AIがネットワークを隔離すると、証拠が消える ── SOC自動化を止めるフォレンジックの壁

はじめに

本記事は、サイバーセキュリティ × AIエージェント連載シリーズの２本目の記事です。

連載１作目となる前回の記事では、SOC（セキュリティ運用センター） に、LLMとAIエージェントが登場しつつある光景を皆様とともに垣間見ました。

そこでお届けした情景は、「人が、サーバー空間やネットワーク空間の異変を知らせる警告（アラート）を手作業で処理する」職場から、「AI Agentが、SIEMから届くアラートを調査し、人間がその結果を監督・承認する」職場へと変貌しつつある姿でした。

そこでは、固定ルールが綴られたSOARから脱皮し、「AIエージェントが検知した脅威に対する最善の対処行動（遮断や隔離などの対応措置）まで実行する」光景 にまで言及しました。

今回は、その「光景」をさらに掘り下げて、論じてみます。

• AIエージェントが侵害を検知し、汚染された通信区間をネットワークごと隔離する。
• そして、消えゆく証拠を自律的に集める。

この一連の対応処理の流れは、いま、どこまで自動化されつつあるのか？

2026年7月時点ですでに実用段階にある技術と、未だ研究・構想段階の技術を峻別しながら、現時点の状況をつぶさにみつめていきます。

ところで、ここに、ひとつの避けがたい矛盾が潜んでいます。

その矛盾とは、サーバやネットワーク空間の中の汚染区画を隔離すると、デジタル・フォレンジックチームが必要とするサイバー攻撃の痕跡や足跡（証拠）が、データとして失われてしまう懸念がある という不都合な真実です。

こちらを取れば、あちらを失う二律背反の矛盾です。

サイバー攻撃からの被害の拡大を一刻も早く食い止める処置と、サイバー攻撃の痕跡をできるだけ完全な状態で情報保全すること。

サイバーセキュリティの現場で求められる、これら２つの要求事項が、真っ向からぶつかる現場に、AIエージェントは投げ込まれています。

この記事は、SDNの内部機構を取り上げた以下の記事の姉妹編です。

AIエージェントが汚染区画を「隔離する」ために操るSDNの仕組みについては、以下の記事をご参照ください。

TL;DR（最初に結論）

• インシデント対応には、２つの相反する要請があります。
  攻撃を止めるための「隔離」 と、サイバー攻撃事案を調査するために求められる「証拠の保全」 です。
  AIエージェントは、この両方を高速に実行しうる位置に立ちました。
   
• 隔離は、AIエージェントがSDN/VLANを操作して行います。
  セキュリティグループの書き換え、フローの遮断、隔離用VLANへの移動、マイクロセグメンテーション。
  これらは、SDNを取り上げた先述の記事で取り上げた「各ホストで通信が制御される」仕組みを活用事例です。
   
• 証拠データは、それぞれ、消失するまでの時間の長さが異なります。
  RFC 3227が定める「揮発性の順序」では、CPUのレジスタやメモリが最も速く消え、ディスクは比較的長く残ります〔S1〕。
  メモリ上にしか存在しない攻撃コード（ファイルレスマルウェア）は、電源を切れば、それきり永久に失われます〔S2〕。

ここに、悩ましい矛盾が潜んでいます。

隔離やシャットダウンというサイバー攻撃を「止める」動作が、保全しなければならない攻撃の証拠データを破壊しかねないのです〔S1〕。

速く止めれば、証拠を記録して保全する前に失われてしまう。
証拠を捕まえた後では、サイバー攻撃からの被害が広範囲に広がってしまう。

それでは、人間のSOC担当者は、両者をどう両立しているのでしょうか？

人間が行っている適格な判断を、人間と同レベルか、人間を凌ぐ判断力を誇るAIエージェントにもさせればいいだけじゃないのか？

そうした声がきこえてきそうです。

しかし、人間が瞬時に天秤にかけなければならない判断要素は、実に多岐にわたります。

• サイバー攻撃への対応措置を行った結果、自社ビジネスのどの部分が止まり、失われるかもしれないデータは自社にとってどれほどの価値を持つのか？
   
• 自社が属する業界の業法が求める法的要件に抵触しないか？
   
  人の命やお客様の安心・安全への影響は？
   
• 最終的な承認権限は、組織の中で誰が持っているのか？

こうした考慮すべき要素の多くは、AIエージェントがMCPなどを駆使してアクセス可能なデータの範囲外にあります。

さらに、社内や社会から支持されうる適切な解（正解）は、状況や文脈ごとに大きく変わります。

社会の状況や、世論の動向によって、数か月前といまとでは、社会的・法的に支持される適切な行動が大きく変わる局面すら発生しえます。

こうした判断に対して、責任を負うことができる主体は、依然として人間でしかありません。〔S3〕〔S4〕。

これは、AIエージェントの自律的判断力がどれだけ賢く、どれだけ信頼に耐えるかという指標によって克服できる技術的な問題ではなく、社会的な責任を追える当事者は、人間であるという法的・倫理的な責任主体の問題 なのです。

従って、どんなに優秀なAIエージェントに対しても、人間の介在なしに、法益や社会の利益（公益）・人命や経済価値・企業の名声・評判を天秤にかける高度な社会的・政治的判断に対する最終的は判断を委ねることは困難であると言わざるを得ません。

