Microsoft Defender for Endpointを使用した AI エージェントランタイム保護 (プレビュー)

コーディング アシスタント、CLI ツール、デスクトップ AI アプリ、自律エージェント プラットフォームなどのローカル AI エージェントは、エンドポイントでユーザー特権で実行されます。 これらのエージェントは、プロンプト、ファイル、Web コンテンツ、ツール出力からテキストに対して動作し、信頼されたコンテンツを非表示の指示から確実に分離することはできません。 単一の注入命令によって、エージェントのアクセス権が悪用され、データが流出したり、コードが改変されたり、有害なコマンドが実行されたりする可能性があります。

Microsoft Defenderは、エージェント ループ内の重要なポイント (ユーザー プロンプト、実行前のツール要求、実行後のツールの応答) を調べることで、AI エージェントのランタイム保護を提供します。 これにより、迅速な挿入とリスクの高いエージェント アクションの検出、監査、およびサポートされるアクションの実行前のブロックを行うのに役立ちます。 Defenderでは、ベンダーがサポートするイベント インターフェイスを公開するエージェントのエージェントネイティブ イベント検査と、サポートされているネットワーク パス経由で通信するエージェントのネットワーク検査という 2 つの検査方法がサポートされています。 ランタイム保護の監査とブロックのプロンプト挿入の詳細については、「 ランタイム保護が検出する内容 」と 「動作方法」を参照してください。

この記事では、ランタイム保護が停止する内容、動作方法、検出を調査する方法について説明します。

ランタイム保護で検出される内容

ランタイム保護は、ローカル AI エージェントに対する定義的な脅威を対象とします。プロンプト インジェクションでは、エージェントが読み取って動作する正当なコンテンツの内部に隠された悪意のある指示が含まれます。 Defender は、コンテンツがエージェントの推論に入ったり離れたりする 3 つのポイントを検査します。ユーザーのプロンプト、エージェントを呼び出すツール、それらのツールが返す応答です。 この方法では、ファイル、Web ページ、リポジトリ、ツールの出力など、コンテンツの送信元に関係なく挿入がキャッチされます。

たとえば、コーディング エージェントはプロジェクトのドキュメントをフェッチして質問に回答し、ページには、エージェントにローカル の .env ファイルを読み取り、その内容を外部 URL に投稿するように指示する非表示のテキストが含まれています。 エージェントは命令をページの一部として扱い、準拠しようとしているが、Defender はツール応答でプロンプト挿入を検出し、データがデバイスから離れる前にアクションをブロックします。

メカニズム

ランタイム保護では、次の 2 つの方法を使用してエージェント アクティビティを検査します。

エージェントネイティブなイベント検証

エージェントネイティブのイベント検査では、エージェントによって公開されるベンダーがサポートするイベント インターフェイスが使用されます。 これらのインターフェイスは、ユーザーがプロンプトを送信したとき、エージェントがツールの使用を要求したとき、ツールが応答を返した後など、エージェント ワークフローで構造化されたチェックポイントを提供します。 Claude Code、Codex CLI、GitHub Copilot CLI などのエージェントはこれらのイベント インターフェイスを公開し、Defenderはそれらを使用してエージェント アクティビティを検査し、サポートされている場合は監査またはブロックの決定を適用します

エージェントがベンダーがサポートするエージェント イベント インターフェイスを公開すると、Defenderはエージェント ループの主要なステージでペイロードを受け取ります。

• ユーザー プロンプト: エージェントに送信されたプロンプト。
• ツール前呼び出し: 実行前のツール呼び出し要求。
• ツール後の応答: 実行が完了した後のツールの応答。

Defenderは、これらのペイロードをスキャンして、迅速な挿入と危険度の高いエージェント アクティビティを確認します。 Defenderは、サポートされている各イベント ポイントでアクティビティを監査またはブロックできます。 イベントの種類によっては、ブロックによってプロンプトの処理が妨げられる、要求されたツール アクションが実行されないようにする、またはツールの応答がエージェント ループで続行されないようにすることができます。

