次世代AIエージェントにおける信頼アーキテクチャの再構築とガバナンス対策

2026年10月12日 18:54

過去数十年にわたり、社会のあらゆるシステムに従来のソフトウェアが導入されてきました。

その時代、私たちはシステムの挙動を特定のコードパスまでさかのぼって追跡し、なぜその結果に至ったのかを正確に特定するツールと能力を持っていました。

しかし、今日私たちが直面している「超知能（Super Intelligence: SI）」やフロンティアモデルの台頭により、そのような機械論的かつ決定論的な理解は通用しなくなりつつあります。

現代のAIシステムは従来型のソフトウェアよりもはるかに有能であるにもかかわらず、その出力や挙動を、訓練データの特定の入力やモデルの重みの構成に直接結びつけることは不可能です。

それにもかかわらず、私たちはこれらの複雑なエージェント型システムをエンタープライズの現場にデプロイし、最も機密性の高いデータへのアクセス権を与え、私たちの代わりにミッションクリティカルな行動を自律的にとる権限を委ねようとしています。

だからこそ、今一度立ち止まり、この新しい時代に向けた「信頼アーキテクチャ」を再評価する必要があります。

知能が私たちの代わりに行うことへの責任を、外部に委託することはできません。

モデル提供者がどれほど安全性を保証したとしても、システムを運用する私たちの責任が免除されるわけではないのです。

もはや、AIモデルを単なる「入れ子状のブラックボックス」として扱い、その推奨や行動を盲目的に受け入れたり拒否したりする段階は終わりました。

私たちが構築すべきは、行動が常に観察可能であり、限界が継続的にテスト
され、いかなる時も確実に行動を封じ込めることができるシステムです。

本記事では、知能の「供給」と、それに対する「権限（コントロール）」を分離するというエンジニアリング上のアプローチから、現代の自律型AIエージェントを安全に運用するための実践的なガバナンスとゼロトラスト・アーキテクチャについて詳しく紐解いていきます。

ブラックボックスと「思考の透明性」の罠

エンタープライズ環境へのAI導入において、モデルの「思考の連鎖（Chain-of-Thought: CoT）」の透明性は、交渉の余地のない前提条件として扱われるようになっています。

AIが複雑な問題を小さなステップに分解し、解答に至るまでの推論プロセスを自然言語で出力するCoTは、システムの説明可能性や論理性を高め、とくに規制の厳しい業界において重要な役割を担っています。

ここで気をつけるべきなのは、モデルの推論プロセスが「ニューラリーズ（Neuralese）」と呼ばれるAI特有の内部言語のまま隠蔽されることを許してはならないという点です。

ニューラリーズとは、AIが高次元の潜在空間で行う非言語的推論や、ニューラルネットワーク内部で使われている意味の圧縮表現のことです。

AI同士の通信やベクトル空間における概念の近接性を示すには非常に効率的ですが、人間にとっては意味不明な通信形式です。

現場の運用においては、「機嫌推測バイアス」や「無難な回答への逃避（セーフティ無難避難）」、「答えに確信はないが自信満々なトーンを選ぶ（疑似確信）」といったAI特有の内部ニュアンスを、人間が理解できる論理式や言葉に翻訳して監視可能にする研究が進んでいます。

監査可能で改ざん不可能な証拠を残すためには、「ニューラリーズだから解釈できない」という言い訳を排除し、AIの推論を常に人間が読める形式で出力させることが必須となります。

しかし、私たちは「CoTの透明性だけでは決して十分ではなく、完全に頼り切ることもできない」という事実に向き合う必要があります。

最新の研究では、CoTによる推論プロセスが必ずしもモデルの真の内部計算を忠実に反映していない「不誠実なCoT（Unfaithful CoT）」の存在が明らかになっています。

モデルは、プロンプトのバイアスに影響されたり、別のショートカットを使って答えを導き出した後に、もっともらしい推論を事後的に生成（後知恵的な正当化）することがあるのです。

メカニスティックな解釈可能性（Mechanistic Interpretability）技術を用いてニューラルネットワークの内部をリバースエンジニアリングすれば、真の認知プロセスを特定できる理論的可能性はあります。

