生産AIのためのAIエージェントガードレールの実装

AIエージェントが何かを実行するために承認される方法

実行制御はアイデンティティから始まります。明確で制御された帰属可能なアイデンティティがなければ、エージェントのリクエストはポリシーに対して評価できず、承認された権限に結びつけることも、実行履歴を通じて追跡することもできません。

実行制御を弱体化させる最も迅速な方法の1つは、共有資格情報に依存することです。複数のエージェントが同じアカウント、APIキー、またはサービスアイデンティティを使用する場合、アクションを開始したのは誰か、意図された権限は何か、アクセスが適切にスコープされているかを判断するのが難しくなります。

エージェント駆動の実行を安全に承認するためには、アイデンティティと権限が管理され、帰属可能で、制約が必要です。

• 実行リクエストは制御された、監査可能なサービスアイデンティティを使用するべきです。
  エージェント駆動のアクションは、共有資格情報や人間のアカウントではなく、承認されたサービスアイデンティティを通じて実行されるべきです。
• 権限は特定の承認された作業にスコープされるべきです。
  アクセスは、定義された役割とポリシーに基づいて、承認されたジョブ、ワークフロー、サービス、および環境に制限されるべきです。
• すべてのリクエストは帰属可能であるべきです。
  実行リクエストは、承認、監査、および運用の可視性のために特定のアイデンティティと権限セットに追跡可能であるべきです。
• 実行権はオーケストレーションポリシーとRBACから来るべきです。
  エージェントが実行できるものは、承認されたオーケストレーションポリシーとロールベースのアクセスコントロールによって決定されるべきであり、アプリケーションコードから暗黙的に引き継がれるべきではありません。
• 匿名または共有された実行パスは避けるべきです。
  実行は、所有権、責任、またはアクセス境界を確立するのが難しい一般的な資格情報に依存すべきではありません。

本番環境での実行の様子

エージェントは、承認されたアイデンティティと権限を使用して制御プレーンを通じて実行リクエストを提出します。アクセスは承認されたワークフローとサービスにスコープされ、実行リクエストは作業が進む前に確立されたポリシーに対して評価されます。

その結果、アクションは帰属可能であり、アクセスは定義された境界内に留まり、実行ガバナンスは一貫して適用されます。

8つの実行ガードレール：施行すべきこと

インターセプションはチェックポイントです。以下の8つのガードレールは、アクションを実行する前に評価する必要があるものを定義しています。これらのいずれかが欠けている場合、エージェントはポリシー、承認、または運用の保護策を回避するパスを見つけることができます。

マルチエージェントシステムでの変化

シングルエージェントモデルでは、実行は比較的簡単です：エージェントがリクエストを出し、リクエストが評価され、決定がなされます。

マルチエージェントシステムでは、エージェントが作業を委任したり、コンテキストを交換したり、下流のアクションをトリガーしたりすることができます。これにより、単一の実行決定が一連の実行決定に変わります。その結果：

• 委任を通じてアクセスが拡大する可能性があります
• 帰属を追跡するのが難しくなる
• 承認の境界がハンドオフで生き残らない可能性があります
• 調整を通じて実行量が予期せず増加する可能性があります

コントロールは同じままです

マルチエージェントシステムは新しいガードレールを必要としません。同じガードレールが各重要な実行ステップで一貫して適用される必要があります。

実際には、下流のアクションを実行制御プレーンを経由してルーティングし、独立した評価を行うことを意味します。一つのステップで確立された信頼は自動的に次に進むとは限りません。

うまく機能しているときの様子

実行は調整が増加しても制御されたままです。権限は制限され、承認はリスクが存在するところに適用され、すべてのアクションは制御プレーンを通じて流れる際に帰属可能なままです。

エージェントアクセスからエージェント制御への道

チームはAIパイロットから本番環境に適した自律エージェントに直接移行することはありません。彼らはエージェントにアクセスを与えることから、そのアクセスが実行できることを制御することへ移行します。 

以下のモデルを使用して、あなたのアーキテクチャがどの位置にあるかを確認してください。

AIエージェントを試しているほとんどの組織は、レベル1とレベル3の間で操作しています。本番環境に適したAI操作は通常、オーケストレーションされた実行が共通の制御プレーンを通じてインターセプトされるレベル4から始まります。レベル3からレベル4への移行は、多くのAIイニシアチブが実験から本番規模の実行制御に移行する場所です。

なぜAPIゲートウェイまたはサービスメッシュだけでは不十分なのか

ほとんどの環境にはAPIゲートウェイ、IAMシステム、レート制限、およびサービスメッシュ制御があります。それらの制御は重要です。ただし、異なる問題を解決しています。

APIゲートウェイとサービスメッシュは「このリクエストはこのサービスに到達できますか？」という質問に答えます。実行制御は「このアクションは実行されるべきか？」という異なる質問に答えます。 

それらは実行を制御しません

APIゲートウェイとサービスメッシュは、ワークフロー、ジョブ、または運用アクションが依存関係、承認、ビジネスリスク、または回復要件に基づいて実行されるべきかどうかを評価するために設計されていません。

また、次のような決定を施行するものではありません：

• 「人間が承認するまでこれを一時停止する」
• 「上流のデータが到着するまでこれを実行しない」
• 「3回の失敗した試行後に再試行を停止する」

制御プレーンが異なること

制御プレーンは、異なるレベルでの意思決定を行います：

• アクションを管理しますが、リクエストを管理しません。
• アイデンティティだけでなく、コンテキストを評価します。
• 前提条件、承認、および回復ロジックを施行します。
• 個々の呼び出しだけでなく、全体のワークフローを制御します。

なぜこれがAIエージェントにとって重要なのか

AIエージェントは単にAPIを呼び出すわけではありません。彼らはアクションを動的に選択し、ワークフローを連鎖させ、生成された計画に基づいて実行をトリガーできます。

実行レベルの制御がない場合、エージェントが到達できるすべてのAPIまたは実行パスは効果的に「許可されている」となります。リスクの決定は、ポリシーを通じて明示的に行われるのではなく、コードや設定内で暗黙的に行われます。 

意図と実行の間にはチェックポイントがありません。