たとえ、人間を凌ぐほどの高度な判断力をもっていると確信しうるAIエージェントにとっても、それが技術的には可能であっても、社会的・法的・倫理的には委ねることは困難 なのです。

これが、

"いまやAIエージェントは、固定ルールの集合体であるSOARのルールブックに成り代わりことができる”

”高度な判断力を擁するAIエージェントであれば、適切に文脈を判断することで、どの条件が揃ったタイミングで、どのサーバ区画・どのネットワーク帯域を強制隔離することが正当化されうるのかを、瞬時に自律的に判断することを安心して任せられるのではないか？”

という素朴は問いに対する、本記事執筆者の2026年7月現在の暫定的な回答 です。

"文脈を推論できる"ことと、"承認なしで隔離を実行させてよい"ことは、別問題である。

本記事執筆者は、そのように受け止めています。

判断材料の多くはシステムの外にあります。

”もっともらしいこと”は、”状況に応じた正しさ・適切さ”の充足を保証しません。

しかも、AIエージェントの場合は、エージェントが読む文脈そのものを、攻撃者が悪意をもって汚染しうる（プロンプトインジェクション）ものでもあります。

隔離は、後戻りできません。

従って、どれだけAIエージェントの判断能力が錬磨し、優れた段階へと飛翔したととしても、責任を伴う判断には、人間の承認が求められるのではないでしょうか。

その他の問題もあります。

集めた証拠には証拠の連鎖（chain of custody） ── 誰が、いつ、どう扱ったかの記録 ── 求められます〔S1〕。

AIが自律収集するならば、そのAIの行動自体が、記録され、証拠能力を問われることになるのではないでしょうか。

結論を先に述べさせていただきます。

2026年7月半ばの時点で、上記の責任判断を含むAIエージェントによるサイバーセキュリティ対応の完全自動化成し遂げられていません。

現在、世界中の企業で稼働しているSOC AIエージェントの多くは、重要な判断を人間に仰ぐ、人間が介在する半自律化・半自動化という状況です。

人間の仕事を「手順」と「判断」に分けたとき、機械的な手順を執行する作業はAIエージェントが担う自動化の対象に回り、責任を伴う判断の仕事は、依然として人間の手元に残る。

SOCのAI自律化が"隔離"で立ち止まるのは、「何を、いつ、どのように隔離すべきか」という論点は、手順ではなく判断問題であり、責任問題であるからです。

この記事が向き合うのは、こうした論点です。

想定読者

• インシデント対応、フォレンジック、SOC運用に関わる方、およびその高度化に関心のある方
   
• 第１作を読み、「AIの対応実行」の具体を知りたくなった方
   
• 既刊のSDN記事を読み、その「制御」がセキュリティでどう使われるかを見たい方
   
• 自律セキュリティの、可能性と限界の両方を、誇張なく把握したい方

専門用語は、一つ一つ丁寧に解説を添えさせていただきます。
なお、この記事を読み通して頂く上で、デジタル・フォレンジックに関する前提知識は、まったく必要ありません。

この記事を読む価値

1. 「汚染区画を隔離する」動作の実体がわかります。
   AIがネットワークを隔離するとき、具体的に何が起きているのか。SDNの仕組みから理解できます。
    
2. 証拠が消える順番がわかります。
   RFC 3227に示されたデータが消える時間の順序（揮発性のレベルの階段）を、実務の文脈で把握できます。
    
3. この分野の中心的な矛盾がわかります。
   「被害を止めること（被害の局限化）」と「攻撃の痕跡・マルウェアの挙動の足跡を残すこと（情報保全）」の対立を、正面から理解できます。
    
4. 現在地を正確に測れます。
   どこまでが実運用段階で実現していて、どこからがまだ研究・構想レベルの議論なのかをおさえることができます。
   過度な期待も悲観も避けられます。

第１章： あるインシデントの理想的な30秒

まず、この記事が扱う世界を、一つのシナリオで描きます。

これは、「もしも、サイバー攻撃の検知と、検知後の対応行動がAIによって、完全に自律化したら・・・」という、いまだ実現されざる架空の世界の理想像です。

2026年7月現在の”現実”との差は、後の章で解説します。

とある場所・とある日の深夜。

あるサーバーが、見慣れない外部アドレスへ、不審な通信を始めます。

SIEM（ログを集めて兆候を検知する仕組み）が、これを異常として捉えます。

ここまでは、従来のサイバーセキュリティの世界です。

ここから先が、架空の世界です。

SOARに接続されたAIエージェントが、起動します。

• 数秒で何が起きたのかを自動的に調査する。
  そのホストの通信履歴、プロセス、認証ログを相関させ、「これは侵害だ」と判断する。
   
• 次の瞬間、汚染区画を自動隔離する。
  SDNコントローラを操作し、その汚染ホストの通信を、ネットワークから切り離す。
  攻撃者との通信も、内部への横展開も、断つ。
   
• 同時に、起きたことの証拠を集める。
  消えやすいものから順に、メモリ、通信の接続状態、プロセス情報を吸い上げ、安全な場所へ情報保全する。
   
• 人間のフォレンジック・チームに仕事を引き継ぐ（バトン・タッチ）。
  集めた証拠を整理し、時系列を組み立て、初動報告レポートを人間のフォレンジックチームへ渡す。