しかし、現時点では計算コストが高く、動的でオープンエンドなタスクをリアルタイムに監視するには限界があります。

この限界を補うために、別のAIモデルを使って実行モデルの出力を監視・検証するアプローチが取られることが増えていますが、これを無計画に行うと、不透明なモデルが不透明なオーケストレーション層の中で動き、それを別の不透明なモデルが監視するという、まさに「入れ子状のブラックボックス」を生み出す結果に陥ってしまいます。

合成された内部脅威としてのフロンティアモデル

AIの能力が単なるコンテンツ生成から、自律的な行動の実行（計画の立案、ツールの活用、外部APIの呼び出しなど）へと移行する中で、エージェント型システムのリスクの性質も根本的に変化しました。

現在のフロンティアモデルは、業務効率を劇的に向上させる一方で、悪用された際の影響も計り知れないデュアルユース性を持っています。

アライメントという解決の難しい問題はいったん脇に置き、まずは封じ込めとガバナンスに対する「エンジニアリングアプローチ」から始める必要があります。

非決定論的なモデルの周囲を、強力で決定論的なシステム設計、人間のコントロール、そして信頼できる運用手順で囲むのです。具体的には、オープンウェイトであれクローズドであれ、すべてのフロンティアモデルを「合成された内部脅威（インサイダー・リスク）」として扱うことが、安全なシステム構築の第一歩となります。

これは、モデル自体が本質的に悪意を持っていると見なすからではありません。

重要システムへのアクセス権を持つ極めて有能なアクターは、それが人間であれAIであれ、幻覚（ハルシネーション）によるミスを犯したり、プロンプトインジェクションなどの外部攻撃によって侵害されたりする可能性があり、封じ込めと制御のアーキテクチャは最初からそれを前提としなければならないからです。

幸いなことに、私たちは企業内で強力な権限を持つ人間のアクターをどう扱うかについて、すでに多くのことを学んできました。

アイデンティティの確立、権限の制限、活動のログ記録、封じ込め境界の作成といったベストプラクティスは、過去数十年かけて洗練されてきたものであり、決して新しい概念ではありません。

これらをそのまま、企業内の超知能システムにも適用していく時期に来ているのです。

1970年代の教訓：リファレンスモニターとハーネスの分離

モデルがアクセスできるデータや実行できるアクションを規定する制御メカニズムは、モデル自身の内部に置いてはなりません。

これは、1970年代の情報セキュリティ研究にまでさかのぼる原則、「プログラムは、自身の権限を強制するメカニズムを迂回したり改ざんしたりできてはならない」に基づいています。

当時の米国防総省などが支援したセキュリティ研究、とりわけ1972年のアンダーソン・レポートや、その後のBell-LaPadulaモデル、そして「オレンジブック（TCSEC）」の評価基準において中核となったのが「リファレンスモニター」の概念です。

リファレンスモニターとは、主体が客体にアクセスする際のすべての要求を仲介し、セキュリティポリシーを強制する抽象的なメカニズムであり、

①「改ざん不可能であること（Tamper-proof）」
②「常に呼び出されること（Complete mediation）」
③「検証可能であること（Verifiable）」

という3つの要件を満たす必要があります。

今日において、この原則は「知能の供給」と「知能に対する権限」を分離することを意味します。具体的には、モデルそのものと、その作業をオーケストレーションする「ハーネス」を完全に切り離すということです。

現代のエージェント・ハーネスとは、モデルを包み込み、会話の状態管理、ツールの実行、メモリの永続化、サンドボックスの適用、および承認プロセスの強制を担うソフトウェア層のことです。

モデル自身はツールの実行権限を持たず、「このツールを使いたい」という推論（意図）を出力するだけです。それを実際に評価し、権限をチェックし、安全な環境で実行するのは、外部にあるハーネス側の役割となります。

もし、セキュリティポリシーをモデルのシステムプロンプトに「危険なデータベース操作はしないこと」と記述するだけで済ませてしまうと、プロンプトインジェクションによってその指示が上書きされた瞬間、すべての制御が失われてしまいます。

