Anthropicの最高情報セキュリティ責任者が主催したCISOラウンドテーブルで、RubrikのAI担当GMであるDev Rishi氏は、参加者に率直な質問を投げかけた。AIガバナンスとセキュリティポリシーを文書化しているか、というものだ。約14人が手を挙げた。続いて、それらのポリシーを実際にどう執行しているのかと尋ねると、反応は大きく異なった。

「そして全員が笑った」とRishi氏は、Menlo Parkで開かれたVB Transform 2026のファイアサイドチャットで振り返った。「その場にいた全員がポリシーを持っているのに、それを実際のものにする方法がないという、部屋の中の公然の秘密のようなものでした」

ポリシーを持つことと、それを執行することの間にあるギャップこそ、Rubrikが狙っている領域だ。Rishi氏は、同社の創業者兼CTOが、同社のAIエージェントをYOLO modeとして知られる形で有効化するよう強く推進していることを明らかにした。これは、エージェントのワークフローから許可プロンプトを取り除き、エージェントが自律的に行動できるようにする設定だ。重要な企業データのバックアップを中核事業とする上場データセキュリティ企業による発言として、その意味は重い。

Rubrikの実装では、人間が承認をクリックする代わりに、第2のAIシステムがすべてのエージェント操作を組織ポリシーに照らしてリアルタイムで評価する。Rubrikはまずこのアプローチを自社で試験している。Rishi氏は、自律性を能力の問題ではなく判断の問題として位置づけた。「エージェントに自律的に行動するよう求めれば、そうします」と同氏は述べた。「社内で問うべきなのは、それをさせるべきか、ということです」

セキュリティ劇場からAIによる仲裁へ

Rubrikがこのアプローチに至ったのは、痛みを伴う経験を経てのことだった。Claude CodeとCoworkのパイロットを社内で開始した際、同社はすべてのコマンドをask modeで実行することを義務づけた。つまり、コマンドを発行した従業員が責任を負う形だ。開発者からの反発は強く、1本のSlackスレッドは120件のメッセージで埋まった。

「開発者たちは基本的に反発していて、『これはiTunesのサービス契約みたいなものだ。ただチェック、チェック、チェック、チェック、チェック、チェック、チェックと押しているだけだ』と言っていました」とRishi氏は振り返った。「実際にこれを読み通すことなどできません。そして、それはセキュリティ劇場になります」

この不満は広く共有されている。Rubrik Zero Labsの調査を引用し、Rishi氏は回答者のおよそ80%が同じ板挟みにあると述べた。この結果は、1,600人超のITおよびセキュリティリーダーを対象にした調査に基づく4月のレポート「The State of the Agent」によるもので、エージェント操作の監視と承認には、エージェント自体が節約する時間よりも多くの時間がかかると結論づけている。

Rubrikの答えが、SAGE、すなわちSemantic AI Governance Engineだ。SAGEはRubrik Agent Cloud内の仲裁レイヤーとして機能し、すべてのエージェント操作を監視し、その背後にある意味的な意図を解釈し、自然言語で作成されたポリシーに照らしてその操作が許容されるかどうかを判断する。「人々が良いアイデアだと言っていたhuman in the loopを、AI in the loopに置き換えたのです」とRishi氏は述べ、非決定論的システムに慎重なセキュリティリーダーにこの構想をどのように説明しているかを語った。

この転換が重要なのは、企業向けエージェントがチャットやコード提案を超え、記録システム、チケットキュー、リポジトリ、コミュニケーションツールへと進出しているためだ。その環境では、ガバナンスは文書化の作業ではなく実行上の問題になる。統制は、エージェントがツールを使おうとするその瞬間に作動しなければならない。

AIのROIを制約するのはコストではなくセキュリティ承認

Rishi氏の経歴は、AIと機械学習における有力組織にまたがっている。Rubrik入社前には、生成AIインフラスタートアップPredibaseを共同創業し、CEOとして率いた。同社についてRubrikは2025年6月に買収で合意した。それ以前は、後にVertex AIとなるGoogleのチームでMLプロダクトを率い、Kaggleが約100万人から1,000万人のユーザーへ成長する過程で同社初のプロダクトマネージャーを務めた。Harvardでコンピューターサイエンスの学士号と修士号を取得している。

Rubrikでの最初の約3か月半の間に、Rishi氏はGlobal 2000型の顧客基盤に属するITおよびセキュリティリーダーと200件の顧客対話を行い、コスト、レイテンシー、性能、オーケストレーションについて自由回答型の質問を投げかけた。

「これらすべての会話を通じて、かなり一貫して聞こえてきたのは、それらはすべてかなり二次的だということでした」と同氏は述べた。「主な課題は実際には、これをセキュリティとリスクの観点からどう承認してもらうかです。うまくいかない可能性のあるさまざまなことを懸念しています。実際、それがROIを制約する最大の要因の1つだと感じました」