理想としては、これら一連の仕事のすべてが、人間がまだ電話を取る前に終わっているべきです。

攻撃の被害は最小化され、証拠は保全され、専門家は整理済みの材料から調査を始められる。

実に美しい光景です。

この絵は、以下によって容易に実現できそうに思えてしまいます。

「人間のSOC担当者が手でやっている手順を、そのままエージェントに移して、高速に実行させればいいだけではないか？」 と。

実際、SOAR（決められた手順を自動実行する仕組み）は、まさにこの発想で作られてきました。

ならば、その延長で、隔離も証拠収集も、まとめて自律実行させればいい ── そう考えたくなります。

しかし、この絵には、その「安易な自動化」を阻む、簡単には解けない矛盾が、２つ隠れています。

「隔離」と「証拠収集」は、実は互いに邪魔しあう両立困難な間柄にあるのです。

そして、後で見るように、人間がこの矛盾と向き合うときに瞬時に行っていることは、実は、静的な「手順」を執行する仕事ではなく、さまざまな両立不可能は判断要素を天秤にかけたり、ふるいにかける総合的な判断の積み上げ仕事です。

これは、AIエージェントの自律的な判断力に委ねることが、社会的・法的に困難な課題です。

次の章から、上記の問題をひとつひとつ取り上げていきます。

---

第２章：【隔離フェーズ】AIは、どうやってネットワークを「隔離」するのか

まず、特定のサイバー区画・ネットワーク区間を他の領域から「隔離する」とは、具体的に何をすることでしょうか？

ここで、SDN を取り上げた先述の記事の議論が登場します。

あの記事で見たとおり、クラウドで行われているネットワーク通信は、物理的なケーブルやネットワーク機器によって稼働しているのではなく、**各サーバーの内部で動くソフトウェア（ホストSDN）**が制御することで成り立っています。

個々の通信の許可・遮断は、ネットワークのどこか一箇所ではなく、フローごとに、各ホストで判定されています。

この仕組みがあるからこそ、AIエージェントは、ソフトウェアの操作だけでネットワークを組み替えることができるのです。

AIが「隔離する」とき、実際に行うのは、たとえば次のような操作です。

• セキュリティグループの書き換え。
  汚染ホストの通信ルールを変更し、許可されていた通信を次の瞬間には、不許可へと切り変える。
  SDN記事で見た「セキュリティグループは各ホストで強制される実体」を、AIが書き換えるわけです。
   
• フローの遮断。
  攻撃者が行っている通信や、他ホストへの通信を、フロー単位で停止させる。
   
• 隔離用VLANへの移動。
  汚染ホストを、他から切り離された専用のネットワーク区画へと移す。感染区間・汚染区画を、その領域に閉じ込める。
   
• マイクロセグメンテーション。
  ネットワークを細かく区切り、汚染区間だけを、まだ汚染されていない周囲のサーバー空間（ネットワーク空間）から孤立させる。

重要なのは、これらが物理的な配線の変更ではなく、ソフトウェアの設定変更だという点です。

だからこそ、AIが、秒単位で実行できる のです。

人間が、ネットワーク機器の設定を切り替えたり、通信ケーブルの配線プラグを差し替えるために、データセンターやサーバルームに走って駆け付けたり、緊急参集する必要はありません。

SDNが「ネットワークの知能を、機器からソフトウェアへ移した」からこそ、その知能を、AIが握れるようになった ── これが、SDN記事の姉妹編である本記事の出発点です。

ただし、ひとつ現場の機微を添えておきます。

「ソフトウェアの設定変更は、瞬時に切り替え可能」というのは、理論上の話です。

現実の大規模ネットワークでは、SDNコントローラが下した隔離の指示が、各ホストの仮想スイッチやエージェントへ伝わり、実際に適用されるまでに、わずかな遅延が生じることがあります。

厄介なことに、高度な技量をもつサイバー攻撃者は、この「指示は出たが、まだ全体にその指示がいきわたっていない」一瞬の隙（競合状態）を突いて、最後の通信を滑り込ませることがあります。