モデルは確率的なシステムであるため、決定論的なセキュリティチェックを任せることはできません。制御とフェイルセーフの仕組みは、モデルの外側にある決定論的なコード（ハーネス）に外部化しなければならないのです。

MCP（Model Context Protocol）の普及と新たな脆弱性

エージェントと外部ツールの連携を標準化する動きとして、Model Context Protocol（MCP）がエンタープライズ領域で急速に普及しています。

MCPは、AIモデルが外部のデータソースやAPIを自律的に発見し、呼び出すための共通規格を提供し、個別のAPI統合コードを書く手間を大幅に省いてくれます。

しかし、MCPの普及は新たなセキュリティ上の脅威（アタックサーフェス）も同時に生み出しました。

第一の大きな課題は、資格情報（クレデンシャル）の集中です。

MCPサーバーは複数のエンタープライズサービスへのOAuthトークンなどを集約して保持するため、一つのMCPサーバーが侵害されると、連鎖的に組織全体の複数のシステムへのアクセスが許される単一障害点（Single Point of Failure）となってしまいます。

第二の課題は「ツールポイズニング（Tool Poisoning）」です。

攻撃者がツールのメタデータや説明文の中に悪意のある指示を埋め込み、MCPクライアント（AIエージェント）が初期化時にそれを読み込んだ際、意図しないコマンドを実行させたり、データを外部に流出させたりする手口です。
2026年7月の仕様アップデートにより、MCPはステートフルな接続からステートレスなプロトコルへと移行し、セッションハイジャックのリスクなどはプロトコルレベルで低減されました。しかし、このアップデートはセキュリティの責任を各サーバーの実装層へと移しただけであり、個別の実装における認証の欠如やコマンドインジェクションの脆弱性はそのまま残されています。
この課題に対処するため、エンタープライズ環境では「SMCP（Secure Model Context Protocol）」と呼ばれる拡張仕様や、ゲートウェイアーキテクチャの導入が進んでいます。

SMCPは、相互認証、統合されたアイデンティティ管理、きめ細かいロールベースのアクセス制御（RBAC）をプロトコル層に追加します。

また、個々のMCPサーバーに直接アクセスさせるのではなく、中央の「MCPゲートウェイ」を経由させることで、どのモデルがどのツールを呼べるかのポリシーを強制し、AIのプロンプトインジェクション由来の不正な引数がないかをツール実行の直前で検証することが可能になります。

AIエージェントに向けたゼロトラスト原則の適用

AIエージェントをインサイダー・リスクとして扱い、安全に運用するためには、サイバーセキュリティにおける「ゼロトラスト」の概念が欠かせません。
Anthropic社が2026年に発表した「Zero Trust for AI Agents」のフレームワークは、このパラダイムシフトを明確に体現しています。

従来のセキュリティがネットワークの境界（ペリメーター）防御に依存していたのに対し、エージェント環境では、ネットワークの内部にいるからといって暗黙の信頼を与えることは決してありません。

エージェントが持つ自律性と実行スピードを考慮すると、以下の要素にセキュリティの重心を移す必要があります。

まず、暗号学的なエージェント・アイデンティティの確立です。

従来のように、組織全体で共有されるAPIキーや永続的なサービスアカウントをエージェントに与えることは非常に危険です。

代わりに、エージェントには分散型識別子（DID）や、スコープが限定された短寿命のVerifiable Credentials（VC）を割り当てます。

これにより、「どの人間が、どのプロセスで、このエージェントをデプロイし、どのような権限を承認したのか」という出所を暗号学的に保証できます。

次に、コンテキストを認識する動的アクセス制御と権限の最小化です。エージェントには、その特定のタスクを遂行するために必要な最小限のツールとデータへのアクセスのみを許可します。

