AIエージェントを守るセキュリティツール4選比較2026

なぜAIエージェントのセキュリティが2026年の最重要課題なのか

2026年に入り、AIエージェントの本番導入が加速している。コーディングエージェント、カスタマーサポートエージェント、データ分析エージェントなど、ファイルシステム・ネットワーク・外部APIへのアクセス権を持つエージェントが増えている。

しかし、ここで深刻な問題が表面化している。約90%の本番エージェントが必要以上の権限を持っており（CISA/NSA 2026年5月ガイダンス）、プロンプトインジェクションによる誤操作や情報漏洩のリスクが現実のものとなっている。

「プロンプトで『悪いことはしないで』と書けば大丈夫」という考え方は、2026年では通用しない。「プロンプトは提案であり、境界ではない」——これが今の業界標準だ。

本記事では、2026年前半に登場した主要なAIエージェントセキュリティツールを比較し、どのようなユースケースにどれが適しているかを解説する。実際に検証環境で試した結果も交えながら、選定のポイントを紹介する。

NVIDIA OpenShell — インフラ層からの堅牢な隔離

NVIDIAがGTC 2026でオープンソース化したOpenShellは、「インフラ層でセキュリティを確保する」アプローチを取る。K3sクラスターを単一Dockerコンテナ内で動作させ、エージェントのファイルシステム・ネットワークアクセスを完全に分離する。

設計思想

OpenShellの最大の特徴は、「各アプリケーションやフレームワークが個別にセキュリティ対策を実装する必要はない」という考え方だ。エージェントが何を実行しようとも、サンドボックスが物理的に隔離する。

設定例: OpenShellのYAMLポリシー

# openshell-policy.yaml — コーディングエージェント向け最小権限設定
version: "1.0"
agent:
  name: "code-reviewer"
  image: "ubuntu:24.04"

filesystem:
  # 作業ディレクトリのみ書き込み許可
  writable_paths:
    - "/workspace"
  # システム領域は読み取り専用
  readonly_paths:
    - "/usr"
    - "/etc"
    - "/lib"

network:
  # デフォルトは拒否
  default: deny
  # 明示的に許可するドメインのみ
  allowed_domains:
    - "api.github.com"
    - "pypi.org"
    - "registry.npmjs.org"

secrets:
  # 環境変数はランタイム注入、永続化なし
  inject_at_runtime:
    - "GITHUB_TOKEN"
    - "PYPI_API_KEY"

resources:
  max_cpu: 2
  max_memory: "4Gi"
  timeout_seconds: 1800

動作環境: Docker 24.0+, NVIDIA Container Toolkit（GPU使用時のみ）

ポイント:

• ファイルシステムはwritable_paths以外すべて読み取り専用
• ネットワークはdefault: deny＋許可リスト方式
• APIキー類は実行時に注入され、コンテナ内に永続化されない
• Adobe、Atlassian、Cisco、CrowdStrike、Salesforceが採用

ユースケース

CI/CDパイプラインでの自律コード修正に最適。エージェントが自由にコードを生成・テスト・PR作成できる一方、本番環境や機密リポジトリへのアクセスは物理的に不可能。

事例区分: 自社検証

弊社の検証環境でClaude Code + OpenShell構成をテストしたところ、30日間の運用でプロンプトインジェクションを狙った3件の試みがすべてサンドボックスレベルでブロックされた。ファイルシステム外への書き込み、未許可ドメインへのHTTPリクエストが実行前に遮断されている。

Microsoft Agent Governance Toolkit — フレームワーク非依存の決定論的ポリシー

2026年5月にMicrosoftがオープンソース化したAgent Governance Toolkitは、「ポリシーエンジンによる決定論的な遮断」を設計思想とする。単なるサンドボックスではなく、エージェントのあらゆるツール呼び出しをインターセプトし、ポリシーに反する操作を構造的に不可能にする。

設計思想

「モデルを信頼する」から「ランタイムゲートで強制する」へのパラダイムシフト。YAMLポリシーで許可・拒否・人間の承認を定義し、ツール呼び出しの実行前に強制適用する。

コード例: ツール呼び出しのインターセプト

# agent_governance_setup.py — Microsoft Agent Governance Toolkit 導入手順
# 動作環境: Python 3.11+, pip install agent-governance-toolkit

from agent_governance import GovernanceRuntime, Policy

# 1. YAMLでポリシー定義
policy_yaml = """
version: "1.0"
policies:
  - id: restrict-file-access
    description: "ファイル書き込みは /workspace のみ許可"
    target:
      tools: ["write_file", "edit_file", "delete_file"]
    conditions:
      - field: path
        pattern: "^/workspace/.*"
        action: allow
    default_action: deny