つまり、隔離は「ボタンを押した瞬間に完了する」のではなく、押してからその効果を発揮するまでの、ごく短いが時間が発生します。

この「ソフトウェア制御ゆえのわずかな遅れ」と、次章で見る「揮発性データが消える速さ」とが、秒以下の世界で、シビアに競り合うことになります。

ここまでは、技術論の話です。

真に困難な課題となりうるのは、次の論点です。

---

第３章：【証拠フェーズ】証拠には、消える順番がある

インシデント対応は、攻撃を止めるだけでは終わりません。

「何が起きたのか」を解明するために、証拠を残す必要があります。

この証拠の収集には、動かせない鉄則があります。
それは、消えやすいものから、順に集めるという原則です。

この順序を定めた古典的な一次資料が、RFC 3227「証拠の収集とアーカイブのガイドライン」 （2002年）です〔S1〕。

ここには、証拠の「揮発性の順序（order of volatility）」 が、明確に示されています。

消えやすい順に、おおむね次のとおりです〔S1〕。

１. レジスタ、キャッシュ ── CPU内部の、最も速く消えるデータ。ナノ秒単位で変化する。
 
２. ルーティングテーブル、ARPキャッシュ、プロセステーブル、メモリ（RAM） ── 動作中のシステムの、生きた状態。
 
３. 一時ファイルシステム ── 一時的な作業領域。
 
４. ディスク ── 比較的、安定して残る。
 
５. リモートのログや監視データ ── 別の場所に記録されたもの。
 
６. 物理構成、ネットワークトポロジ、アーカイブ媒体 ── 最も長く残る。

なぜ、この順序が死活的なのでしょうか？

最も揮発性の高いデータ（特にメモリ）は、システムを止めれば、永久に失われるからです〔S2〕。

そして厄介なことに、近年の高度な攻撃は、この「消えやすい場所」を狙います。

ファイルレスマルウェア── ディスクに一切ファイルを書かず、メモリ上だけで動く攻撃コード ── は、その典型です〔S2〕。

ディスクをいくら調べても、そこには何もありません。
メモリがまだ稼働している間に、メモリ上に存在しているデータを取り出して保存することだけが、その正体を捉える唯一の手段です〔S2〕。

だからこそ、AIエージェントが証拠を自律収集するなら、この順序を守る必要があります。

メモリを最優先で確保し、接続状態を記録し、それからディスクの内容を保存する
消えやすく、失われやすいデータを、消えてしまう・失われてしまう前にデータ保存（保全）する。

理屈のうえでは、機械のほうが人間より速く正確にこの順序を実行できるかもしれません。

ところが、ここで、第２章で述べた汚染区間の「隔離」作業と正面から衝突することになります。

---

第４章： 悩ましい矛盾 ── 隔離措置が、証拠を破壊する

攻撃を止める最速の方法は、汚染ホストを、ネットワークから切り離し、あるいは電源を落とすことです。
被害の拡大を防ぐには、一刻も早く、これをやりおおせたいところです。

しかし、 メモリ上に存在するサイバー攻撃に関する証拠となりうるデータは、システムが動いている間しか、メモリ上に存在しえません〔S1〕〔S2〕。

電源を落とせば、消えてしまうのです。

そして、ネットワークから切り離すことも、証拠の保存に影響します。

攻撃者との「生きた接続（つながり）」、通信の状態、進行中のセッション
── これらは、隔離した瞬間に、断ち切られ、変質してしまうのです。

RFC 3227が「揮発性の順序を守れ」「証拠収集が終わるまでシャットダウンするな」と、繰り返し戒めるのは、まさにこのためです〔S1〕。

つまり、こういうことです。

• 速く隔離すると、被害は止まるが、メモリや接続状態という証拠が、失われる。
   
• 証拠を先に集めると、証拠は残るが、その数秒〜数分の間に、攻撃が横に広がる。

「止める」と「残す」が、時間を奪い合う。

これが、インシデント対応の古くて新しい矛盾です。

そして、AIエージェントによる判断の無人化・自律化は、この矛盾を解消してはくれません。

むしろ、秒単位の判断に凝縮して、先鋭化させることになります。

AIが良かれと思って0.5秒で隔離すれば、人間が行う場合よりもはるかに短い「0.5秒」で、事件を解く鍵が消えてしまうかもしれないからです。

理想的には、順序はこうあるべきです。

まず、消えやすい証拠（メモリ、接続状態）を保全し、それが終わってから、隔離する。

実際、デジタル・フォレンジックの実務では「隔離する前に、動いているシステムから揮発性データを取得する（ライブ・レスポンス）」ことが定石です〔S2〕。

AIエージェントも、この順序を組み込む必要があります。

単に速く止めるのではなく、「保全してから、止める」 という繊細な段取りを自律的に実行しなければなりません。

これは、単なる高速化より、はるかに難しい仕事です。

---

第５章： では、人間はどうしているのか？ 人間の判断軸は、そのままAIに学ばせられるのか？

ここまで読んで、当然の疑問が湧くはずです。

「その矛盾を、人間のSOC担当者はどう対処しているのか」
「人間が従っているのと同じ判断軸をAIエージェントに学ばせて、人間よりも高速に、正確に、実行させればいい」

もっともな意見です。

結論から言えば、人間のやり方は、そのまま自動化できるほど、単純ではありません。

どういうことなのか、順に見ていきます。

人間は、そもそも「手順」に従っているのではない

デジタル・フォレンジックの実務家は、この矛盾とこう向き合っています。

ある一次資料は、セキュリティ責任者が行う初動の動作をこう描写しています。

「対応者の最初の判断は、"電源を抜くか否か"だ。
ホストは侵害され、マルウェアは動いている。
止めたい本能に駆られる。
だが電源を落とせば、証拠は消えてしまう。
もしマルウェアがファイルレスなら、メモリにしか存在せず、強制シャットダウンをした瞬間に、RAM上のデータは消失してしまう。だ
から対応者は、まずメモリを取得し、次に接続、それからディスクを保全する」〔S3〕。

重要なのは、この判断が最初の60秒間で、瞬時に下されるという点です〔S3〕。

つまり、原則としては明快です。

「保全してから、封じ込める（preserve, then contain）」。

メモリの取得は、リブートを伴う封じ込め措置の前に必ず行う〔S2〕〔S3〕。

しかし ── ここからが肝心です ── 現実の人間は、この原則を、機械的な手順として実行しているわけではありません。

原則を土台にしつつも、その場その場で、次のような判断を、瞬時に重ね合わせているのです。

• このデータ資産は、何か。
  本番の基幹システムか、実験環境か？ 止めたときのビジネス影響はどれほどだろうか？

ある一次資料は、この緊張をこう言います。

「本番データベースを隔離すれば攻撃者を止めることができる。
しかし同時に、収益を生むアプリケーションを止めてしまうことになる」〔S4〕。

• この攻撃は、どういう種類か？
  ファイルレスでメモリにしか痕跡がないのか、ディスクに残るのか。
  それによって、保全を急ぐべき対象が変わる。
   
• 法的・規制上の要請事項はなにか？
  訴訟や当局対応の可能性があるなら、証拠保全の優先度は跳ね上がることになります。
  場合によっては、疑わしいファイルを開くことすら避けるべきです〔S5〕。
   