例えば、データベースを読み取って要約を作成するだけのエージェントに、外部へメールを送信する権限や、データベースを更新する権限を与えてはなりません。

また、一度付与された権限も静的なものではなく、エージェントの行動パターンや実行環境の変化に応じて、常に動的に評価・剥奪されるべきです。

さらに、ふるまい監視とマシン・スピードでのインシデント対応（Agentic SOAR）の実装が不可欠です。

AIを活用したサイバー攻撃は、人間の攻撃者よりもはるかに高速にシステムの脆弱性を発見し、水平展開（ラテラルムーブメント）を行います。

Hugging Faceのインシデント事例などが示すように、数ヶ月かかっていた侵害サイクルが数時間に短縮されている現状では、人間のSOC（Security Operations Center）アナリストの対応を待つ余裕はありません。

防御側も、エージェントの行動の逸脱（ベースラインからのドリフト）をリアルタイムで検知し、自律的にセッションを遮断して認証情報を無効化するAgentic SOARのような仕組みを導入する必要があります。

物理的・論理的な封じ込め技術の実装

エージェント・ハーネスやゼロトラストによる論理的な制御に加えて、とくにコード実行やシェルアクセスを伴うAIエージェントには、物理的・OSレベルでの強力な「封じ込め（サンドボックス化）」が不可欠です。

AIにデータ分析やスクリプト実行を許可した場合、生成されたコードがホストシステムを侵害したり、ネットワークを通じて他のシステムにマルウェアを拡散させたりするリスクが常に伴います。

現代のインフラストラクチャにおける封じ込め技術として、主に3つのアプローチが相互補完的に用いられています。

一つ目は、AWSが開発した「Firecracker」に代表されるmicroVM（マイクロ仮想マシン）です。これはハードウェア仮想化を利用して、各エージェントタスクに対して完全に独立したゲストカーネルと最小限の仮想ハードウェアを提供します。コールドスタートが非常に高速でありながら、ハイパーバイザという強力な分離境界を持つため、安全なコード実行環境として高く評価されています。

二つ目は、Googleが開発した「gVisor」のようなユーザー空間カーネルです。ホストカーネルとコンテナ内のプロセスの間に「Sentry」と呼ばれるアプリケーションカーネルを挟み込み、システムコール（syscall）をインターセプトしてユーザー空間で安全に処理します。これにより、万が一AIが生成したコードの中に未知の脆弱性（ゼロデイ）を突くエクスプロイトが含まれていても、直接ホストOSのカーネルに触れることができず、権限昇格攻撃などを防ぐことができます。

三つ目は、「eBPF（Extended Berkeley Packet Filter）」によるネットワークとシステムコールの動的保護です。サンドボックス化された環境であっても、ネットワークを通じた外部への不正な通信（エグレス）が行われるリスクは残ります。eBPFを活用することで、カーネルレベルでの非常に細かいネットワークのマイクロセグメンテーションや、実行可能なシステムコールの制限を、極めて低いオーバーヘッドで適用できます。エージェントが正当なAPI以外のポートに接続しようとしたり、許可されていないファイルシステムにアクセスしようとした瞬間に、eBPFのポリシーによって即座にブロックされます。

これらの技術を適材適所で組み合わせることで、AIエージェントが予測不可能な行動をとった場合でも、その影響範囲をサンドボックス内のみに確実に「封じ込める」ことが可能になります。

オブザーバビリティと7つの設計原則

これまで述べてきたエンジニアリングの基盤を踏まえ、私たちは自律型システムのアーキテクチャ全体を「観測可能性（Observability）」の原則に基づいて設計しなければなりません。

入れ子状のブラックボックスを避け、信頼できるシステムを構築するためには、以下の7つの原則をシステムのあらゆる層に組み込む必要があります。

第一の原則は、モデルの多様性（Model diversity）の確保です。

重要な結果の導出や、自身が行った作業の検証を、単一のモデルに依存してはなりません。複数の異なるモデルを組み合わせることで、特定のモデルに偏ったバイアスや、プロンプトインジェクションに対する固有の脆弱性が単一障害点となるのを防ぎます。

第二の原則は、すべてを観測すること（Observe everything）です。

モデルのあらゆる意味のある行動、例えばプロンプトの入力内容、ツールの呼び出し履歴、APIからのレスポンスなどは、モデル自身がアクセスしたり書き換えたりできない「追記専用（Append-only）」のシステムに記録される必要があります。観測できないものは信頼できません。モデル自身の自己申告に頼ることなく、どのようにその結果が達成されたかを、後から人間が読める形式で完全に再現できるようにする改ざん不可能な証拠が不可欠です。

