自社のAIエージェントに決済やメール送信の権限を与えているなら、ひとつだけ確認してください。「できない」と言える仕組みが今この瞬間、実際に存在していますか？ポリシー文書じゃなく、ランタイムで。
ポリシーがあるのに、なぜインシデントが起きるんでしょう
AIエージェントを使用している国内企業・機関の67%が、すでにAI関連のセキュリティインシデントを経験しています。過去1年に限定すると74.9%に跳ね上がります。インシデントの原因は、AIの不正確な応答が業務エラーに波及したケース(54.4%)がトップで、AIの誤動作(12.2%)と、誰にも知られないまま広がる「シャドウAI」(8.8%)がこれに続きます。
海外も同じです。Graviteeの2026年レポートを見ると、本番環境で動作しているAIエージェントの48%が保護されないまま動いており、平均的な監視カバレッジはわずか52%です。さらに深刻なのは以下の点です。デプロイ前にAIエージェントを完全にセキュリティ・ガバナンス処理した組織はわずか19.7%で、エージェント行動の責任者を正式に指定している組織は7.2%に過ぎません。
ポリシーがないわけじゃありません。ほとんどの組織は、「エージェントはこれをしちゃいけない」という文書をすでに持っています。問題は、その文書が、エージェントが本番環境で実際にAPIを呼び出す瞬間には全く力を持たないということです。ポリシーと実行の間に、誰も守らないギャップが残ったままなんです。
ですが、全部を統制すればいいってわけでもないんですよね
ここで反転があります。Gartnerは2026年5月、「全てのAIエージェントに同じ統制を適用すれば、むしろデプロイ失敗につながる」と警告しました。この予測通りなら、2027年までに企業の40%が自律AIエージェントを降格させるか、完全に廃止することになります。
理由は単純です。読み取り専用で要約するだけのエージェントと、メールを送ったり、システム設定を変更したりするエージェントに、同じレベルの制限を適用すれば、どちらも使い物にならなくなります。Gartnerの Shiva Varma はこう指摘しています。「組織はAIエージェント・ガバナンスを二者択一で考えています。厳しく制限されているか、完全に信頼されているか。その枠組みの中でしか見ていないんです」
そこで出てきたのが4段階自律性フレームワークです。観察(読み取り専用) → 助言(人間がサインオフ) → 承認後の行動(変更は可能だがサインオフ必須) → 完全自律(ガードレール内で独立実行)。リスク段階ごとに異なるレベルの統制を施す方式です。実際にこの原則を適用したMicrosoftの脅威検出エージェントは、アラート精度80.1%、タスク失敗率0.38%を記録しました。一律統制なしでも成果が出るという証拠です。
この流れの中で、まったく新しいカテゴリが生まれました。名付けて「ガーディアン・エージェント(Guardian Agents)」です。企業の70%がすでにAIエージェントを運用中で、23%が2026年中に追加デプロイする予定なのに、デプロイスピードが従来のガバナンス統制を上回っています。Gartnerは、ガーディアン・エージェントが備えるべき能力として可視性・継続的保証・ランタイム検査と実行の3つを挙げています。ドキュメント化ではなく、「今このアクションを停止できるか」が基準だということです。
そこで、エージェントと現実世界の間に門を立てた
2026年8月にProduct Huntに登場したExeclaveは、この地点を正確に狙っています。タグラインそのものが「AIエージェントと現実世界の間の門(gate)」です。使い方は単純です。エージェントがツールを呼び出したり、APIを叩いたり、DBに書き込もうとするその瞬間に割り込んで、あらかじめ決めたポリシーと照合し、合格したものだけを通すんです。
Credo AIのようなサービスとは階層が違います。Execlave チーム自身が書いた比較記事に、こんな一文があります。「プログラム文書化は、侵害されたエージェントが間違ったAPIを呼び出すのを防ぎません。ランタイム実行がそれを防ぐのです」
| ガバナンスプログラム層 (Credo AI類) | 実行強制層 (Execlave) | |
|---|---|---|
| 役割 | 組織全体のAIシステム登録、リスク評価、規制文書作成 | リクエストパスでのリアルタイム遮断 |
| 作動時点 | デプロイ前・事後監査 | エージェントが行動するその瞬間 |