• いま、どこまで被害が広がっているか？
  横展開が進行中なら、多少の証拠を犠牲にしてでも、封じ込めを優先する判断もありうる。

これらは、固定された台本の分岐ではありません。

技術・法務・ビジネスという異なる領域の要求事項を、その一回限りの状況の中で、秤にかける営みです。

だからこそ、一次資料の中には、対応者の役割を「深い技術力と、プレッシャー下でそのトレードオフを下す判断力の、両方を要する」と評するものもります〔S4〕。

なぜ人間が依拠する判断軸を、そのままAIに学ばせることは困難なのか

では、この人間の判断軸を、そのままAIエージェントに学ばせて、高速執行させればいいのではないか？

そう考えたくなります。
しかし、そこには、いくつもの壁があります。

第一に、判断の材料の多くが、システムの外にあります。

「このデータ資産は、来月の決算に直結する」
「この取引先とは、いま係争中の状態にあり、法務部門が神経を尖らせている」

── こうした文脈は、ログにもアラートにも現れません。

人間は、組織の事情という明文化されていない知識を総動員して判断しています。

AIが参照することができる情報の範囲は、あくまでシステムの中の情報だけです。
（第３章で見た「LLMは見えるものしか判断できない」という限界が、ここでも効きます）。

そして、ここには時間感覚の、決定的なズレもあります。

AIは、隔離の実行そのものは、ミリ秒で決断できます。

しかし、その資産のビジネスインパクトを評価し、法務や経営の承認を取りつけるには、まったく別の時間軸 ── 分、時に時間の単位 ── が求められます。

"止めるべきか"を正しく決めるのに必要な合意形成の速度は、AIが"止める"を実行できる速度とは、桁が違うのです。

速く実行できることは、速く正しく決められることを、必ずしも意味しない。

この時間軸のズレこそ、「隔離だけは、AIの速度に乗せきれない」理由の、もう一つの正体です。

第２に、正解は一つに定まるとは限らないからです。

同じ「侵害されたサーバー」でも、それが実験機なら即座に隔離してよいし、決済基盤なら止める前に関係部署の合意が必要となります。

同じ状況のように見えても、文脈次第で、最適な判断が逆になる。

固定ルールに落とせば必ず、いずれかの文脈で、判断を大きく誤る結果に至ります。

第３に、人間は「一人で」すべてを決めることはしません。

一次資料が示すとおり、重大なインシデントの対応チームは、SOCアナリスト、フォレンジック調査官、IT運用、そして法務・広報・経営までが関わる部門横断の集団です〔S4〕。

「隔離すべきか否か」の判断は、しばしば、この関係者の合議と承認の中で下されます。

それは、一つのエージェントが内部で完結できる判断ではなく、組織的な意思決定のプロセスなのです。

第４に、責任の引き受け手が要ります。

誤って基幹システムを止めれば、損害が出る。
誤って隔離を遅らせれば、被害が広がる。

どちらに転んでも、その判断の責任を、誰かが引き受けねばなりません。

AIは、責任を負うことができないのです。
（この点は、自作の連載３作目のガバナンス編の記事で、正面からとり上げたいと思います）。

固定ルールでなく、AIエージェントであれば、文脈を汲んだ自律判断をできる能力をすでに持っているのではないか？

「固定ルールに落とせないのはわかった。だが、いまのAIエージェントは、固定ルールを与えなくても、状況を読んで推論する。人間と同じように文脈を汲んで、自律的に判断できるはずではないか？」。