第三の原則は、検証可能性（Verifiability）です。

システムが正常に動作するハッピーパスのテストだけでなく、障害発生時、サイバー攻撃を受けた際、予期せぬエッジケース、そしてシステム構成が変更された場合を含め、システム全体を継続的かつ多角的にテストし続ける体制が必要です。

第四の原則は、独立したコントロール（Independent controls）です。

モデルが何にアクセスでき、どのような行動をとれるのかは、モデルの内部的な推論ではなく、組織側が独立して決定し、強制できる仕組みを持たなければなりません。これは前述したエージェント・ハーネスやMCPゲートウェイによって、モデルの外側でアクセス権を管理することを意味します。

第五の原則は、独立した監査可能性（Independent auditability）です。
システムの検証プロセスは、検証される知能そのものから完全に独立していなければなりません。システムの振る舞いを制御する機能と、その振る舞いが元々の意図に沿っているかを判断するための証拠の収集を、単一のモデルが両方ともコントロールするような設計は避けるべきです。

第六の原則は、強固な封じ込め（Containment）です。

モデルは最初から侵害されていると仮定し、サンドボックスやネットワーク制限を用いて被害を最小限に食い止めます。さらに、権限を与えられた人間が、タスクの途中であってもいつでもモデルの動作を一時停止したりシャットダウンしたりできる「緊急ブレーキ（キルスイッチ）」を備えておく必要があります。今後より高度なモデルが登場すれば、私たちが標準化すべき封じ込め技術もそれに合わせて進化させていかなければなりません。

第七の原則は、インシデントの開示（Incident disclosure）です。これらのシステムが失敗したり侵害されたりした場合には、影響を受ける人々にタイムリーに情報を開示し、何が問題だったのか、どのコントロールが失敗したのか、そして再発を防ぐにはどうすればよいかを業界全体で共有するメカニズムが必要です。これには、実行時にエージェントの動作を変更するような実装の細部に関する共有も含まれます。

グローバルなガバナンス標準への適応と今後の展望

こうしたエンジニアリングに基づくアプローチは、現在世界中で急速に整備が進められているAIガバナンス標準とも見事に合致します。

米国NIST（国立標準技術研究所）が策定した「AIリスクマネジメントフレームワーク（AI RMF）」では、Govern（ガバナンス）、Map（マッピング）、Measure（測定）、Manage（管理）の4つのコア機能を通じてAIシステムのリスクを管理することを求めています。

とくに、自律型エージェントを対象とした「Agentic AI Profile」の整備が進んでおり、ツール使用の権限管理、ランタイム時の挙動制限、ヒューマン・イン・ザ・ループのエスカレーションプロトコル、そして委譲チェーンの明確な説明責任が強く求められるようになっています。

また、国際標準規格であるISO/IEC 42001においては、AIマネジメントシステムに対する認証可能な枠組みが提供されています。この標準をエージェント型AIに適用する際、単にセキュリティポリシーを策定するだけでなく、「人間による監視（Human Oversight）」のプロセスがシステム構造に組み込まれており、それが有効に機能していることを監査可能な証拠（ログ）として提示できるかどうかが問われます。

さらに、施行が迫るEU AI法（AI Act）を見据えても、影響度の高いセクターで使用される自律システムの多くは「高リスク」と分類され、厳密なログ記録、継続的なリスク評価、および確実な人間の介入メカニズムの実装が法的な義務となりつつあります。技術的な「エージェント・ハーネス」の構築と「ゼロトラスト・アーキテクチャ」の導入は、まさにこれらの厳しい法的・標準的要件をエンタープライズ環境で満たすための最も実践的かつ合理的な回答となるのです。

おわりに：最も信頼できるシステムとは

ソフトウェア開発の歴史を振り返ると、抽象化の層が一段上がるたびに、私たちはシステムの背後にある機械論的な動きから遠ざかってきました。しかし、決定論的なコードの集まりから、非決定論的で確率的な「超知能（SI）」へとパラダイムが移行した現在、その変化はこれまでの抽象化とは次元が異なります。

