はじめに
2026年3月17日、Proofpointが Proofpoint AI Security を発表した。AIエージェントが企業システム内で自律的に動作する時代に対応し、 Intent-Based Detection（意図ベース検知） と Agent Integrity Framework（エージェント整合性フレームワーク） を中核とするセキュリティプラットフォームである。
この記事では、Proofpoint AI Securityのアーキテクチャ、Agent Integrity Frameworkの5つの柱、5段階成熟度モデル、そしてIntent-Based Detectionの仕組みを公式情報に基づいて解説する。
この記事で学べること
- AIエージェント時代に従来のセキュリティツールでは対処できない脅威の構造
- Agent Integrity Frameworkの5つの柱と各柱の役割
- 5段階成熟度モデルによる段階的導入の考え方
- Intent-Based Detectionの技術的な仕組み
対象読者
- AIエージェントを業務に導入している、または導入を検討しているエンジニア
- エンタープライズ環境でのAIセキュリティに関心があるセキュリティ担当者
- MCPサーバーを運用している開発者
TL;DR
- Proofpoint AI Securityは AI Access Security 、 Agentic AI Security 、 AI MCP Security の3層でAIの利用を保護する
- Agent Integrity Framework は意図整合性・ID帰属・行動一貫性・監査可能性・運用透明性の5柱で構成される
- 従来のCASBやDLPでは検知できない 意味的権限昇格（Semantic Privilege Escalation） や ゼロクリックプロンプトインジェクション に対応する
- 5段階の成熟度モデルにより、既存のセキュリティ基盤を刷新せずに段階的に導入できる
なぜAIエージェントのセキュリティが急務なのか
Proofpointが買収したAcuvityの調査によると、 70%の組織がAIガバナンスを最適化できていない 。また、 50%がAIツール経由のデータ損失を12か月以内に予測 している。
こうした数値の背景には、AIエージェント特有の脅威がある。
意味的権限昇格（Semantic Privilege Escalation）
従来の権限昇格は、OSやアプリケーションの脆弱性を突いて管理者権限を奪取するものだった。意味的権限昇格はこれと異なり、エージェントが 付与された正規の権限の範囲内で 意図されていない操作を実行する。
たとえば、データ照合エージェントに「パターンXに一致するすべての顧客レコードをエクスポートせよ」と指示する攻撃では、Xに全レコードにマッチする正規表現を仕込むことで、正規の権限のまま大量のデータを窃取できてしまう。
ゼロクリックプロンプトインジェクション
ユーザーの操作を一切必要としない攻撃手法である。攻撃者がメールに隠しプロンプトを埋め込み、AIアシスタントがそのメールを要約する際に悪意ある指示が実行される。2025年6月にAim Securityが報告したMicrosoft 365 Copilotの脆弱性 EchoLeak（CVE-2025-32711） は、ゼロクリック攻撃で内部ファイルやチャット履歴が窃取された実例として知られる。
従来ツールの限界
CASB（Cloud Access Security Broker）やDLP（Data Loss Prevention）は、トラフィック量やアクセス権限を監視するが、AIの 意味的なコンテキスト を理解しない。1つのAIリクエストが複数のシステムにまたがる数十のアクション（ツール呼び出し、データ取得、LLM問い合わせ）を自律的に実行する環境では、権限とトラフィックの監視だけでは不十分である。
Proofpoint AI Securityの全体像
Proofpoint AI Securityは、AIの利用形態に応じた3つのコンポーネントで構成される。
| コンポーネント | 対象 | 主な機能 |
|---|---|---|
| AI Access Security | 従業員のAIツール利用 | 未承認AIツールの検出、ランタイム検査、コンテキスト対応ポリシー |
| Agentic AI Security | 自律型AIエージェント | Intent-Based Detection、行動異常検知、マルチステップワークフロー監視 |
| AI MCP Security | MCPサーバー接続 | 認証・コンテンツ検査、承認済みサーバーレジストリ、セキュリティ態勢評価 |
3つのコンポーネントは 統一ポリシーエンジン で一元管理され、ブロック・墨消し・制限・エスカレーションを一貫した基準で実行する。
監視面はエンドポイント、ブラウザ拡張、MCP接続の3つをカバーする。
Agent Integrity Framework — 5つの柱
Proofpointが提唱する Agent Integrity Framework は、AIエージェントが「整合性を持って動作している」状態を定義するフレームワークである。5つの柱で構成される。
柱1: Intent Alignment（意図整合性）
エージェントの行動が、ユーザーの元のリクエストと合致しているかを継続的に検証する。具体的には以下の3段階で評価する。
- 元の意図の捕捉 — ユーザーが何を依頼したのかを記録する
- 行動の追跡 — ワークフロー全体でエージェントの各アクションを監視する
- 乖離の検知 — 行動が意図から逸脱した時点でフラグを立てる
たとえば、「今月の売上レポートを作成せよ」という指示に対してエージェントがHRシステムへのアクセスを試みた場合、意図整合性違反として検知される。
柱2: Identity and Attribution（ID帰属）
あるアクションが発生した際に、 誰が（どのエージェントが）それを実行したのか を追跡できる仕組みを提供する。インシデント発生時には、結果から元のリクエストとそれを承認した人間まで遡って再構成できるフォレンジック機能を含む。