各スキャンは、エージェント プロセスの継続的な監視ではなく、これらのイベント ポイントのいずれかで高速なインライン チェックを行うため、追加の待機時間は最小限です。

これらのエージェント イベント インターフェイスに関するベンダー ドキュメントについては、Claude Code のドキュメント、Codex CLI のドキュメント、およびGitHub Copilotドキュメントを参照してください。

ネットワーク検査

ネットワーク検査では、エージェントネイティブのイベント インターフェイスを公開しないエージェントにランタイム保護が拡張されます。 Defenderは、構造化されたエージェント イベントに依存するのではなく、サポートされているエージェント間言語モデル (LLM) ネットワーク フローを検査して、転送中のプロンプト挿入を検出します。

ネットワーク経由で LLM サービスと通信するが、ベンダーがサポートするイベント インターフェイスを公開しないエージェントを保護する場合は、ネットワーク検査を使用します。 これにより、そうでなければモデルとのやり取りの前または最中にランタイム保護を受けられないエージェントに対する保護範囲のギャップを埋めるのに役立ちます。

ランタイム保護を有効にするとどうなりますか

デバイスで有効にすると、Defender はサポートされているエージェントをフック ポイントで検査します。ユーザーが作業する際に、エージェントの実行方法を変更する必要はありません。 検出後の動作は、構成済みのモードによって異なります。

• ブロック： Defender は脅威をブロックし、デバイス用に構成された通知ルールに従います。 Defender は、エージェント UI と Windows トースト通知の両方でユーザーに通知します。 検出はデバイスの Defender 保護履歴に記録され、セキュリティ アラートが Defender に送信され、SOC が調査するインシデントに関連付けられます。
• 監査： Defender を使用すると、アクションを続行し、検出を記録できます。 調査のために Defender でセキュリティ アラートが引き続き発生します。
• 無効： ランタイム保護はオフです。 Defender はエージェントアクティビティを検査せず、エージェントはプロンプトインジェクション検出またはブロッキングなしで実行されます。

Microsoft では、アクティブな適用のためにブロック モードに切り替える前に、検出を観察し、精度を検証するために監査モードから開始することをお勧めします。 ランタイム保護設定は改ざん防止によって保護され、不正な変更を防ぎ、既存の Defender コントロールと共に機能します。

構成手順については、「 ランタイム保護を有効にする」を参照してください。

調査

ランタイム保護でプロンプトの挿入が検出されると、Defender は 不審な AI プロンプト インジェクション アラートを発生させ、関連するアクティビティを調査のためにインシデントに関連付けます。

ユーザーと SOC エクスペリエンスを含む完全な調査ワークフローについては、「 検出の確認と調査」を参照してください。

サポートされているエージェント

次の表に、エージェントネイティブのイベント検査によるランタイム保護で Defender がサポートするローカル AI エージェントの一覧を示します。

より広範な AI セキュリティ機能

Defender のランタイム保護機能は、包括的な AI セキュリティ アプローチの一部です。 Defender は、organizationの AI エコシステム全体で他の機能を提供します。

• ローカル AI エージェントの検出: サポートされているローカル AI エージェントと MCP サーバー構成をデバイス全体で自動的に検出します。 詳細については、「Microsoft Defender for Endpointを使用したローカル AI エージェントの検出」を参照してください。
• クラウドおよびプラットフォーム エージェントの検出: Microsoft Copilot Studio、Microsoft Foundry、Amazon Web Services (AWS) Bedrock、および Google Cloud Platform (GCP) Vertex AI を使用して構築されたエージェントを検索します。
• セキュリティ体制の評価: エージェントの構成を評価し、リスクを特定し、優先順位付けされた推奨事項を取得し、攻撃パスを表面化します。
• 脅威の検出と調査: アラートを関連付け、セキュリティ インフラストラクチャ全体で疑わしいエージェントの動作を調査します。

これらの機能とその適用方法の詳細については、「Microsoft Defenderを使用して新たな脅威や脆弱性から AI 資産を保護する」を参照してください。

次の手順

• Microsoft Defender for Endpointを使用して AI エージェントランタイム保護を設定する
• Microsoft Defender for Endpointを使用したローカル AI エージェントの検出