過去20年間、エンタープライズセキュリティはアイデンティティを中心に構築されてきました。ユーザーを認証し、操作を認可し、リクエストを監査するというモデルです。エージェント型AIによって、今、その限界が明らかになりつつあります。
組織が情報の取得、意思決定、タスクの実行をAIシステムに委ねるケースが増えるなか、問われるのは、もはや誰がリクエストしているかだけではありません。そもそも、どのモデルならその処理を信頼して任せられるのかが重要です。
同時に、もう1つのトレンドも生まれています。AI機能がエンドポイントへと移行しつつあります。PCには、ローカルで推論を実行できるニューラルプロセッシングユニット（NPU）や組み込みモデルが搭載されるようになっています。小規模言語モデルは、クラウド専用サービスではなく、日常的に使用するアプリケーションの実用的なコンポーネントになりつつあります。
この2つのトレンドは、興味深い形で交わっています。
AIがエンドポイントへ移行するにつれ、モデルルーティングは、パフォーマンスとコストを最適化する仕組みから、セキュリティアーキテクチャの基盤となる要素へと進化する可能性があります。
現在の前提：1つのモデルに多数の権限
現在のエージェントアーキテクチャの多くは、汎用モデルが、増え続けるツール、API、データソース、エンタープライズシステムにアクセスして動作することを前提としています。
通常、モデルの周囲にはセキュリティが多層的に配置されます。
- アイデンティティシステムは、リクエストの開始元を特定します。
- アクセス制御は、利用可能なリソースを決定します。
- Guardrailsは動作を制限しようとします。
- 監査では、実行後のアクションを追跡します。
このアプローチは、単一のアプリケーションに権限を付与し、セキュリティ制御によって実行可能な操作を決定する従来のアプリケーションアーキテクチャを踏襲しています。課題は、リスク特性が大きく異なるタスクを大規模言語モデルに実行させるケースが増えていることです。
ドキュメントの要約、経費報告書の承認、顧客レコードの変更、本番インフラストラクチャの削除は、同等の操作ではありません。それにもかかわらず、多くのアーキテクチャでは、これらを同じインタラクションのバリエーションとして扱っています。
エージェントの能力が拡大するにつれ、高度化するシステムに対して、ポリシー、制御、監督を継続的に強化する必要性が高まります。
その結果、ガバナンスとポリシー適用の両面で複雑さが増しています。
もう1つのアプローチ：専門性による権限の確立
解決策は、汎用モデルに対する制御を強化することではないとしたらどうでしょうか。単一のモデルに付与する権限を減らすことが解決策だとしたらどうでしょうか。
歴史的に、分散システムは専門化する方向へと進化してきました。専門化によって複雑さが軽減され、障害ドメインが限定されるためです。データベースはデータベースの機能を、プロキシはプロキシの機能を、ロードバランサーは負荷分散の機能を担います。
AIアーキテクチャも同様の道をたどる可能性があります。
組織は、1つのモデルに強力な権限を集中させるのではなく、特化型モデルを組み合わせて導入する可能性があります。
- 要約と分類に使用するローカルモデル
- 企業内ナレッジへのアクセスに使用する検索モデル
- オーケストレーション向けワークフローモデル
- 特定のビジネスプロセス向けのアクションモデル
- 特権操作向けの制約が厳しいモデル
各モデルには、意図された機能に必要な能力のみを持たせます。アーキテクトは、モデル選択後のポリシー適用だけに依存するのではなく、権限をモデルの選択自体に直接結び付けることが、今後ますます可能になります。
選択したモデル自体が、セキュリティ上の判断の一部となります。
ポリシールーティングとしてのモデルルーティング
現在、モデルルーティングは主にコストとパフォーマンスの観点から議論されています。組織は、レイテンシー要件、トークンコスト、推論能力に基づいて、リクエストを異なるモデルに振り分けています。今後、ルーティング基準は大幅に拡大する可能性があります。
将来的には、ルーティングの判断で次の要素が評価される可能性があります。
- データの機密性
- 規制要件
- 必要な権限レベル
- ツールへのアクセス要件
- データレジデンシーに関する制約
- ユーザーの信頼レベル
- エンドポイントの機能
このモデルでは、ルーティングの主眼は、最も低コストなモデルを見つけることよりも、最も安全な実行環境を選択することに移ります。
- 機密性の高い財務データを含むリクエストは、ローカル処理に限定される場合があります。
- お客さまのシステムへのアクセスが必要なリクエストは、承認済みのツールを備えた企業ホスト型モデルにルーティングされる場合があります。
- 破壊的な操作を伴うリクエストは、厳格に管理された実行環境へのエスカレーションが必要になる場合があります。
ルーティングレイヤーは、実質的にポリシー決定ポイントとなります。
エンドポイントAIが状況を一変させる理由
エンドポイントAIの登場により、この変化が加速する可能性があります。
これまで、クラウドでホストされるモデルを利用するには、組織は比較的中央集約型のアーキテクチャを採用せざるを得ませんでした。モデルがクラウド上にあるため、データをモデルに送信する必要があったからです。高性能なモデルをユーザーデバイス上で直接利用できるようになるにつれ、新たなアーキテクチャパターンが生まれています。
機密情報をエンドポイントの外部に送信する必要がなくなる可能性があります。一部のワークフローは、ローカルの信頼境界内で完結できる場合があります。
組織は、プライバシー、パフォーマンス、ガバナンスのバランスを取るための選択肢を増やせます。さらに重要なのは、新たなセキュリティプリミティブを利用できるようになることです。
