を直ちにブロックします。さらに、ゲートウェイはシームレスな負荷分散、セマンティックキャッシュ、モデルのフェイルオーバー戦略を可能にし、セキュリティのコンプライアンスを損なうことなく、高可用性と回復性を確保します。

Microsoft Entra ID と Managed Identities によるアクセス制御の活用

集中型のポリシー適用の強度は、基盤となるIDプロバイダーの強度に依存します。AIエージェントとMCPツールを効果的に保護するには、ハードコードされたAPIキー、共有シークレット、静的なパスワードを排除する必要があります。ハードコードされた資格情報は深刻なセキュリティ上の脆弱性です。アプリケーションのソースコードリポジトリが漏えいした場合、埋め込まれたAPIキーによって悪意のある攻撃者が、高額なAIモデルや機密性の高いバックエンドシステムに無制限にアクセスできてしまいます。

ここで重要な役割を果たすのが、Microsoft Entra IDとAzureのマネージドID です。Microsoft AI GatewayをMicrosoft Entra IDと統合することで、組織はエンタープライズグレードのIDトークンを使用して、すべてのAIリクエストを認証できます。アプリケーションやインテリジェントエージェントは、Entra IDが発行する安全で暗号学的に検証可能なトークンを使用してゲートウェイに認証します。

さらに強力なのは、Azure内で実行されるサービスがマネージドIDを利用できる点です。マネージドIDを使えば、開発者がコード内で資格情報を管理する必要がなくなります。Azureが AIサービスやエージェントのIDを自動的に管理するため、どこにもシークレットを保存せずに、AI GatewayおよびダウンストリームのMCPツールに安全に認証できます。ロールベースのアクセス制御（RBAC）と組み合わせることで、セキュリティ管理者は各エージェントに細かくアクセス許可を割り当てられます。たとえば、カスタマーサポートエージェントには、公開されているナレッジベースのMCPツールへのアクセスのみを許可するEntra IDのIDを付与し、財務システムやHRシステムへの照会は暗号学的にブロックすることができます。

AIワークフローとビジネスシステム全体でガバナンスを集中管理する

組織内でAIの導入が拡大すると、管理の分散はすぐに運用上の混乱を招きます。事業部門ごとに異なるAIソリューションを展開し、異なるモデルを利用し、一貫性のないセキュリティ基準を設けるようになります。コンプライアンスの維持、コストの管理、企業データの保護を実現するには、すべてのAIワークフローと連携するビジネスシステムにわたってガバナンスを集中管理するしかありません。

Microsoft AI Gatewayは、IT管理者、セキュリティ責任者、コンプライアンスチームが、AI環境全体を監視および管理できる統合されたコントロールプレーンを提供します。Azure API Centerとの統合および包括的な監視ダッシュボードにより、組織はすべてのAIトランザクションをエンドツーエンドで可視化できます。管理者は、トークン消費量の指標を追跡し、レイテンシーを監視し、プロンプトのパターンを分析し、異常な動作をリアルタイムで検出できます。

また、集中型ガバナンスにより、データ損失防止（DLP）とコンテンツセーフティのポリシーを一貫して適用できます。従業員が社内向けのカスタムWebアプリケーション、Microsoft Copilot Studio、または自動化されたバックエンドワークフローのいずれを通じてAIエージェントとやり取りする場合でも、すべてのプロンプトと応答は同じセキュリティフィルターを通過します。これにより、知的財産、企業秘密、規制対象の顧客データが、意図せず公開モデルの学習データに漏えいすることを防ぎ、GDPR、HIPAA、SOC 2などの企業コンプライアンスの枠組みへの完全な準拠を確保できます。

スケーラブルな企業向けAI導入を保護するためのベストプラクティス

インテリジェントエージェントとMCPツールの保護は、一度きりの設定作業ではなく、継続的な運用の取り組みです。組織が回復力があり、拡張性と安全性を備えたAI基盤を構築できるよう、プラットフォームエンジニアリングチームとセキュリティチームは、実績のあるベストプラクティスに従う必要があります。

• マネージドワークロードから小さく始める: 単一のパイロットアプリケーションまたはマネージドワークロードをMicrosoft AI Gateway経由でルーティングすることから、企業のAI活用を始めてください。ミッションクリティカルなシステムに拡大する前に、認証フローを検証し、Entra IDのポリシーをテストし、監視体制を改善してください。
• すべてのエージェントに最小権限の原則を適用する: すべてのインテリジェントエージェントを、個別の企業IDとして扱ってください。Microsoft Entra IDを使用して細かいアクセス許可を割り当て、MCPツールが、エージェントが特定のタスクを完了するために必要な正確なデータスキーマと機能だけを公開するようにしてください。
• ハードコードされたシークレットを排除する: アプリケーションコード内での静的なAPIキーと共有資格情報の使用を完全に禁止してください。すべてのAIサービス間通信について、AzureのマネージドIDとトークンベースの認証へ完全に移行してください。
• コスト管理とスロットリングを確実に実装する: 生成AIのトークン消費は、あっという間に制御不能になりかねません。予期しない費用の急増やサービス拒否(DoS)の脆弱性から組織を守るため、AIゲートウェイでレート制限、トークン予算、リクエストのクォータ、セマンティックキャッシュを設定してください。
• 完全な可観測性と監査ログを維持する: すべてのAIリクエスト、モデルの応答、ツールの実行が、詳細なメタデータとともに記録されるようにしてください。AIの可観測性ダッシュボードを定期的に確認し、異常な利用パターン、非効率なプロンプト、潜在的なセキュリティ侵害を検出してください。

こうしたベストプラクティスに従い、Microsoft AI Gateway、Microsoft Entra ID、Azure API Management などの最新のクラウド基盤を活用すれば、企業はセキュリティ、コンプライアンス、財務管理を犠牲にすることなく、自律型AIがもたらす変革の力を自信を持って取り入れることができます。これらの概念を簡潔で分かりやすく解説した内容を聞き、自社環境での実装方法を知りたい方は、ぜひ当社のポッドキャスト エピソード Microsoft AI Gateway - Simply Explained をお聴きください。