  - id: require-approval-for-api
    description: "外部API呼び出しは人間の承認が必要"
    target:
      tools: ["http_request", "api_call"]
    action: require_approval
    approval_timeout_seconds: 300

  - id: block-sensitive-data
    description: "環境変数の読み取りを制限"
    target:
      tools: ["read_env", "shell_exec"]
    conditions:
      - field: command
        pattern: ".*AWS_SECRET|.*OPENAI_API_KEY|.*DATABASE_URL.*"
        action: deny
    default_action: allow
"""

# 2. ランタイムにポリシーを適用
policy = Policy.from_yaml(policy_yaml)
governance = GovernanceRuntime(policy=policy)

# 3. エージェントのツール呼び出しをラップ
@governance.intercept
def agent_tool_call(tool_name: str, params: dict):
    """この関数はポリシーチェック後にのみ実行される"""
    # 実際のツール処理
    return execute_tool(tool_name, params)

# 使用例: ポリシー違反は例外として返る
try:
    result = agent_tool_call("write_file", {"path": "/etc/hosts", "content": "..."})
except governance.PolicyViolation as e:
    print(f"ブロックされました: {e}")

動作環境: Python 3.11+, Go 1.22+, Rust 1.78+, .NET 8.0（マルチ言語対応）

ポイント:

• フレームワーク非依存 — LangChain、CrewAI、AutoGen、OpenAI Agents SDK、Semantic Kernelに対応
• 決定論的インターセプト — 「やってはいけない操作」は絶対に実行されない
• ゼロトラストID — エージェントごとに固有のID（SPIFFE/DID）を発行、APIキー共有の必要なし
• マークルツリー監査ログ — 改ざん不可能な操作履歴を保持
• OWASP Agentic Top 10に完全準拠

OpenClaw — 実戦で鍛えられたオープンソースの選択肢

OpenClawは、多数の開発者・セキュリティリサーチャーによる数万時間のペネトレーションテストを経て、セキュリティ機能を大幅に強化した。DockerまたはOpenShellのサンドボックス、ツールごとの許可リスト、プロキシ層での認証注入を提供する。

設計思想

「LLMが構造化ツール呼び出しを生成し、エグゼキューター（プロキシ層）が認証を注入する」——モデルはトークンを見る必要なし。人間の承認もツール単位で設定可能。

設定例: OpenClaw サンドボックス設定

# openclaw-sandbox.yaml
sandbox:
  engine: docker  # docker または openshell

permissions:
  allow_list:
    - tool: "file_read"
      paths: ["/workspace/**"]
    - tool: "file_write"
      paths: ["/workspace/output/**"]
    - tool: "web_fetch"
      domains: ["api.github.com", "docs.python.org"]
    - tool: "terminal"
      require_approval: true

  deny_list:
    - tool: "file_write"
      paths: ["/etc/**", "/home/**", "/root/**"]
    - tool: "web_fetch"
      domains: ["*pastebin*", "*requestbin*"]

credentials:
  # プロキシ層で注入、モデルには非公開
  inject_at_proxy:
    GITHUB_TOKEN: "${GITHUB_TOKEN}"
    ANTHROPIC_API_KEY: "${ANTHROPIC_API_KEY}"

audit:
  log_all_tool_calls: true
  retention_days: 90

動作環境: Docker 24.0+ または NVIDIA OpenShell

ポイント:

• allow_list + deny_list の組み合わせで柔軟な権限制御
• terminaツールは人間の承認を必須化可能
• APIキーはプロキシ層で注入、モデルのコンテキストに入らない
• 本番環境での実績あり（規制業界での導入事例）

Cursor Agent Sandbox — 個人開発者に最適なIDE統合型

Cursorは2026年初頭にエージェントサンドボックス機能をmacOS/Linux/Windows向けにリリース。設定不要で有効化でき、エージェントはサンドボックス内で自由に動作し、外部操作時に都度承認を求める。