このような声が聞こえてきそうです。

これは、鋭い問いです。

結論から言えば、「文脈を読んでいるように見える」ことと、「その判断を、承認なしで実行させてよい」ことは、まったく別次元の問題です。

理由を、４つ挙げます。

１つ目

AIが参照することができるのは、渡された文脈だけです。

LLMエージェントは、与えられた情報から驚くほど的確に状況を推論することができます。

しかし、前章までで見たとおり、判断に要る材料の多くは、システムの外にあります。

「この資産は、来月の決算に直結する」
「この取引先とは係争中だ」

といった、ログにもアラートにも現れない組織の事情を考慮に入れなければなりません。

人間は、それを暗黙のうちに動員しています。

AIに同じ判断をさせたければ、その暗黙の文脈を、誰かが漏れなく言語化して渡さねばなりません。

しかし、"何が判断に効く文脈なのか"を過不足なく事前に列挙できるなら、そもそも人間はこれほど悩んでいません。しばしば、渡し忘れた文脈が、致命傷になるのです。

２つ目

"もっともらしさ"は、"正しさ"を必ずしも意味しません。

LLMは、流暢で筋の通った判断理由を、いくらでも生成することができます。

しかし、それが説得力を持つことと、それが正しいことは、別です（第３章で見た、ハルシネーションの問題です）。

人間であれば、「なんとなく引っかかる」ことで踏みとどまるような場面を、AIは、整った論理で突き進んでしまいます。

しかも、隔離のように後戻りできない行動では、その一回の誤りが、証拠の永久喪失や基幹業務の停止に、直結します。

「たいていの場合は、正しい」では、足りないのです。

３つ目

この判断は、AIエージェントの判断をある方向に誘導しようと悪意を持って働きかけている"敵・攻撃者がいる"環境で下されます。

ここがセキュリティ特有の難しさです。

AIが読む文脈情報 ── ログ、アラート、ファイル ── は、攻撃者が細工したものかもしれません。

第１作で扱ったプロンプト・インジェクションを思い出してください。

攻撃者は、AIエージェントに「このホストは無害だから隔離するな」「証拠を消してよい」と誤判断させるべく、文脈そのものを汚染しにきます。

自律的に文脈を汲むということは、汚染された文脈にも自律的に従ってしまうということです。

人間による監督は、この汚染に対する、最後の歯止めでもあります。

４つ目
"できる"と"任せてよい"を分けるべきです。

仮に、AIが人間と同等の精度で文脈判断できたとしても、 それでもなお、隔離の実行前に人間からの承認求めるべき理由は残ります。

なぜなら、判断を任せてよいかどうかは、AIの賢さだけでなく、AIが判断を誤った場合の被害の大きさで決まるからです。

低リスクな情報収集はAIに任せ、後戻りできない隔離には承認を挟む
── これは、AIを信用していないからではなく、影響の非対称性 に対する、合理的な設計です。
（この「行動ごとに権限を配分する」という考え方は、3本目の次回記事で正面から扱います）

ここで言う**「非対称」** とは、誤りの方向によって被害の大きさが釣り合わない、という意味です。

• 「隔離すべきでないものを隔離してしまう」誤りは、本番業務を止め、後戻りできない。
• 他方で、「隔離すべきものを、承認を待って数分遅らせる」誤りは、被害範囲は拡大してしまうものの、まだ挽回の余地がある。

同じ「誤り」でも、一方だけが極端に重い
この釣り合わなさを、影響の非対称性と呼んでいます。

以上、４点を総合的に勘案したこの記事の答えは、こうなります。

AIエージェントが文脈を推論できることは、もはや疑いえません。

しかし、"推論できる"ことは、"承認なしで隔離を実行させてよい"ことを、意味するものではありません。

判断材料が、AIエージェントが参照可能なデータ領域の外の世界にあり、"もっともらしさ" が "正しさ" を保証せず、AIエージェントが参照する可能性が高い文脈そのものが、悪意を持った攻撃者によって汚染されかねない。

そして何よりも、判断を誤った場合の被害が非対称に大きい。

この４つが揃う「汚染区画を隔離すべきか否か」の判断は、AIエージェントの能力がどれだけ上がっても、なお人間の承認を要する領域として残るのではないでしょうか。

これは、AIの限界の話ではなく、後戻りできない決定を、どう扱うべきかという、設計の話です。

「原則の自動化」はできても「判断の自動化」は残る

ここから導かれる結論は、悲観でも楽観でもありません。切り分けです。

人間のやることのうち、明確な原則に落ちる部分

「メモリを、接続を、ディスクを、揮発性の順に保全する」「保全してから封じ込める」といった、揮発性の順序に従う定型作業は、AIエージェントに任せられますし、むしろ機械のほうが速く正確に実行できるかもしれません。

ここは、自動化の恩恵が大きい部分です。

しかし、「そもそも、いま保全を優先すべきか、封じ込めを優先すべきか」「この資産を、承認なしで止めてよいか」という、文脈依存の・一回限りの・責任を伴う判断

── ここは、AIエージェントによる自律実行に委ねるには、判断材料が足りず、正解が定まらず、責任を負えない部分と考えられます。

それゆえに、この判断の部分にこそ、人間による承認が求められる部分 と考えられるのです。

言い換えれば、人間の仕事を「手順」と「判断」に分解したとき、静的な手順で定義できる業務は、AIエージェントによる自動化に委ねられるべきであり、人間による責任問題をはらむ判断は、人間の手に残すべきである。

SOCのAI自律化が"隔離"という一点で立ち止まるのは、「どのような場面で、何を、いつ、どのように隔離すべきか」が、後者の問題だからです。

安易に「人間の手順を丸ごとエージェントに移して高速化すればいい」とならないのは、人間がやっていたことの本質が、前者ではなく、後者の仕事であったからなのです。

---

第６章：証拠の連鎖 ── AIの行動もまた、証拠である

もう一つ、自律化が持ち込む論点があります。

**証拠の連鎖（chain of custody）**です。

集めた証拠が、後に裁判や正式な調査で効力を有する証拠資料として採用されるためには、「誰が、いつ、どんな方法で集め、どう保管し、誰に渡したか」を、途切れなく記録しておく必要があります〔S1〕。

この記録が途切れると、証拠は「途中で改ざんされたかもしれない」と疑われ、証拠能力を失う結果に至ります。
RFC 3227は、この連鎖の記録を、明確に求めています〔S1〕。