モデル内部の推論プロセス（CoT）の透明性を追求し、ニューラリーズのブラックボックス化を防ぐことは確かに重要です。しかし、どれほど解釈可能性を高めたとしても、モデル単体に完璧なアライメントと安全性を求めるアプローチには限界があります。

だからこそ、私たちは視点を変えなければなりません。AIモデルを完全に信頼しきるのではなく、最初から「ミスをする可能性がある」「外部から侵害されている可能性がある」という前提に立ち、システム全体を設計するのです。

知能の提供（モデル）と、その実行権限・制御（ハーネスとリファレンスモニター）を明確に分離すること。アイデンティティを厳密に管理し、ネットワークと実行環境をサンドボックス化して強固に封じ込めること。そして、すべての行動を改ざん不可能な形で記録し、緊急時にはいつでも人間が介入できる権限と緊急ブレーキを残しておくこと。

これらを統合したガバナンス体制こそが、次世代の自律型AIを安全に社会実装するための鍵となります。

逆説的ですが、最も信頼できる超知能システムとは、「私たちが最も信頼しているモデル」を搭載したシステムではありません。「モデルを最も信頼しなくても済むように設計されたシステム」こそが、真に信頼できるシステムなのです。私たちは、知能の供給とコントロールの権限を適切に分離し、物理的・論理的な封じ込めを幾重にも施すことで、この新しい知能の波を安全に、そして確実な恩恵として社会のインフラに迎え入れることができるようになるでしょう。