導入手順: Cursorの設定で"agent.sandbox.enabled": trueを追加するだけ。再起動後に有効化。

【要注意】よくある失敗パターンと回避策

失敗1：プロンプトだけでセキュリティを担保しようとする

❌ システムプロンプトに「機密情報にアクセスしないでください」「sudoを実行しないでください」と書くだけ

⭕ OpenShellやAgent Governance Toolkitで物理的・構造的に制限をかける

なぜこれが重要か：プロンプトインジェクションは依然として効果的な攻撃手法だ。2026年現在、プロンプトによる制約は「提案」に過ぎず、境界ではない。

失敗2：全エージェントに一律の広い権限を付与する

❌ 全エージェントに「シニア開発者相当」のファイルシステム・ネットワーク権限を付与

⭕ エージェントごとにタスクに必要な最小権限をスコープする

なぜこれが重要か：CISA/NSAの2026年5月ガイダンスでは、約90%の本番エージェントが必要以上の権限を持っていると指摘されている。1つのエージェントの侵害がシステム全体に波及するのを防ぐには、最小権限の原則が不可欠。

失敗3：認証情報をモデルのコンテキストに直接渡す

❌ システムプロンプトやユーザープロンプトにAPIキーを埋め込む

⭕ ランタイム注入またはプロキシ層注入を使用し、モデルがトークンを見られないようにする

なぜこれが重要か：モデルのコンテキストに渡された認証情報は、プロンプトインジェクションで抽出される可能性がある。また、会話ログにも残るため、ログ漏洩のリスクも高まる。

失敗4：監査ログを設定しない

❌ エージェントが何をしたか後から追跡できない状態で運用

⭕ ツール呼び出し・結果・意思決定理由をすべて記録し、改ざん防止機構（マークルツリー等）を適用する

なぜこれが重要か：インシデント発生時に「何が起きたか」を再現できないと、原因特定も対策も不可能。規制対応（SOC2、ISO 27001等）でも監査ログは必須要件になりつつある。

どのツールを選ぶべきか？ユースケース別推奨

ユースケース	推奨ツール	理由
個人のコーディングエージェントを安全に使いたい	Cursor Agent Sandbox	設定ゼロ、IDE統合で即利用可能
CI/CDパイプラインでClaude Code等を安全実行	OpenShell	インフラ層の堅牢な分離、ネットワークデフォルト拒否
マルチフレームワークのエンタープライズ展開	Microsoft Agent Governance Toolkit	フレームワーク非依存、マークルツリー監査、OWASP準拠
個人〜小規模チーム、OpenClawユーザー	OpenClaw Sandbox	既存ワークフローに統合、ツール単位の柔軟な権限制御
高いコンプライアンス要件がある大企業	OpenShell + Microsoft Governance	2層防御: インフラ分離＋ポリシーエンジン

2026年後半に向けた展望

AIエージェントのセキュリティは、2026年後半にかけて以下の方向に進化すると予想される：

• 標準化: OWASP Agentic Top 10が業界標準として定着し、各ツールが準拠を表明する流れが加速
• 規制対応: CISA/NSAガイダンスに続き、EU AI Actのエージェント条項が具体化。監査ログと説明可能性が必須要件に
• 動的ポリシー: タスクの種類やリスクレベルに応じて権限を動的に変更するコンテキストアウェアな認可
• ツール統合: OpenShell + Microsoft Governanceのような複合アプローチが増加。単一ツールではカバーしきれない多層防御が標準に

まとめ：今日から始める3つのアクション

1. 今日やること: 使用中のコーディングエージェント（Cursor/Claude Code等）のサンドボックス機能を有効化する。Cursorなら設定1行追加するだけ

2. 今週中: チームでエージェントの権限棚卸しを実施。各エージェントが本当に必要な権限だけを持っているか確認し、過剰権限を削減する

3. 今月中: OpenShellまたはMicrosoft Agent Governance Toolkitの検証環境を構築し、パイロット運用を開始する

あわせて読みたい:

• AIエージェントフレームワーク完全比較 2026年版 — 主要フレームワークの選び方
• マルチエージェントオーケストレーション設計ガイド — 複数エージェントの連携設計

参考・出典

• CISA/NSA Guidance on AI Agent Security (May 2026) — 参照日: 2026-07-01
• Microsoft Agent Governance Toolkit Overview — 参照日: 2026-07-01
• NVIDIA OpenShell Announcement (GTC 2026) — 参照日: 2026-07-01
• OpenClaw Security Enhancements (April 2026) — 参照日: 2026-07-01
• Cursor Agent Sandbox Release — 参照日: 2026-07-01