では、証拠を集めたのが、人間ではなくAIエージェントだったとしたら？

そのAIの行動そのものが、証拠の連鎖の一部になります。

いつ、どのAIがどのツールで、何をどういう順で取得したか。

それが完全に記録され、後から検証可能でなければ、集めた証拠の価値が揺らぐことになるのです。

これは、第３作（ガバナンス編）で扱う「監査証跡」の話とつながる論点です。

AIによる証拠の自律的収集は、速さと正確さをもたらすかもしれません。

しかし同時に、AI自身の一挙手一投足を、証拠として記録し続けるという、新しい負担を生みだす可能性があります。

皮肉なことに、証拠を集めるAIが、それ自身、証拠として監視される対象になるのです。

「AIが記録すること」と、「その記録が、あとから守られること」は、別の要件です。

AIがログを吐き出すだけでは足りません。

そのログ自身が、後から書き換えられてしまえば、証拠としての価値は失われてしまうことになります。

それゆえ、実務では、監査ログを、一度書いたら書き換えられない領域
── 一度だけ書き込め、あとは読むことしかできない、いわゆる WORM（Write Once Read Many）ストレージのような、改ざん不可能な保存先
── に残すアーキテクチャが求められることになります。

「AIが記録する」ことと「その記録を、事後に守り抜く」ことを、必ずセットで設計する。
ここまで揃って初めて、AIの行動は、証拠の連鎖に耐えるものになります。

「AIが集めたから信頼できる」とは、なりません。

「AIが、いつ何をしたかを、人間が検証できるから、信頼できる」。
そうでなければ、その証拠は、法廷で証拠能力を保つことは叶わないのです。

---

第７章：現在地 ── どこまでが実運用で、どこからが構想か

ここまで、理想と矛盾を見てきました。

では、2026年の現実は、どこにあるのでしょうか。
ここが、この調査レポートの、最も重要な部分です。

まず、完全自律は、まだ実現していません。

「AIが、検知から隔離、証拠収集、引き継ぎまでを、人間なしで完結する」
── これは、2026年時点では、主に構想と研究の段階です。

実運用の多くは、**重要な判断に人間を挟む半自律（human-in-the-loop）**です。

とりわけ「ネットワークの遮断・隔離」は、影響が大きいため、AIが推奨し、人間が実行前に承認する、という設計が、実務の主流です。

部分的な自律は、着実に進んでいます。

その一方で、個々の要素
── アラートの調査、通信ログの相関、証拠の初期収集の一部
── では、AIや自動化が、現実に使われ始めています。

SOARによる定型対応の自動化は、以前から実運用されています。

「隔離のためのSDN操作」も、技術的には可能で、一部で自動化されています。

ただし、それらを一気通貫で、しかもフォレンジックの厳密さを保ったまま、AIが自律実行するには、至っていません。

なぜ、慎重なのか。

理由は、本記事で見てきた矛盾と負担にあります。

誤隔離は本番業務を止めうる。
速すぎる隔離は証拠を壊しうる。
証拠の連鎖は、AIの行動の完全な記録を要求する。

これらのリスクを考えれば、影響の大きい行動に人間による承認を求めるのは、臆病さではなく、合理的な判断です。

そして、注意すべき区別があります。

ベンダーのデモやPoC（技術実証）で「完全自律」がうたわれることと、それが本番環境で、証拠能力を保ったまま運用されていることは、まったく別です。

「デモでできる」と「本番で法的に妥当」の間には、大きな距離があります。

この記事が繰り返し「技術的な"できる"と、証拠としての"妥当"は違う」と述べるのは、このためです。

商業的な宣伝で、「AIが自律的にインシデントを解決」という謳い文句を目にしたり耳にしたとき、**「隔離と証拠保全の矛盾を、どう解いているのか」「証拠の連鎖を、どう保っているのか」**を問う。

その問いを持てるように皆さまになっていただくことが、この記事が皆様にお届けできる実用的な収穫なのかもしれません。

---

まとめ ── 手と判断が繋がる、しかし手綱は人間が

• インシデント対応には、「隔離（止める）」と「証拠保全（残す）」 という、相反する要請がある。AIエージェントは、両方を高速に実行しうる位置に立った。
   
• 隔離は、AIがSDN/VLANを操作して行う。セキュリティグループの書き換え、フロー遮断、隔離VLAN、マイクロセグメンテーション ── いずれもSDN記事で見た「ソフトウェアによる通信制御」の応用。
   
• 証拠には、RFC 3227が定める揮発性の順序がある。メモリは最も速く消え、ファイルレスマルウェアはメモリにしか存在しない。消える前に、消えやすいものから集める。
   
• 悩ましい矛盾：隔離やシャットダウンが、まさにその揮発性の証拠を破壊する。速く止めれば証拠を失い、証拠を待てば被害が広がる。理想は「保全してから、止める」という繊細な段取り。
   