タスクをローカルとリモートのどちらで実行するかを選択できることは、アーキテクチャ上の重要な制御手段となります。シナリオによっては、最も安全なクラウドモデルであっても、十分な能力を備え、ネットワークに一切アクセスしないローカルモデルより、情報漏えいなどのリスクにさらされる可能性が高い場合があります。
ローカルAIゲートウェイが必要な理由
これにより、新たなインフラストラクチャレイヤーを構築する機会が生まれます。
アプリケーションからモデルを直接呼び出せるようにするのではなく、組織では次の役割を担うローカルのAIゲートウェイの導入が進む可能性があります。
- モデルの選択
- ポリシーの適用
- ツールの認可
- データ移動の制御
- 監査ログの生成
- コンテキストフィルタリング
実装方法の1つとして、ローカルの推論およびポリシープロキシとして動作する、WebAssemblyベースの軽量ランタイムが考えられます。このようなレイヤーにより、最終的にどのモデルが処理を実行するかにかかわらず、組織は一貫したガバナンスを適用できます。さらに重要なのは、セキュリティ上の判断をモデルの動作から分離できることです。
モデルがポリシーに従うことを期待するのではなく、ゲートウェイが、その機能をモデルにそもそも付与するかどうかを制御します。
モデルの自律性が高まるにつれて、この違いはますます重要になります。
戦略的な意味合い
この変化から、より広範な戦略的示唆がいくつか得られます。
第1に、モデルルーティングは、プラットフォームの最適化機能ではなく、アーキテクチャの中核機能となる可能性があります。
第2に、より小規模な特化型モデルは、権限の境界がより明確であるため、エンタープライズ環境では大規模な汎用モデルよりも価値が高まる可能性があります。
第3に、エンドポイントAIは、パフォーマンス戦略であると同時に、ガバナンス戦略にもなり得ます。
最後に、組織はモデルの選択そのものをアクセス制御の一部として扱うようになる可能性があります。
そのような未来では、セキュリティ上の判断は、ユーザーやリソースに関する問題だけにとどまりません。特定のタスクをどのモデルに任せるべきかという問題も含まれます。
今後の展望
長年にわたり、アイデンティティはエンタープライズコンピューティングにおける主要なコントロールプレーンとして機能してきました。しかし、エージェント型システムの登場により、その前提が揺らいでいます。
AIがビジネスプロセスにより深く統合されるにつれ、セキュリティアーキテクチャには、権限を制約し、リスクへの露出を抑え、運用の複雑さを軽減するための新たな仕組みが必要になります。
モデルの特化は、1つの有力なアプローチです。組織は、能力が高まり続けるモデルを取り囲むセキュリティフレームワークを際限なく拡大するのではなく、特化型モデル間で権限を分散し、ルーティングインフラストラクチャを使用してその境界を適用する方法を選択できます。
そうなれば、モデルルーティングはパフォーマンス最適化の枠を超え、ポリシールーティングへと進化します。そして、ポリシールーティングは従来からセキュリティインフラストラクチャの役割を担ってきました。
著者について
Lori MacVittieは、F5のOffice of the CTOに所属するDistinguished Engineer兼Chief Evangelistであり、アプリケーションデリバリ、自動化戦略、インフラストラクチャに関する深い専門知識を有しています。AIエージェントのガードレール策定、脆弱なマルチクラウドアーキテクチャの分析、スケーラブルなシステムの限界の検証など、複雑な事柄を明快にすることで知られています。アプリケーション開発、ITアーキテクチャ、ネットワークおよびシステム運用の分野で、30年以上にわたる業界経験を有しています。F5入社前は、受賞歴のあるテクノロジー編集者として活躍していました。 MacVittieはコンピューターサイエンスの修士号を取得しており、セキュリティ、クラウド、エンタープライズアーキテクチャにわたる分野で多数の著作を発表しています。また、テーブルトークゲームとビデオゲームをこよなく愛し、チーズについては遠慮なく強いこだわりを語ります。
Lori Mac Vittieのその他のブログ記事関連するブログ記事
理由は間違っていても、結果は正しい：止まらないAPIの増加、20億件へ
従来、APIの乱立は人間の作業量によって制約されていました。現在では、AIエージェントが自律的にエンドポイントを作成して連携させるため、AI関連のAPI呼び出しや統合が急増しています。
AIアプリケーションデリバリのトップ10：互換性のないデリバリポリシー
ポリシーの不整合がAI障害を引き起こします。フェイルオーバー、タイムアウト、制限、セキュリティ制御に一貫性がないと、ソフト障害や不完全な結果が発生し、エンドポイントごとに異なる結果が生じます。
AIアプリケーションデリバリーの課題トップ10：最適化されていないトラフィックステアリング
AIは従来のトラフィックステアリングの前提を覆します。バックエンドには互換性がなく、コストも異なり、エージェントは予測不能に処理を分散させるため、ルーティングではモデル、GPUの稼働状態、データの局所性を考慮する必要があります。
パケットからプロンプトへ：推論がスタックに新たなレイヤーを追加
推論はトレーニングでも、実験でも、データサイエンスの演習でもありません。推論は本番環境におけるランタイムの動作であり、アプリケーション層と同様に機能します。
AI規模で制御を維持する唯一の方法はプログラマビリティ
急速に変化する環境でリアルタイム制御を確保しながら、AI駆動型システムを拡張し、セキュリティを確保するうえで、データプレーンとコントロールプレーンのプログラマビリティが重要な理由をご紹介します。
AIのコンテキストウィンドウ管理は魔法ではありません。アーキテクチャです。
AIアプリビルダーが、ドリフト、レイテンシー、プロンプト攻撃を防ぐために、コンテキスト、メモリ、インフラストラクチャを管理しながら、デリバリーとセキュリティを進化させる必要がある理由をご紹介します。