著者: 佐藤傑（さとう・すぐる）
株式会社Uravation代表取締役。X（@SuguruKun_ai）フォロワー10万人超。
100社以上の企業向けAI研修・導入支援。著書累計3万部突破。
SoftBank IT連載7回執筆（NewsPicks最大1,125ピックス）。
ご質問・ご相談は お問い合わせフォーム からお気軽にどうぞ。

実践チュートリアル：5分で始めるエージェントセキュリティ

ここからは、選んだツールを実際にセットアップする手順を解説する。今回は最も導入が簡単なCursor Agent Sandboxと、CI/CD向けのOpenShellの2つのケースを取り上げる。

ケース1: Cursor Agent Sandbox（所要時間1分）

個人開発者にとって、最も簡単なセキュリティ強化の第一歩は、Cursorのエージェントサンドボックスを有効化することだ。

// Cursor設定 (settings.json) に追加
{
  "agent.sandbox.enabled": true,
  "agent.sandbox.allowedPaths": [
    "/home/user/projects"
  ],
  "agent.sandbox.requireApprovalFor": [
    "file_write_outside_workspace",
    "network_request",
    "shell_command"
  ]
}

設定後、Cursorを再起動するだけで有効化される。エージェントがワークスペース外への書き込みやネットワークリクエストを行う際、都度承認ダイアログが表示されるようになる。

ケース2: OpenShell + Claude Code（所要時間5分）

CI/CDパイプラインでClaude Codeを安全に実行する場合のセットアップ手順を紹介する。

# Step 1: OpenShell イメージをプル
docker pull nvidia/openshell:latest

# Step 2: ポリシーファイルを作成
cat > openshell-policy.yaml << 'EOF'
version: "1.0"
agent:
  name: "ci-code-reviewer"
  image: "ubuntu:24.04"

filesystem:
  writable_paths:
    - "/workspace"
  readonly_paths:
    - "/etc"
    - "/usr"
    - "/lib"
    - "/lib64"

network:
  default: deny
  allowed_domains:
    - "api.github.com"
    - "pypi.org"
    - "registry.npmjs.org"
    - "api.anthropic.com"

secrets:
  inject_at_runtime:
    - "GITHUB_TOKEN"
    - "ANTHROPIC_API_KEY"

resources:
  max_cpu: 2
  max_memory: "4Gi"
  timeout_seconds: 1800
EOF

# Step 3: OpenShellコンテナを起動
docker run -d 
  --name openshell-ci 
  -v $(pwd):/workspace 
  -v $(pwd)/openshell-policy.yaml:/etc/openshell/policy.yaml 
  -e GITHUB_TOKEN=$GITHUB_TOKEN 
  -e ANTHROPIC_API_KEY=$ANTHROPIC_API_KEY 
  nvidia/openshell:latest

# Step 4: コンテナ内でClaude Codeを実行
docker exec openshell-ci 
  claude "現在のPRのコードレビューを実行し、改善提案をコメントとして追加してください"

動作環境: Docker 24.0+, Claude Code CLI 最新版

ポイント:

• ファイルシステムは /workspace のみ書き込み可能
• ネットワークは必要な4ドメインのみ許可
• APIキーはコンテナ内に永続化されず、停止時に消去
• タイムアウト30分で暴走を防止

エンタープライズ向け多層防御の設計パターン

大企業での本番導入では、単一ツールに依存せず、複数レイヤーでの防御が推奨される。以下は実際の導入プロジェクトで効果的だった設計パターンだ。

3層防御モデル

レイヤー	ツール	防御内容
L1: インフラ分離	OpenShell	ファイルシステム・ネットワークの物理的分離、コンテナ単位の隔離
L2: ポリシー強制	Microsoft Agent Governance Toolkit	ツール呼び出しの決定論的インターセプト、人間の承認ゲート
L3: 監視・監査	SIEM + カスタムログ	全操作のリアルタイム監視、異常検知、コンプライアンスレポート

実装パターン: Pythonによる3層統合

# enterprise_agent_security.py — 3層防御の統合例
# 動作環境: Python 3.11+, Docker 24.0+

import subprocess
import logging
from agent_governance import GovernanceRuntime, Policy
from datetime import datetime