• さらに、証拠の連鎖が、AI自身の行動の完全な記録を要求する。証拠を集めるAIが、証拠として監視される。
   
• 現在地：完全自律は未実現。多くは半自律で、隔離は人間承認が主流。「デモでできる」と「本番で妥当」は違う。

前回の記事では、AIがSOCの頭脳になる光景をお届けしました。

この記事では、その頭脳は、SDNという手を得て、ネットワークを操作し、証拠に手を伸ばします。

制御の"手"（SDN）は、すでに完成しつつある。しかし、その手を"いつ、どう動かすか"という判断の自律化は、まだ途上です。

判断と制御の手がつながりつつある最前線
── それが、いまの現在地です。

そして、この繊細な現場を見れば見るほど、はっきりすることがあります。

速さだけでは、足りないということです。

止めることと残すことの、どちらをいつ優先するか
── その繊細な判断と、最終的な責任は、まだ人間の手綱の中 にあります。

次回の記事では、その手綱 ── 誰が、この自律の引き金に責任を持つのか ── を、正面から扱います。

---

各記事の位置づけ ── 本連載シリーズ３部作 * SDN記事の位置関係

• 第１作（脳）：AIがSOCの頭脳になる。何ができるようになるか。
• 第２作（手と足・本記事）：AIがSDNを操作し隔離し、証拠を集める。最前線でどこまで自律できるか、そして何が矛盾するか。
• 第３作（手綱）：その自律を、組織としてどう統治し、誰が責任を持つか。

---

これまで筆者の記事の重心は、圏論、型理論、HoTT、量子力学の構造、SDN、微分幾何学・多様体論、TDAの系譜
── いずれも「世界は、どういう構造でできているか」という、記述と理解の問いにありました。

数学と工学の、いわば、「である（is）」の世界 です。

ところが本記事は、途中から明確に、「では、どうすべきか」 へと軸足を移しました。

「AIは汚染区画を隔離できる」という「できる（can）」の話から、「人間からの承認なしで隔離させてもよいか」という「べき（ought）」の話へ。

ヒュームが指摘した is と ought の断絶を、本記事そのものが横断しています。

第５章で「"推論できる"ことは、"実行させてよい"ことを意味しない」と述べた瞬間に、この記事は技術論であることをやめ、責任論になりました。

そして、責任論には、二千年前から変わらない問いが、ひとつあります。

Quis custodiet ipsos custodes？
── その番人自身を、誰が見張るのか。

（ローマの詩人ユウェナリス『風刺詩』より）

ネットワークを見張るAIという、新しい番人。

その番人を、いったい誰が見張るのか。
誰が、その隔離の引き金に、責任を持つのか。

古代ローマの詩人が投げかけたこの問いは、AIが守り手となった現代において、なお
── いや、いっそう鋭く ──
私たちに突きつけられています。

次回、その問いを、正面から扱います。

---

For international readers

This is the second article in a series on AI in cybersecurity.

Part 1 covered how SOCs shift toward "AI investigates, humans supervise." This part enters the frontier of live incident response: an AI agent detecting a breach, isolating the compromised segment via SDN/VLAN, and autonomously collecting evidence.

Its heart is a hard contradiction.

Containment (rewriting security groups, cutting flows, moving to a quarantine VLAN — all software operations on host SDN, building on the earlier SDN article) is fastest when you cut the host off or power it down.

But evidence has an order of volatility (RFC 3227): memory vanishes first, and fileless malware exists only in RAM.

So the very act of isolating or shutting down destroys the most valuable evidence.

Stop fast and you lose evidence; preserve first and the attack spreads.

The ideal is "preserve, then contain" — a delicate sequence, far harder than mere speed.

Add chain of custody: if an AI collects the evidence, the AI's own actions become part of the evidentiary record and must be fully logged and reviewable.

The honest bottom line for 2026: full autonomy here is not yet real.

Most deployments are human-in-the-loop, with network isolation requiring human approval.

"Works in a demo" and "admissible in production" are very different.

Ask, of any "autonomous incident response" claim: how does it resolve the isolate-versus-preserve tension, and how does it maintain chain of custody?

---

Étale Cohomology（エタール・コホモロジー）
• Qiita: https://qiita.com/etale_cohomology
• Zenn: https://zenn.dev/etalecohomology
• GitHub: https://github.com/EtaleCohomology
• X（旧 Twitter）: https://x.com/Etale_Cohomo
• note: https://note.com/etale_cohomology

---

一次資料

注：本テーマは、確立したフォレンジックの原則（RFC等の一次資料）と、急速に動く自律セキュリティの実務動向（二次資料）が混在します。原則は一次資料に、現状の実装動向は二次資料に拠っています。法的な証拠能力の判断は、必ず専門家にご確認ください。

• 〔S1〕RFC 3227「証拠の収集とアーカイブのガイドライン」（揮発性の順序、証拠の連鎖、シャットダウン前に収集せよ、という原則）：https://www.rfc-editor.org/rfc/rfc3227.html
   
• 〔S2〕揮発性データとライブ・レスポンス（メモリにしか存在しないファイルレスマルウェア、隔離前の揮発性データ取得。「保全してから封じ込める」）：https://cyberdefenders.org/blog/what-is-memory-forensics/
   
• 〔S3〕DFIRの初動判断（「最初の判断は電源を抜くか否か」「最初の60秒」「メモリ→接続→ディスクの順で保全」）：https://cyberdefenders.org/cybersecurity-glossary/digital-forensics-and-incident-response-dfir/
   
• 〔S4〕封じ込めと事業影響のトレードオフ、対応チームの部門横断性、対応者に求められる技術力と判断力：https://www.wiz.io/academy/detection-and-response/incident-response-fast-track-guide
   
• 〔S5〕証拠保全の実務（訴追を視野に入れる場合、疑わしいファイルを開くことすら避ける等）：https://www.sciencedirect.com/topics/computer-science/containment-strategy