AIエージェントは騙される前提で守る。Googleが署名・隔離・検問の実装例を公開

ゼロトラストAIエージェントは、モデルが騙される前提でエージェントの外側から被害を止める設計で、Googleが2026年8月17日にADK向けの参照アーキテクチャとデモ実装を公開しました。

📖 この記事で分かること

• Googleが公開したゼロトラスト設計の中身
• 署名・サンドボックス・検問の3層の役割
• 新機能ではなく設計例である点の意味
• 現時点で公表されていない条件

💡 知っておきたい用語

• ゼロトラスト: 内部からの操作も信用せず、毎回検証する設計思想。社員証があっても部屋ごとに鍵をかけるイメージ
• プロンプトインジェクション: 入力文に細工をしてAIの指示を乗っ取る攻撃手法

最終更新日: 2026年8月19日

▶ 公式ページ

• Build zero-trust AI agents with Google’s Agent Development Kit(Google Developers Blog)
• zero-trust-agents リポジトリ(GitHub)
• Agent Development Kit ドキュメント(Google)

Googleが公開した「ゼロトラストAIエージェント」とは

この記事のポイント

• Googleが2026年8月17日、ADK向けのゼロトラストAIエージェント実装をオープンソース公開しました(2026年8月時点)。
• 暗号署名・gVisor隔離・セマンティックゲートウェイの3層で、モデルが騙された後の被害を止める構成です。
• ADK本体の新機能ではなく参照アーキテクチャとデモ実装のため、導入は自前の実装作業になります。

Google Developers Blogは2026年8月17日、Agent Development Kit(ADK)を使った「ゼロトラストAIエージェント」の設計と実装例を公開しました。著者はSenior AI Product ManagerのShubham Saboo氏とDeveloper Relations EngineerのEric Dong氏です。

ここで押さえておきたいのは、これがADK本体に新しいセキュリティ機能が追加された発表ではないことです。公開されたのは参照アーキテクチャと、動かせるオープンソースのデモ実装です。ADKを更新すれば自動で安全になるわけではなく、記事に示された設計を自分の環境に組み込む作業が前提になります。

題材として使われているのは、返品処理を自動で行う自律型カスタマーサポートエージェントです。返金の実行やデータベースへの書き込みという、間違えると金銭的な損害が出る操作を扱う想定になっています。

システムプロンプトは「ソフトな制約」だと公式が認めた

今回の発表で最も重い一文は、機能の説明ではなく前提の置き方にあります。Googleはシステムプロンプトを「ソフトな制約」と位置づけ、プロンプトインジェクションによって回避されうると明記しました。

エージェントの安全対策として、指示文に「返金は1万円まで」「顧客情報を外部に送るな」と書き込む運用は広く行われています。今回の設計はその前提を採らず、モデルは騙されるものとして扱い、モデルの外側で被害を止める構造に寄せています。守る場所を、お願いする層から強制する層へ移した形です。

この転換は、エージェントに実際の業務操作を任せ始めた組織にとって実務的な意味を持ちます。読み取りだけのエージェントなら誤作動は誤答で済みますが、書き込みや決済を伴う場合、指示文の遵守を信じる設計では損害を止める仕組みが1つもないことになります。

3層の防御はそれぞれ何を止めるのか

公開された構成は3つの層からなり、Googleは安全性がこの組み合わせに依存し、単独の機構では成立しないとしています。

1つ目は暗号署名による書き込み制御です。 Cloud KMSとハードウェアセキュリティモジュール(HSM)を使い、エージェントごとに専用のサービスアカウントと非対称鍵の署名権限を割り当てます。データベースへの変更はコミット前に署名が検証され、正規のエージェントが出した操作かどうかを判定します。台帳を後からスキャンして整合性を確認する、監査経路も想定されています。

2つ目はカーネルレベルのコード隔離です。 エージェントが動的に生成したPythonコードを、gVisorランタイム上の隔離コンテナで実行します。ネットワークへの送信はゼロに設定され、root権限はすべて破棄されます。リソース制限も具体的で、メモリ上限64MB、CPUは0.1に絞られ、実行は5秒でタイムアウトします(2026年8月時点)。生成コードが外部へ情報を持ち出す経路と、資源を食い潰す経路の両方を塞ぐ構成です。