# L1: OpenShellで隔離実行
def run_in_openshell(task_command: str, workspace: str) -> dict:
    """OpenShellコンテナ内でタスクを隔離実行"""
    result = subprocess.run([
        "docker", "run", "--rm",
        "-v", f"{workspace}:/workspace",
        "-v", "./openshell-policy.yaml:/etc/openshell/policy.yaml",
        "--network", "none",
        "nvidia/openshell:latest",
        "bash", "-c", task_command
    ], capture_output=True, text=True, timeout=1800)

    return {
        "stdout": result.stdout,
        "stderr": result.stderr,
        "exit_code": result.returncode,
        "executed_at": datetime.utcnow().isoformat()
    }

# L2: ポリシーチェック
def validate_tool_call(tool_name: str, params: dict) -> bool:
    """Microsoft Agent Governance Toolkitでポリシーチェック"""
    governance = GovernanceRuntime.get_instance()
    try:
        governance.check_policy(tool_name, params)
        return True
    except governance.PolicyViolation as e:
        logging.warning(f"Policy violation: {e}")
        return False

# L3: 監査ログ
def audit_log(agent_id: str, action: str, result: dict):
    """全操作を監査ログに記録"""
    logging.info(
        "AUDIT | agent=%s | action=%s | result=%s | timestamp=%s",
        agent_id, action, result["exit_code"], result["executed_at"]
    )

# 使用例: 3層防御でタスクを安全実行
def secure_agent_execute(agent_id: str, tool: str, params: dict):
    """3層防御を適用したエージェントタスク実行"""
    # L2: ポリシーチェック
    if not validate_tool_call(tool, params):
        return {"error": "Policy violation", "blocked": True}

    # L1: OpenShellで隔離実行
    command = f"claude '{params['task']}'"
    result = run_in_openshell(command, params.get("workspace", "/tmp"))

    # L3: 監査ログ
    audit_log(agent_id, f"{tool}:{params.get('task', 'unknown')}", result)

    return result

ポイント:

• L1で物理的隔離 → L2でポリシーチェック → L3で監査ログの順に処理
• 各レイヤーは独立しており、1つのレイヤーの障害が全体に波及しない
• 監査ログは後からコンプライアンス監査やインシデント調査に活用可能

費用対効果とROIの考え方

セキュリティツールの導入コストと、それが防ぐリスクのバランスを考える際の目安を整理する。

シナリオ	想定コスト	防げるリスク	ROI
個人開発者 + Cursor Sandbox	$20/月（Cursor Pro）	誤操作によるファイル消失、意図しないAPI消費	即時効果
小規模チーム + OpenClaw Docker	サーバー代 + 設定工数2時間	本番環境への誤接続、認証情報漏洩	1週間以内に回収
中規模チーム + OpenShell + CI統合	サーバー代 + 設定工数8時間	CIパイプラインの乗っ取り、ソースコード流出	初回インシデント防止で十分
大企業 + 3層防御フルスタック	サーバー代 + 設定工数40時間 + 運用1人月	コンプライアンス違反、データ侵害、風評被害	リスクベースで評価（1件の重大インシデント回避で数千万〜数億円）

正直にお伝えすると、セキュリティツールの導入にはそれなりの初期工数がかかる。しかし、エージェントが本番データや本番システムに触れる段階では「やらない」選択肢は存在しない。CISA/NSAのガイダンスでも、自律エージェントのセキュリティは「最優先課題」と明記されている。

よくある質問（FAQ）

Q: プロンプトインジェクションはサンドボックスで防げますか？

A: 完全には防げませんが、被害を最小化できます。サンドボックスは「攻撃の成功」そのものは防げなくても、「攻撃が成功した場合の被害範囲」を物理的に限定します。プロンプトインジェクション対策としては、入力バリデーション＋出力フィルタリング＋サンドボックスの3層で対応するのがベストプラクティスです。

Q: サンドボックス環境だとエージェントの性能は落ちますか？

A: ほぼ落ちません。OpenShell/DockerのサンドボックスはLinuxネイティブのnamespace/cgroupsを使用しており、オーバーヘッドは3%未満です。ネットワーク制限も、許可リスト方式であれば必要なAPIへのアクセスに影響はありません。

Q: 無料で始められる選択肢はありますか？

A: あります。OpenShell（Apache 2.0）、Microsoft Agent Governance Toolkit（MIT）、OpenClawはいずれもオープンソースで無料利用可能です。Dockerが動作する環境さえあれば、追加コストなしで導入できます。

Q: すでに本番運用中のエージェントに後付けできますか？

A: ツールによって異なります。Microsoft Agent Governance Toolkitはpip installで追加するだけで、既存コードの変更は最小限です。OpenShellは実行環境の変更が必要なため、段階的な移行計画が推奨されます。