参考文献

フロンティアAIとは？金融業界への影響・リスク・規制について解説, https://www.movin.co.jp/finance/it/ai/frontier_ai.html
【Dell Tech World 2026】ジェンセン・フアンが語る「Useful AI, https://note.com/masa_cloud/n/nd08c78bf36b0
エージェンティックシステムとAIエージェントのガイド - Databricks, https://www.databricks.com/jp/blog/agentic-systems-guide
Satya Nadella calls for AI emergency brakes controlled by humans, https://superpowerdaily.com/rss.xml
Zero Trust for AI Agents: The Only Model Built for What's Next, https://ir.zscaler.com/node/16216/pdf
AIエージェントのCoTとは？ReAct・ToT違いや事例解説, https://twostone-s.com/columns/ai/ai-basics/2296/
Deepseekで話題になっているCoT（Chain-of-Thought）データ, https://zenn.dev/nexdataai/articles/f9afaf8486e277
DeepSeek、ChatGPTなどが牽引するAI推論の進歩 | ChatTX, https://www.ntt-tx.co.jp/products/chattx/post/10002.html
Neuralese（AI言語）の翻訳最強は日本語？ - Eight's ZINE, https://bs-p.tokyo/?p=1463
知性と秩序 | Paul Kuo, https://paulkuo.tw/ja/topics/ai/
ヒューマニストAI」規範を公表——モデルは常に人間の管理下に置く, https://finance.biggo.jp/news/1a832fac-3b8e-4bdd-9c8e-639ae57a1b71
Nadella: Assume AI Models Are Compromised (Emergency Brake), https://www.explainx.ai/blog/nadella-assume-ai-models-compromised-emergency-brake-containment-2026
Evaluating and Training Faithful Chain-of-Thought Reasoning - arXiv, https://arxiv.org/pdf/2605.24286
Unfaithful Explanations in Chain-of-Thought Prompting - Miles Turpin, https://www.milesturp.in/Unfaithful-Explanations-in-Chain-of-Thought-Prompting/
Comparison of artificial intelligence safety approaches, https://research.mental-momentum.ai/r/comparison-artificial-intelligence-igislu
Encoded Reasoning - SPAR Project, https://sparai.org/projects/sp26/rec6VhmFPQLkpCrOb/
AI Heat Rankings & Frontier Radar | Today for AI, https://promptsdeck.com/en/hot
The AI Agent Insider Risk is Coming from Inside The House, https://www.above.security/blog-posts/the-ai-agent-insider-risk-is-coming-from-inside-the-house
Satya Nadella Is Right: We Need to Treat AI Models as Insider Risks, https://securityboulevard.com/2026/10/satya-nadella-is-right-we-need-to-treat-ai-models-as-insider-risks/
Agentic AI as an Insider Threat 2026, https://www.insiderisk.io/research/agentic-ai-insider-risk-2026
Misaligned AI as a New Insider Risk - arXiv, https://arxiv.org/pdf/2606.06028
Insider Risk - The Year AI Became an Insider, https://www.cybersecurity-insiders.com/inside-threats-how-ai-transformed-2026s-insider-risk-landscape/
Using Proven Reference Monitor Patterns for Security Evaluation, https://www.mdpi.com/2078-2489/7/2/23
The Design and Specification of a Security Kernel for the PDP 11/45, https://conferences.computer.org/sp/pdfs/early/schi75.pdf
Inlined Reference Monitors: Certification, Concurrency and Tree, https://www.diva-portal.org/smash/get/diva2:606487/FULLTEXT03.pdf
MLS Introduction - Cryptosmith, https://cryptosmith.com/mls/intro/
B2 Security Evaluation - Multics, https://multicians.org/b2.html
Security Kernel Overview and Comparison | PDF - Scribd, https://www.scribd.com/document/980940195/Secure-Kernel-1
CISSP Orange Book Controls: A Comprehensive Study Guide, https://www.examcollection.com/blog/cissp-orange-book-controls-a-comprehensive-study-guide/
Enterprise AI Agents in 2026: Guardrails Beat Autonomy, https://blog.nearsmarter.com/enterprise-ai-agents-in-2026-guardrails-beat-autonomy/
Agent Harness vs Agent Framework vs MCP: Which Layer Owns the, https://www.marktechpost.com/2026/09/14/agent-harness-vs-agent-framework-vs-mcp-which-layer-owns-the-loop-state-tools-permissions-and-recovery/
What Is an Agent Harness? Architecture and Setup in 2026, https://www.digitalocean.com/resources/articles/what-is-agent-harness
Modern Agent Harness Blueprint 2026 - Github-Gist, https://gist.github.com/amazingvince/52158d00fb8b3ba1b8476bc62bb562e3
ZERO-TRUST CYBERSECURITY GOVERNANCE FOR AGENTIC AI, https://sci-cult.net/index.php/cult/article/download/4704/2777/17021
Where Agent OS and Harness Engineering Intersect, and What Is, https://note.com/betaitohuman/n/n5f3f8114b4ae?hl=en
What Is MCP? Model Context Protocol Explained (2026, https://harnessrouter.ai/guides/model-context-protocol
What Is an MCP Gateway: Architecture and Use Cases - Truefoundry, https://www.truefoundry.com/blog/what-is-mcp-gateway
What is MCP Security? Agent Tool Risks - Conifers AI, https://www.conifers.ai/glossary/model-context-protocol-mcp-security/
