重要
この記事の一部の情報は、市販される前に大幅に変更される可能性があるプレリリース製品に関するものです。 Microsoft は、ここで提供されるいかなる情報に関して、明示または黙示を問わず、いかなる保証も行いません。
コーディング アシスタント、CLI ツール、デスクトップ AI アプリ、自律エージェント プラットフォームなどのローカル AI エージェントは、エンドポイントでユーザー特権で実行されます。 これらのエージェントは、プロンプト、ファイル、ウェブコンテンツ、ツール出力からのテキストに作用します。 信頼できるコンテンツと隠された指示を確実に分離することはできません。 単一の注入命令によって、エージェントのアクセス権が悪用され、データが流出したり、コードが改変されたり、有害なコマンドが実行されたりする可能性があります。
Microsoft Defenderは、コンテンツがエージェントの推論に入ったり出たりするエージェントループの重要なポイントを検査することで、AIエージェントのランタイム保護を提供します。 これにより、悪意のあるプロンプトやそれによって引き起こされる有害なエージェントの行動を検出し、それらを監査し、検査方法が許可する場合は実行前にアクションをブロックするのに役立ちます。 Defenderは2つの検査アプローチを採用しています。ベンダーサポートのイベントインターフェースを公開するエージェント向けのエージェントネイティブイベント検査と、カバーネットワークパス向けのネットワーク検査です。 ランタイムプロテクションがどのように攻撃を検出・ブロックするかについて詳しく知りたい方は、「ランタイムプロテクションが検出する攻撃」および「どのように機能するか」をご覧ください。
ランタイム保護が何を阻止するか、その仕組み、検出の調査方法を学びましょう。
ヒント
ランタイム保護は、デバイス上のローカルAIエージェントとそのMCPサーバー構成をインベントリ化するMicrosoft Defenderのディスカバリー機能を補完します。 詳細については、「Microsoft Defender for Endpointを使用したローカル AI エージェントの検出」を参照してください。
ヒント
テストデバイス上でランタイム保護を安全に検証するには、 AIエージェントランタイム保護デモンストレーションを実行してください。
ランタイム保護で検出される内容
ランタイム保護は、悪意のあるプロンプトやそれに伴うエージェントの動作の侵害に対する防御に役立ちます。 Defenderはエージェントループの重要なポイント、つまりコンテンツがエージェントの論理に入ったり出たりするポイントを検査し、コンテンツの発生源(ファイル、ウェブページ、リポジトリ、ツールの出力など)に関わらず攻撃を検知します。
たとえば、コーディング エージェントはプロジェクトのドキュメントをフェッチして質問に回答し、ページには、エージェントにローカル の .env ファイルを読み取り、その内容を外部 URL に投稿するように指示する非表示のテキストが含まれています。 エージェントは命令をページの一部として扱い、準拠しようとしているが、Defender はツール応答でプロンプト挿入を検出し、データがデバイスから離れる前にアクションをブロックします。
メカニズム
ランタイム保護はエージェントの活動を検査するために2つのアプローチを用いています: エージェントネイティブイベント検査 と ネットワーク検査です。
エージェントネイティブなイベント検証
エージェントネイティブのイベント検査では、エージェントによって公開されるベンダーがサポートするイベント インターフェイスが使用されます。 Claude Code、Codex CLI、GitHub Copilot CLI などのエージェントはこれらのインターフェイスを提供し、Defender はエージェントの活動を検査し、エージェントのワークフローの重要なポイントで監査やブロックの決定を適用するためにこれらを使用します。
Defenderは利用可能なエージェントの活動を悪意あるプロンプトや高リスクの行動がないかスキャンします。 エージェントがサポートするイベントインターフェースによっては、Defenderは悪意のあるコンテンツがエージェントループを通過するのを止めたり、有害なツールアクションの実行を阻止したりできます。
各スキャンはエージェントプロセスの継続的な監視ではなく、高速でインラインチェックを行うため、追加の遅延は最小限です。
ネットワーク検査