柱3: Behavioral Consistency（行動一貫性）
エージェントは、その目的と設定に基づいた特徴的な行動パターンを持つ。財務分析エージェントであれば、市場データのクエリ、承認済みデータソースへのアクセス、レポートの生成が典型的な行動となる。このエージェントが突然HRシステムにアクセスしたり、ネットワーク偵察を開始した場合、行動一貫性の逸脱として検知する。
柱4: Auditability（監査可能性）
エージェントがタスクを完了するまでに行った すべてのインタラクション — LLM呼び出し、ツールアクセス、データフェッチ、コンテキスト保存 — を、セキュリティコンテキスト付きで記録する。標準的なログ記録を超え、PII露出、行動異常、認証情報の誤用、ポリシー違反を監査証跡内でフラグ付けする セキュリティ注釈付きフォレンジック を実現する。
柱5: Operational Transparency（運用透明性）
エージェントの意思決定プロセスに対する可視性を提供する。エージェントがどのような判断基準でアクションを選択したのか、どのツールを呼び出し、どのデータを参照したのかを、セキュリティチームが把握できる状態を維持する。
5段階成熟度モデル
Agent Integrity Frameworkの導入は、既存のセキュリティ基盤を一度に刷新する必要はない。Proofpointは5段階の成熟度モデルを提示し、段階的な移行を推奨している。
| レベル | 名称 | 状態 |
|---|---|---|
| Level 1 | レガシー制御 | CASB、DLP、RBACなど従来のセキュリティツールに依存。自律型AIを前提とした設計ではない |
| Level 2 | 発見と可視化 | どのエージェントが存在し、どのLLMを使い、どのMCPサーバーに接続しているかを把握する |
| Level 3 | ガバナンス | エージェントマニフェスト、ポリシー定義、セキュリティ注釈付きログを導入する |
| Level 4 | 検知 | 行動異常監視、認証情報分析を実施し、ポリシーを可視化モードで運用する |
| Level 5 | ランタイム強制 | Intent-Based Access Controlがインラインで稼働し、意味的権限昇格をリアルタイムでブロックする。MCPゲートウェイが全ツールアクセスに認証・コンテンツ検査を実施する |
この段階的アプローチにより、CISOは既存のセキュリティインフラを活かしながらAIガバナンスを運用できる。
Intent-Based Detectionの仕組み
Intent-Based Detection（意図ベース検知）は、Proofpoint AI Securityの技術的な核である。
従来のセキュリティツールがトラフィック量やアクセス権限を監視するのに対し、Intent-Based Detectionは AIインタラクションの意味的コンテキスト全体 を分析する。
検知の流れは以下のとおりである。
- リクエスト解析 — ユーザーの元のリクエストから意図を抽出する
- ポリシー照合 — 抽出した意図と組織のセキュリティポリシーを照合する
- リアルタイム評価 — エージェントの各アクションが、意図とポリシーの双方に整合しているかを継続的に評価する
- 逸脱検知 — 整合性が崩れた時点で、ブロック・墨消し・エスカレーションなどのアクションを実行する
この仕組みにより、コンプライアンス違反の通信やデータ損失などの被害が発生する 前に リスクの高いアクションを検知できる。
MCPセキュリティへの対応
AIエージェントが外部ツールやデータソースに接続する標準プロトコルとして MCP（Model Context Protocol） が普及する中、MCPの接続境界はセキュリティ上の重要なポイントとなっている。
Proofpoint AI Securityの AI MCP Security コンポーネントは、以下の機能を提供する。
- 承認済みサーバーレジストリ — 企業が承認したMCPサーバーのリストを管理し、未承認サーバーへの接続を制御する
- 認証・コンテンツ検査 — MCP境界での認証を強制し、通信内容を検査する
- セキュリティ態勢評価 — エンタープライズサービス接続のセキュリティ状態を評価する
MCPサーバーを運用する開発者にとっては、自社のMCPサーバーがAgent Integrity Frameworkのポリシーに準拠しているかを評価する基準として参考になる。
導入時の検討ポイント
Proofpoint AI Securityを検討する際に考慮すべき点を整理する。
対応が必要な組織の兆候:
- AIエージェントが社内システムのデータにアクセスしている
- MCPサーバーを複数運用しており、接続管理が属人的になっている
- シャドーAI（従業員が無断で利用するAIツール）の実態を把握できていない
既存ツールとの関係:
Proofpoint AI Securityは既存のCASBやDLPを置き換えるのではなく、AIエージェント特有のレイヤーを 追加 する位置づけである。Level 1からLevel 5への段階的移行が想定されているため、既存のセキュリティ投資を無駄にしない設計となっている。
利用可能状況:
2026年3月17日時点で、全グローバル市場で利用可能と発表されている。具体的な価格体系は公開されていない。
まとめ
- Proofpoint AI Securityは、AIエージェントの 意図整合性 を検証する新しいアプローチでエンタープライズセキュリティに取り組むプラットフォームである
- Agent Integrity Frameworkの5つの柱（意図整合性・ID帰属・行動一貫性・監査可能性・運用透明性）は、AIエージェントのセキュリティを体系的に評価する枠組みとして参考になる
- 5段階成熟度モデルにより、既存環境を活かした段階的な導入が可能である
- AIエージェントが企業システムに深く統合される2026年において、エージェントの行動を「権限」ではなく「意図」で制御するアプローチは、今後の標準的な考え方になる可能性がある