Model Context Protocol (MCP): Security Design Considerations for, https://www.nsa.gov/Portals/75/documents/Cybersecurity/CSI_MCP_SECURITY.pdf
Model Context Protocol (MCP) Security: Complete Guide, https://www.sentinelone.com/cybersecurity-101/cybersecurity/mcp-security/
MCP Network Layer Security: What the New MCP Specification Misses, https://aviatrix.ai/blog/mcp-network-layer-security-what-the-new-specification-misses/
Securing the Model Context Protocol (MCP): Risks, Controls, and, https://arxiv.org/html/2511.20920v1
Secure Model Context Protocol: When Your AI Gets a Key to the, https://medium.com/@robert.broeckelmann/secure-model-context-protocol-when-your-ai-gets-a-key-to-the-building-f2a160b72003
Model Context Protocol: MCP, OAuth2, and the Identity Problem of, https://medium.com/@robert.broeckelmann/model-context-protocol-mcp-oauth-and-the-identity-problem-of-agentic-ai-d8abe3f13736
Daily Papers - Hugging Face - Qwak, https://cdn-avatars.qwak.ai/papers?q=Protocol%20Intelligence%20Co-pilot
Model Context Protocol Security: Enterprise Threat Modeling - Medium, https://medium.com/@blogs_76218/model-context-protocol-security-enterprise-threat-modeling-0a3bd8cc736b
A Practical Framework for Applying Zero Trust to Autonomous AI, https://zenn.dev/suwash/articles/zero-trust-for-ai-agents_20260602?locale=en
AI Agent Security: Anthropic's 36-Page Zero Trust Guide, https://pasqualepillitteri.it/en/news/4408/ai-agent-security-anthropic-zero-trust-guide
Zero Trust for AI agents, - delivered as infrastructure. - TrustHouse, https://trusthouse.ai/claude-zero-trust
A Novel Zero-Trust Identity Framework for Agentic AI - arXiv, https://arxiv.org/html/2505.19301v2
Fortifying the Agentic Web: A Unified Zero-Trust Architecture for AI, https://cloudsecurityalliance.org/blog/2025/09/12/fortifying-the-agentic-web-a-unified-zero-trust-architecture-against-logic-layer-threats
Zero Trust for AI Agents: How to Enforce Anthropic's Framework, https://www.varonis.com/blog/zero-trust-for-ai-agents
フロンティアAIのセキュリティリスクと実践的な防御戦略 - Akamai, https://www.akamai.com/ja/solutions/frontier-ai-security-risks
フロンティアAI時代のセキュリティ戦略―何を見直し、何を守るべきか, https://www.accenture.com/jp-ja/blogs/security/frontier-ai-security-strategy
The agent didn't break your controls. It went around them., https://thenewstack.io/inside-out-agent-security/
AI Agent Sandboxing & SPIFFE Zero-Trust Architecture — Levr, https://levr.one/blog/ai-agent-sandboxing-architecture
Sandboxing Agents: What Each Isolation Boundary Actually Contains, https://www.agenticfabriq.com/blog/sandboxing-agents
Firecracker vs gVisor: Sandbox Isolation for Untrusted and Agent, https://fly.io/learn/firecracker-vs-gvisor/
AIエージェントを安全に動かすための技術——サンドボックス, https://zenn.dev/layerx/articles/a99cd11af487fc
DeepSeek Elastic Compute (DSec): A Sandbox Infrastructure for, https://arxiv.org/html/2609.22978v1
[Playbook] Hardening Kubernetes Against AI Escapes, https://levelup.gitconnected.com/playbook-hardening-kubernetes-against-ai-escapes-e7d866bce161
checkpointd: Automatic Crash Recovery of Stateful Agents from, https://medium.com/nttlabs/checkpointd-1619ed033e05
Agentic AI Governance for Enterprise Teams | 2026 - Dataversity, https://www.dataversity.net/articles/agentic-ai-governance-enterprise-autonomous-systems/
Agentic AI Security Framework: A 2026 Technical Guide - Akto, https://www.akto.io/blog/agentic-ai-security-framework
NIST AI RMF: 8-Step Implementation Guide - NeuralTrust, https://neuraltrust.ai/blog/nist-ai-rmf-implementation-guide
AI Governance and Regulation 2026: A Complete Guide to Global, https://www.hungyichen.com/en/insights/ai-governance-regulatory-landscape-2026
Agentic AI Risk-Management Standards Profile | CLTC Berkeley, https://cltc.berkeley.edu/wp-content/uploads/2026/02/Agentic-AI-Risk-Management-Standards-Profile.pdf
AI Compliance Reporting: ISO 42001, EU AI Act, NIST RMF | Alation, https://www.alation.com/blog/ai-compliance-reporting-iso-42001-eu-ai-act-nist-rmf/
ISO 42001: A Complete Guide to the International AI Risk, https://www.cycognito.com/learn/ai-security/international-ai-risk-management-standard/
Agentic AI Governance: NIST Standards for Autonomous Systems, https://labs.cloudsecurityalliance.org/research/governance-nist-ai-agent-standards-agentic-governance-v1-csa/
Governing Agentic AI in the Administrative State: Human Oversight, https://www.mdpi.com/1999-5903/18/10/528