ネットワーク検査では、エージェントネイティブのイベント インターフェイスを公開しないエージェントにランタイム保護が拡張されます。 構造化エージェントイベントに依存する代わりに、Defenderはサポートマトリックスでカバーされるエージェントから大規模言語モデル (LLM) へのネットワークフローを検査し、通信中のプロンプトインジェクションを検出します。
ネットワーク経由で LLM サービスと通信するが、ベンダーがサポートするイベント インターフェイスを公開しないエージェントを保護する場合は、ネットワーク検査を使用します。 このアプローチは、モデルとのやり取り前ややり取り中にランタイム保護が全くないエージェントのカバレッジギャップを埋めるのに役立ちます。
Note
ネットワーク検査では、証明書のピン留めまたは HTTP/3 を使用するエージェントはサポートされていません。
ランタイム保護を有効にするとどうなりますか
デバイスで有効化されると、Defender は利用可能な検査ポイントでエージェントの活動を検査し、ユーザーのエージェント運用方法を変更しません。 検出後の動作は、構成済みのモードによって異なります。
- ブロック： Defender は脅威をブロックし、デバイス用に構成された通知ルールに従います。 Defender は、エージェント UI と Windows トースト通知の両方でユーザーに通知します。 検出はデバイスの Defender 保護履歴に記録され、セキュリティ アラートが Defender に送信され、SOC が調査するインシデントに関連付けられます。
- 監査： Defender を使用すると、アクションを続行し、検出を記録できます。 調査のために Defender でセキュリティ アラートが引き続き発生します。
- 無効： ランタイム保護はオフです。 Defender はエージェントアクティビティを検査せず、エージェントはプロンプトインジェクション検出またはブロッキングなしで実行されます。
Microsoft では、アクティブな適用のためにブロック モードに切り替える前に、検出を観察し、精度を検証するために監査モードから開始することをお勧めします。 ランタイム保護設定は改ざん防止によって保護され、不正な変更を防ぎ、既存の Defender コントロールと共に機能します。
ローカルPowerShellおよび組織全体のMicrosoft Intune設定オプションについては、「Microsoft Defender for EndpointでAIエージェントランタイム保護の設定」をご覧ください。
調査
ランタイム保護でプロンプトの挿入が検出されると、Defender は 不審な AI プロンプト インジェクション アラートを発生させ、関連するアクティビティを調査のためにインシデントに関連付けます。
ユーザーと SOC エクスペリエンスを含む完全な調査ワークフローについては、「 検出の確認と調査」を参照してください。
サポートされているエージェント
エージェント別、モード別、検査手法別、最小バージョン別、およびベンダー フックの対応状況に関するドキュメントについては、Microsoft Defender for Endpoint AI エージェント サポート マトリックスをご覧ください。
より広範な AI セキュリティ機能
Defender のランタイム保護機能は、包括的な AI セキュリティ アプローチの一部です。 Defenderは、貴組織のAIエコシステムに他の機能を提供します:
- ローカルAIエージェントの発見:Defenderがエージェントの活動を監視した後、デバイス上でローカルAIエージェントとその設定済みMCPサーバーを検出します。 詳細については、「Microsoft Defender for Endpointを使用したローカル AI エージェントの検出」を参照してください。
- クラウドおよびプラットフォーム エージェントの検出: Microsoft Copilot Studio、Microsoft Foundry、Amazon Web Services (AWS) Bedrock、および Google Cloud Platform (GCP) Vertex AI を使用して構築されたエージェントを検索します。
- セキュリティ体制の評価: エージェントの構成を評価し、リスクを特定し、優先順位付けされた推奨事項を取得し、攻撃パスを表面化します。
- 脅威の検出と調査:アラートを関連付け、セキュリティインフラにおける不審なエージェントの行動を調査します。
これらの機能とその適用方法の詳細については、「Microsoft Defenderを使用して新たな脅威や脆弱性から AI 資産を保護する」を参照してください。