大企業でAIエージェントを全社展開するためには、まず「ランタイムとは何か」を知るべきである

動的なAIエージェントの大規模展開には、どんな統制・セキュリティが必要？

ハンター氏：ここまでは主に静的なコードに対処する話をしてきましたが、ここからはドリュー・ロイさんを交えて、動的なエージェントの話をお聞きしたいと思います。

ドリュー・ロイ氏（HashiCorp）：よろしくお願いします。現在は、HashiCorpやIBMのアイデンティティ＆アクセス管理分野で仕事をしています。

ハンター氏：企業がAIエージェントを自前でデプロイする時代が到来しつつある現状をどう考えていますか。

ロイ氏（HashiCorp）：最高、とは言えませんね……。着実に前進しているとは思いますが、まだ「それっぽいことをしている」ようなフェーズです。検証可能な独自のアイデンティティを持つエージェントをしっかりと確立できれば、もっと安心して見られる状況になるでしょう。

　ゆくゆくは、意図や目的に基づいてエージェントのアクセス範囲を厳密に設定する必要があります。各エージェントが特定のリクエストで何を試みようとしているのか把握し、ジャスト・イン・タイムで細かく範囲が設定された権限・資格情報を発行、あるいは仲介して、その意図や目的を最後まで維持させる。そして、タスク完了後には失効か有効期限切れになるような管理体制が望ましいです。

ハンター氏：ありがとうございます。ここで、NVIDIAの視点を取り入れたいと思います。クリス・ホワイトさんです。

クリス・ホワイト氏（NVIDIA）：AI×サイバーセキュリティの分野でデベロッパー・リレーションズに従事しています。IBMやRed Hatのようなパートナーと連携し、NVIDIAプラットフォーム上で構築を行い、私たちのエコシステムへと統合しています。

ハンター氏：IBMは、ちょうど最近発表された「NVIDIA Open Agent Safety Platform」においてNVIDIAと協力してきました。

ホワイト氏（NVIDIA）：まずは、その中の主要な構成要素の1つである「OpenShell」の話をさせてください。

ホワイト氏（NVIDIA）：これは、エージェントの行動を決定論的に制御し、エンタープライズが大規模環境で安全にエージェントをデプロイできる環境をいかに構築するかを追求したものです。その中で、IBMと連携してエージェントのアイデンティティを統合し、さらにRed Hatと連携して、AIファクトリーの一部としてOpenShellを提供できるようにしました。

　OpenShellの背景にあるコンセプトは、アクセス可能なファイルやファイルシステム、特定のエンドポイントにアクセスできるプロセス、そして到達可能なネットワーク領域を制御できるというものです。Linuxのカーネル制御などを利用してインフラストラクチャに信頼できる基盤を提供し、エージェントが確実に制御下に置かれ続けるのだという確信を皆さんにもたらします。

ハンター氏：Red Hatとのコラボレーションについても知りたいです。

ライト氏（Red Hat）：Red Hat側としては、この基盤を構築してLinuxやKubernetesの世界に持ち込むために、惜しみない協力を続けてきました。Linuxの世界は、OSレベルの制御がすべてです。加えて、エージェントをデプロイする手段としてコンテナがあります。多様なシステムとKubernetesへ統合します。

　単一のエージェントではなく、大規模なエージェント、全社的なエージェント展開を考えてみてください。何百何千というユーザーが、何千何万という異なるエージェントを起動する可能性がありますよね。そんな時、増殖・連携する各エージェントがKubernetesに統合されたOpenShellを通じて管理され、各エージェントについて「ネットワークのこの部分へのアクセスを許すか」「ファイルシステムのこの部分へのアクセスを許すか」といった具合にポリシーを処理します。安全な空間を構築することが最終的なゴールです。そうして、ようやく機密性の高い業務をエージェントに任せられるようになります。

ハンター氏：「Agent Identity」におけるコラボレーションの裏側についても知りたいです。

ロイ氏（HashiCorp）：Agent IdentityやVaultは、サンドボックス内で動作するエージェントがエンドシステムにアクセスするために必要な資格情報に対して、永続的なアクセス権を保持させないようにする役割を果たしています。

　これにより、境界部分においてエージェントがAgent IdentityやVaultから必要なものを取得して、検証可能なアイデンティティを持ち、万が一エージェントがサンドボックスを突破したり、不正が起こったりした場合、いかなるシステムに対しても永続的なアクセス権を持たない状態を作り出せます。そうなれば、被害の影響範囲を大幅に縮小できます。エージェントの振る舞いに対する監査と追跡が可能になるのです。