| 速度 | 週単位のレビューサイクル | p50 20ms以内 |
| 成果物 | ポリシー文書、規制マッピング表 | 暗号署名された監査ログ |
Execlaveは、この実行層をEnforce・Prove・Stop・Reportの4つに分解しています。Enforceは3～25msの範囲でポリシーを評価し、Stopは6ms以内にエージェント全体を停止する緊急スイッチです。Reportは、SOC 2、HIPAA、GDPR、ISO 27001、EU AI Act など7つの規制フレームワークの基準に従って、証拠を自動生成します。19個の組み込みポリシーが用意されており、違反を発見した時の反応は、ブロック(block)・警告(warn)・監視(monitor)・承認要求(require_approval)の4つのモードから選べます。
Product Hunt のコメント欄で交わされた質問が興味深いんです。「本番前に再現困難なシナリオはどうやってテストするんですか」という質問に、チームは「ポリシーエンジンに対して敵対的プローブを実行し、実際のトラフィックではブロック無しで観察するモードを使う」と答えました。「エージェントが遮断されたら、なぜ遮断されたのかわかって再試行できますか」という質問には、違反したポリシーIDと理由を含む構造化された拒否メッセージを返すと答えました。
このゲートも万能じゃありません
創業者の Rishit Mavani が直接認めている部分です。「ゲートは、あなたが与えるポリシーの良さの範囲内でしか機能しません。最初の1週間は、エージェントが何をでき、何ができないかを決めるのに費やします」つまり、ツールを導入しただけでは終わらず、自社の組織でエージェントが何をしてもいいのか、何をしたらダメなのかをまず人間が整理する必要があるということです。
チームで実装する手順
特定の製品を使おうが使うまいが、手順は似ています。Gartnerの自律性段階とExeclave 類のツールの実行モードをそのままマッピングすればいいんです。
- エージェント在庫目録から始める
今、いくつのエージェントがどのツール・APIにアクセスしているのかを目録化します。組織の半分以上が76個以上のエージェントを動かしながら、この目録すらないという現実があります。 - 自律性段階で分類する
観察・助言・承認後の行動・完全自律の4段階のどこに属するのかを、エージェント毎に分類します。読み取り専用エージェントまで完全自律エージェントと同じ扱いにしないください。 - リスク度別に実行モードをマッピング
低リスクはmonitor、曖昧ならwarnか require_approval、戻すのが難しい行動(決済・削除・外部送信)はblockを設定します。 - observe モードで先に監視する
いきなりブロックモードをオンにすると、誤検知で正常業務が止まります。実際のトラフィックで観察だけをしながらポリシーを調整してから、ブロックに移行してください。 - 監査証拠を自動的に積み重ねる
規制対応文書をその都度手作業で作るのではなく、違反・ブロック履歴が自動的に監査ログに積み重なるようにセットアップしてください。後で問われた時、ログですぐに証明できるようにしておく必要があります。
もっと深く知りたい方へ
Execlave公式サイト Enforce・Prove・Stop・Report ワークフローとリアルタイムポリシーダッシュボードを直接見られます execlave.com
Execlave vs Credo AI比較記事 ポリシー策定層と実行強制層がなぜ違うのか、最も明確にまとめた記事です execlave.com
Gravitee State of AI Agent Security 2026 組織がエージェントをいかに守れていないかを示す原始データレポートです gravitee.io
Gartner ガーディアン・エージェント市場ガイド — 5つの教訓 新しく誕生した「ガーディアン・エージェント」カテゴリを整理した解説記事です thehackernews.com
Gartner 一律ガバナンス警告の分析 すべてのエージェントを同じ強度で制限することがなぜ危険なのか、4段階自律性フレームワークを詳しく説明しています securitypointbreak.com
Stork.ai Execlave レビュー 実際の価格表と Microsoft・NVIDIA との競合製品比較を整理しています stork.ai