その日の早い時間にTransformのステージで発表されたVentureBeat Pulseの調査は、Rishi氏が繰り返し耳にした内容を裏づけた。データによると、企業の66%、つまり3分の2は、人間によるレビューなしの本番導入をすでに許可しているか、積極的にそれに向けて構築している。それにもかかわらず、その判断を支える自動評価を全面的に信頼している企業はわずか5%にとどまる。

この信頼ギャップは、エージェントガバナンス製品にとって商機である一方、高い基準も設定する。自動レビューが、エージェントに人間の承認を回避させる仕組みになるのであれば、企業には、そのレビューレイヤーが本番ワークフローに十分な速度を持ち、セキュリティチームが説明できるだけの信頼性を備えているという証拠が必要になる。

ルールブックでは読めないものを読む1つのAI

Rubrik自身の社内ポリシーは、文書化されたルールが執行メカニズムとして不十分である理由を示した。あるルールは、エージェントがRubrikの顧客データ利用ポリシーを尊重しなければならないと定めている。一見すると執行可能に聞こえるが、実際に運用しようとすると難しい。

「Rubrikの顧客データ利用ポリシーは、法務文書が3ページほどあるものです」とRishi氏は述べた。「それをルールとしてどう書けばよいのか、私にはまったく分かりません」。AIインフラの専門家チームが、従来はセキュリティエンジニアが担う問題にどう取り組んだのかとステージ上で問われると、Rishi氏は「正直に言えば、多くの無邪気さと純粋さをもって」と答えた。

同チームの中核的な賭けは、言語理解に優れたモデルが他のモデルを効果的に取り締まれるというものだった。その結果としてSAGEが生まれた。モデルを判断席に置く根拠は、精度にある。たとえば、エージェントによるSalesforceの売上関連フィールド編集を禁止するルールは、従来型ツールでは機能しにくい。Salesforceはどのフィールドが売上に該当するかを区別していないためだ。その結果、管理者はすべてのSalesforce操作を手動で承認せざるを得なくなる。SAGEは代わりに意図を読み取り、組織的文脈を活用して、無害なデータ参照とポリシーが禁止する編集を見分ける。

経済的に成り立たせるには、判定役を小さく保つことが重要だ。SAGEは小規模言語モデル上で動作しており、Rishi氏によれば、フロンティアLLMに比べてコストとレイテンシーが1桁低い。「心配しないでください、安全でガバナンスも効きます。ただしコストとレイテンシーは2倍になります、と私が言ったら、あなたは私に部屋から出ていけと言うでしょう」と同氏は述べた。

Rishi氏が、過去1年にトークン消費を懸念した人がいるか聴衆に尋ねると、およそ半数が手を挙げた。「そして残り半分は、おそらく手を挙げるのが面倒だっただけでしょう」と同氏は冗談を述べた。

SAGEは、パラメーター効率の高いファインチューニングを用いた専門化された判定モデルの集合として構築されており、Rubrikは共有された組織コンテキストを持つベースモデルから、タスク固有の派生モデルを作成できる。ある判定モデルはツール利用のハルシネーションを監視し、別の判定モデルは個人を特定できる情報がシステム外に出る前に抑制する。それぞれが独立して執行可能なポリシーとして機能する。セキュリティチームとGRCチームは、個人プロジェクトへのAI支出を禁じる社内ポリシーを含め、財務ルールも同じレイヤーに書き込み始めている。

lethal trifecta

最も懸念している攻撃ベクトルを問われると、Rishi氏は、セキュリティ研究者Simon Willison氏が2025年6月に「lethal trifecta」と呼んだものを挙げた。この概念は、エージェントがプライベートデータを保持し、検証されていない外部コンテンツを取り込み、見つけた情報を外部へ送信する経路を持つ状態を指す。

Rishi氏によれば、中核的な危険は、個別には正当な権限が積み重なったときに複合的なリスクを生む点にある。従業員の認証情報でSalesforceアクセスとメールアクセスの両方を付与されたエージェントは、本質的にはまだ何も悪いことをしていない。あくまで、まだ、である。

「非常に単純な例として、エージェントがSalesforceからデータを取得し始め、その後、誤ってそれをメール経由で漏えい、流出させてしまうことがあります」と同氏は聴衆に語った。その朝にRishi氏が会った金融サービス企業もこの点を補強し、個々の権限はいずれも単独では問題ではなく、エージェントが役割を果たすにはそのすべてが本当に必要だと伝えたという。「それぞれのシステムへの権限は持つべきです。しかし、その組み合わせが最終的に非常に破壊的になるのです」とRishi氏は述べた。