3つ目は決定的セマンティックゲートウェイです。 リバースプロキシとして動作し、LLMに入力を渡す前と、出力を実行に移す前の双方で内容を検証します。検出対象はjailbreakのシグネチャ、個人情報、秘密情報、そして範囲を超えた取引金額です。さらにCI/CDに回帰テストを組み込み、モデルを更新した際にセキュリティ挙動が劣化していないかを継続的に確認します。モデル差し替えで防御が静かに壊れる事態への備えです。

手に入るもの、まだ分からないこと

公開されたzero-trust-agentsリポジトリには、実行可能なCLIデモとブラウザ用ダッシュボードが含まれます。手元での検証は「軽量な等価物」で動く構成になっており、本番のKMS署名にあたる部分はローカルではHMAC署名に置き換えられています。クラウド契約なしで挙動を確認できる一方、そのまま本番構成になるわけではありません。

本番への対応づけとして、Cloud KMS HSM、gVisorが動作するCloud Run、VPC Service Controlsを並べたマッピング表も示されています。ただしGoogleはこれを機能提供の保証ではなくアーキテクチャ指針として提示しています。

一方で、導入判断に必要な数字の多くは今回の公開に含まれていません。Cloud KMSやCloud Runを使った場合の実運用コスト、署名検証やゲートウェイ通過によるレイテンシとスループットのオーバーヘッド、対応するADKのバージョン、この構成のサポート状況やGAの扱い、日本語環境や日本リージョンでの取り扱いは、いずれも公表されていません。

編集部の見方

編集部は、この公開の価値は3層の技術そのものより、Googleが「指示文では守れない」と公式に言い切った点にあると見ます。

• 根拠1: 公式がシステムプロンプトを「ソフトな制約」と明記し、プロンプトインジェクションで回避されうるとしています。ベンダー側がこれを書面化した意味は、実装例の提供より大きく響きます。
• 根拠2: 制限値が64MB、CPU 0.1、5秒タイムアウトと具体的で、抽象論ではなく運用可能な水準まで落ちています。デモが手元で動く形で公開されている点も、検証コストを下げます。
• 根拠3: 一方で新機能ではないため、恩恵を受けるにはこの設計を自分で組む必要があります。ADKを使っていれば自動的に守られる、という読み方は成立しません。
• この見方が変わる条件: 同等の防御がADKやCloud Runのマネージド機能として提供され、自前実装が不要になった場合、注目点は「設計思想の提示」から「導入コストの比較」へ移ります。

現時点で動くべきなのは、書き込みや決済をエージェントに任せている、あるいは任せる計画がある組織です。読み取り専用の用途であれば、優先度は高くありません。

よくある質問

Q: ADKをアップデートすれば、この防御は自動で有効になりますか?

A: なりません。今回公開されたのは参照アーキテクチャとデモ実装であり、ADK本体への新機能追加ではありません。利用するには設計を自分の環境に実装する必要があります。

Q: Google Cloudの契約がなくても試せますか?

A: 手元での検証は可能です。デモは軽量な等価物で動作し、本番のKMS署名にあたる部分はローカルではHMAC署名に置き換えられています。ただし本番構成そのものではありません。

Q: 導入するとどれくらい遅くなりますか?

A: 署名検証やゲートウェイ通過によるレイテンシ・スループットへの影響は、今回の公開では示されていません。運用コストと合わせて、自身の環境での計測が必要になります。

まとめ

Googleは2026年8月17日、ADKを用いたゼロトラストAIエージェントの参照アーキテクチャとデモ実装を公開しました。暗号署名による書き込み制御、gVisorによるコード隔離、入出力を検証するセマンティックゲートウェイの3層で構成され、公式はシステムプロンプトを回避されうる「ソフトな制約」と位置づけています。ADK本体の新機能ではないため導入は自前の実装作業となり、コスト・レイテンシ・サポート状況は現時点で公表されていません。

【用語解説】

• HSM【エイチエスエム】: 暗号鍵を専用ハードウェア内で保管・利用する装置。鍵そのものを外に出さずに署名処理を行う
• gVisor: コンテナとカーネルの間に入り、システムコールを肩代わりして隔離を強める実行環境
• セマンティックゲートウェイ: AIへの入力と出力の内容を、実行前に決まった規則で検査する中継地点

引用元:

• [1] Build zero-trust AI agents with Google’s Agent Development Kit(Google Developers Blog)
• [2] zero-trust-agents リポジトリ(GitHub)
• [3] Agent Development Kit ドキュメント(Google)

この記事について: AI 支援で執筆、編集部が事実確認・編集しています。誤りや追加情報があれば Contact よりお知らせください。