本番環境で AI エージェントを運用しているチームに、4 つの質問をしてみてください。 実際に何をしたのか？ 今も何をすることが許されているのか？ それを顧客にどう証明するのか？ どれだけ速く止められるのか？ 今日、正直な答えの大半は肩をすくめるだけです。エージェントは長期間有効なキーで認証し、そのスコープは設定ファイルで一度決められたきりで、その履歴は作成者がたまたま書いたログがすべてです。
Agentic Trust & Protection Platform（ATPP）は、この 4 つの質問に対する当社の答えです。3 つのレイヤーで構成されており、そのうちどれが現在存在し、どれがまだプレビューなのかを正確に示しておく価値があります。
レイヤー 1——共有キーではないアイデンティティ
登録されたすべてのエージェントには、環境変数に置かれた API キーではなく、SPIFFE 形式の固有のアイデンティティと、短期間有効な署名付きの認証情報が付与されます。アイデンティティはエージェントごとに一意なので、「どのエージェントがやったのか？」に答えがあり、ローテーションされるため、漏洩した認証情報もいずれ失効します。
レイヤー 2——何をしたかの署名付き記録
エージェントが動作するにつれ、そのアクションが報告され、追記専用の台帳上の署名付き信頼状態イベントに変換されます。エージェントが付与されたスコープ内にとどまっている間は緑、そうでない場合は赤になるバッジがその台帳から生成され、検証ドキュメントによって第三者が署名をオフラインで確認できます。署名の意味は、記録が単なるエージェント所有者の主張ではないという点にあります。
このレイヤーが何であるかは明確にしておきます：これは 記録です。エージェントがスコープの外に出たことを、迅速かつ検証可能な形で知らせます。しかしこれ自体が、スコープの外に出たリクエストを止めるわけではありません——報告される時点で、そのリクエストはすでに送信されています。
レイヤー 3——ATPP Enforce、チェックポイント（プレビュー）
ATPP Enforce は、判定をリクエストの前に移します。インラインのゲートウェイが、送信される各リクエストをエージェントのグラントに照らして評価し、許可、拒否、一時停止のいずれかで応答します。グラントは単なるツール名のリストではなく、ホスト、メソッド、パス、ボディサイズの上限からなる構造化されたものです。チェックするのがツールだけなら、許可されたツールを通じて送られた攻撃はスコープ内に見えてしまうからです。当社が譲れないと考えるいくつかの特性：
- フェイルクローズ。 ポリシーがなければ拒否。
- デフォルトで読み取り専用。 書き込みメソッドを指定していないルールは書き込みを一切許可せず、リクエストボディには上限が設けられます。
- どのルールでも上書きできない拒否リスト ——クラウドのメタデータエンドポイントとプライベートアドレス範囲には、到達できないままです。
- まずシャドーモード。 同じ判定がシャドーモードで計算され、記録されるだけなので、何かを実際にブロックする前に、何がブロックされるはずだったかを確認できます。
バーンインのゲート
あらゆるブロック型の対策の失敗パターンは、誤検知によって本番環境が停止することです。そこで当社は、安全な順序をコード上のルールにしました。ゲートウェイが最低限の期間と十分な数の判定にわたってアイデンティティの実際の作業を観測し、ゲートウェイがブロックしていたはずのすべてのリクエストを運用者がレビューして同意するまで、アイデンティティをシャドーから強制に移すことはできません。レビューはホストとメソッドでグループ化されるため、運用者は数百行ではなく、十数個のパターンについて判断するだけで済みます。
第三者が確認できるレシート
強制されたトラフィックには、署名付きのレシートヘッダーが付きます。エージェントからリクエストを受け取ったサイトは、そのヘッダーを当社に渡すことで、3 つの答えのいずれかを得られます：カバーされ許可された、カバーされ拒否された、まったくカバーされていない。最後の答えが意味を持つのは、どのトラフィックをエージェントと疑うかをサイトがすでに判断している場合だけです——絞り込みは呼び出し側の役割です——が、これは ATPP の中で唯一、何も導入していない相手にも役立つ部分です。
サードパーティの MCP サーバー
エージェントは、自分が書いていないコードもインストールします。サードパーティの MCP サーバーはほとんど審査されないままエージェントの設定に追加され、そのリスクを誰も引き受けていません：レジストリは免責を表明し、作成者はインストールする側と何の関係もなく、エージェントフレームワークはそれを設定として扱います。ATPP は公開されている MCP サーバーをスコアリングし、パブリッシャーが検証可能なバッジを埋め込めるようにしているため、インストールする側は追加する前にサーバーを確認できます。
当社が主張していないこと
この率直さは意図的なものです。過大に主張するセキュリティ対策は、ないよりも悪い。人々が注意を払わなくなるからです。これは、当社がペネトレーションテストの検出結果に適用しているのと同じルールです：あることをどのように知ったのかを明示すること。
試してみる
エージェントの登録とバッジの閲覧は、最初の 10 件まで無料です。まずは trust.redthreadsec.comから始めるか、 アイデンティティのドキュメント と API リファレンスをお読みください。サードパーティの MCP サーバーをインストールするエージェントを運用していて、Enforce のデザインパートナーになりたい場合は、 ご連絡ください。