従来のアイデンティティおよびアクセス管理は、このような組み合わせを想定していなかった。認証情報を持つ従業員の人間としての判断に依存していたからであり、エージェントはその判断を提供しない。「Claude Codeが当社の機密ソースコードを公開GitHubリポジトリに漏えいさせようとした回数は、非常に多いと言えます」とRishi氏は明かした。エージェントを公開リソースから完全に切り離せば、その有用性は失われる。そのため課題は、アクセスを広く取り消すことではなく、文脈の中で意図を裁定することに戻る。

VentureBeatが6月に実施した、適格な企業回答者107人を対象とする別のPulse調査は、このパターンの影響範囲を定量化した。その朝Transformのステージで発表されたVentureBeatの調査によると、企業の69%がエージェント群のどこかで認証情報の共有を行っている。認証情報をどこかで共有している組織は、セキュリティインシデントまたはニアミスを63.5%（74社中47社）の割合で経験しており、各エージェントが独自にスコープされたアイデンティティを持つ組織の40.9%（22社中9社）を上回った。

単一のやり取りでは見えない攻撃

Rubrik Agent Cloudは2月に一般提供を開始したが、Rishi氏が説明した機能のすべてがまだ出荷されているわけではない。バックテストは展開が始まったばかりだ。この機能は、組織の過去のエージェント操作とツール呼び出しを新しいポリシーに照らして再生し、どこでポリシーが介入したはずか、どこで操作が検出されずに通過したはずかを示す。ポリシーの編集はリアルタイムで適用できる。Rishi氏は、この履歴アーカイブを、企業が持つ最も価値あるデータ資産の1つだと述べた。

リアルタイムの検出とブロックは、製品全体ではなく入口にすぎないことが分かる。単一操作のルールには決して引っかからない攻撃もある。「会話の個々のターンには問題がありませんでした。しかしセッションを完全なトレースとして見ると、それが問題になっていたのです」とRishi氏は説明した。Agent Cloudは、セッション全体のトレースに対して1時間ごと、または1日ごとにバッチ分析を行い、Rubrikが「insights」と呼ぶもの、つまり個々のガードレールでは捕捉できなかった問題を浮かび上がらせる。

同じZero Labsレポートでは、組織の88%が、システムを中断せずにエージェントの操作をロールバックする能力を欠いていることも示された。これはRubrikが従来から専門としてきた領域に正面から重なる復旧上のギャップだ。

セキュリティチームにとって、ロールバックは執行のもう半分を成す。悪い操作をブロックすることは、システムがそれを時間内に捕捉できた場合にのみ有効だ。エージェントが問題に誰も気づく前に複数ステップのワークフローを完了してしまった場合、対応は何が変更され、どのツールが使われ、組織がより広範な障害を引き起こさずにその影響を元に戻せるかを把握できるかに依存する。

残された問い

懐疑的なCISOなら、このファイアサイドチャットで答えられなかった問いを提起するだろう。SAGE自体が、他の非決定論的モデルを評価する非決定論的モデルであり、Rishi氏はその判定役について偽陽性率も偽陰性率も示さなかった。アーキテクチャが答えに最も近づくのは監査可能性だ。バックテストとバッチインサイトはいずれも、SAGEが下したすべての判断と、それをすり抜けたすべての操作について、人間がレビューできる記録を生成する。現時点で「監視者を誰が監視するのか」という問いへの答えは、公表されたベンチマークではなく、証跡の積み重ねである。そのようなベンチマークが存在するまでは、AI-in-the-loopは定量化された統制ではなく、運用上の賭けにとどまる。

このセッションから、自社の準備状況を評価するセキュリティチームに向けて3つの問いが浮かび上がる。現在本番環境にあるガードレールのうち、人間が承認をクリックすることに依存しているものはいくつあり、エージェント数が増えたときその作業負荷はどうなるのか。スタックのどこかに意味的意図を執行する構成要素はあるのか、それとも完全に許可リストと拒否リストに依存しているのか。そしてチームは、新しいポリシーに照らしてエージェントの挙動をバックテストし、システムをオフラインにせずに複数ターンのセッションを巻き戻せるのか。

Rishi氏のタイミングは、測定可能な市場需要と一致している。同じVentureBeatの調査では、企業の82%が依然として、主要AIプロバイダーに組み込まれたガードレールとクラウド統制を、自社の主要なエージェントセキュリティレイヤーとして挙げている。一方で、59%は今後12か月以内にエージェントセキュリティツールを採用、追加、または置き換える予定だ。認証情報の共有がなお一般的であるにもかかわらず、検討対象にエージェントアイデンティティ製品を含めているのはわずか12%にすぎない。

AnthropicのラウンドテーブルにいたすべてのCISOはポリシー文書を持っていたが、執行メカニズムを欠いていた。Rubrikは、その2つの現実の間にある空白に向けて製品を構築した。YOLO modeは、他のAIを監視するAIが、ついにそれらのポリシーを運用可能にできるという賭けを表している。