世界は立ち止まらない。RSS
BIG CHANGE.

Markdown版

AI-translated from English; not yet reviewed by a fluent editor.

# 調達前に AI エージェント提供企業の行動制御を比較する

> 人による購入審査の前に、AI エージェント提供企業1社の識別、承認、ツール権限、ログ、データフロー、失敗時の証拠を、文書化したリスク特性と比較します。

By BIG CHANGE Editorial

Published: 2026-10-19T15:30:34.881Z
Updated: 2026-10-19T15:30:34.881Z
Canonical: https://bigchange.ai/blog/ai-agent-vendor-action-controls-evidence

![Conceptual charcoal illustration of a completely blank five-column comparison worksheet clipped to an angled wooden reading stand, beside a closed unmarked folder.](https://bigchange.ai/api/media/file/agent-vendor-blank-comparison-worksheet-v1.png)
AI-generated conceptual illustration by BIG CHANGE; no actual vendor evidence, security finding, audit, test or purchase decision is depicted.

接続先アカウントで行動する AI エージェントは、データを変更したり業務処理を開始したりできます。提供企業を選ぶ前に、業務責任者とセキュリティ審査担当者は、**提案された1つの業務手順**の制御を組織の文書化された要件と比較できます。成果物は日付入りの証拠記録です。回答のない事項は未解決のままにします。製品の主張だけでは、行動が阻止されるとは確認できません。この方法は、[NIST AI Risk Management Framework Playbook](https://airc.nist.gov/airmf-resources/playbook/)と[OWASP の AI Agent Security Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/AI_Agent_Security_Cheat_Sheet.html)を参考にしています。どちらも候補企業を評価したものではありません。

## 大きな変化

- **変わったこと：** エージェントの購入には、業務システムで行動を委任することも含まれます。買い手は、誰がエージェントを動かせるのか、何を対象にできるのか、誰の承認で行うのかを知る必要があります。
- **重要な理由：** 買い手は、提案された各行動を、名前を明示した制御とその証拠に対応付けられます。業務責任者とセキュリティ審査担当者が、アクセスを制限したり購入を保留したりする具体的な根拠になります。
- **注目点：** 判断には、正確な製品版と業務手順に対応する証拠が必要です。文書に記載された制御でも、意図した用途で受け入れる前に、監督下での実演が必要な場合があります。

## 4つの材料を集める

組織が承認済みの、文書化されたリスク特性を使います。業務責任者、期待する結果、許可するデータと送信先、許可する行動、承認権限、許容できない結果、停止条件が明記されている必要があります。存在しなければ、供給企業を評価する前に責任者へ策定を依頼します。このガイドが組織のリスク許容度を代わりに決めることはできません。

[NIST の MANAGE 3.1 の指針](https://airc.nist.gov/airmf-resources/playbook/manage/)は、組織のリスク許容度を第三者の AI システムに適用し、その制御を文書化することを求めています。Playbook の提案は任意であり、普遍的な調達チェックリストではありません。以下の行動制御の質問は、OWASP のエージェント向けセキュリティ指針も参考にしています。これらの枠組みは有用な質問を示しますが、答えは供給企業自身の証拠から得る必要があります。

候補企業1社と、検討する正確な製品・導入版を明記します。最新の製品文書と、企業が共有を許可されている証拠を入手します。セキュリティ審査担当者と調達責任者が比較記録を確認できるようにします。機密性の高い構成情報や証拠ファイルは承認済みの非公開場所に保管し、表には秘密情報をコピーせずリンクを記載できます。

## 1. 業務手順を要件に分解する

エージェントに提案する全行動、対象システム、読み取り・変更が必要なデータを列挙します。読み取り、書き込み、外部に見える行動、取り消せない行動を区別します。各行動について、リスク特性の文書から、許可する識別情報、ツールと対象の範囲、承認、ログ、データ処理、中断、復旧の要件を転記します。その文書の責任者と日付も記録します。

要件ごとに表の行を作ります。不明点を企業の総合点に埋めず、見える形にできます。特定アカウントへ絶対にアクセスしない要件も、許可する行動と同様に1行必要です。

## 2. 誰が行動し、何を実行できるか追う

各行動を開始するのは、どの人、サービスアカウント、エージェント識別情報なのか、認証情報はどこに置くのか、別のエージェントへ依頼を渡せるのかを質問します。実行時に権限を確認する構成要素を特定します。企業の実際のツール権限を、リスク特性で許可するツール、操作、アカウント、対象と比較します。この製品版に当てはまる設定・構成の証拠を求めます。プロンプトの一文は、境界が強制されることの弱い証拠にすぎません。

承認が必要な行動では、実行前に審査者へ何が見えるか、承認が実行者、正確なツール呼び出し、対象、パラメーターとどう結び付くかを尋ねます。承認の期限切れ、拒否、二重使用、要求行動の変更時に何が起きるか確認します。アクセスの取り消し方法と、実行中の処理を停止できる人を記録します。承認画面と実行時の確認は別の問いに答えるものです。リスク特性が両方を要求するなら、両方の証拠を求めます。

## 3. データと行動記録を追う

入力からモデル、ツール、外部の受信者、保存コピー、ログまでの想定経路を描きます。各構成要素が受け取るデータ、取得できる人、保存期間や削除の仕組みを質問します。リスク特性に関係する再委託先やシステム間転送も含めます。送信先や保存について未回答の事項は**不明**と記録し、包括的な方針声明からプライバシー保護を推測しません。

該当版の実行記録を求めます。審査者は、実行者と方針の版を、提案したツール呼び出し、承認または拒否、正確な対象、結果につなげられるでしょうか。記録が判断だけを示すのか、実際の実行を示すのか、両方かを確認します。画面の画像、設定の書き出し、完全なイベント履歴は、それぞれ証明する内容が異なります。比較を妨げる黒塗り部分を記録しつつ、認証情報や個人データは表に入れないようにします。

## 4. 失敗時の証拠を求める

許可する行動と、リスク特性が要求する失敗経路について、版に対応した証拠を求めます。承認の拒否や期限切れ、範囲外のツールや対象、実行中断、該当する場合のログや方針確認の失敗です。何を、いつ、どの方針やツール設定で試し、何を期待し、何を観察したのか記録します。試験計画は証拠を求めるもので、観察結果ではありません。

責任を持つセキュリティ審査担当者が、監督下の実演が必要かを決め、その範囲を承認します。許可された非本番の入力とアカウントを使います。調達表を埋めるためだけに本番システムへ接続してはいけません。企業が証拠を出せなければ、試験結果を想像せず、不足と次の依頼を記録します。

## 5. 判断と未解決作業を記録する

各行は、この版と業務手順の文書要件に提供証拠が対応する場合に限り、**適合**とします。矛盾する場合は**不足**、証拠がない、または弱すぎる場合は**不明**とします。相反する記録と、それを解決すべき人も記載します。その後、業務責任者と責任を持つセキュリティ審査担当者が実際の判断を記録します。追加証拠の依頼、限定試行の承認申請、延期、拒否などです。適合は証拠の判断であり、システムの安全保証でも組織の購入手続きの代わりでもありません。

記録に日付を付け、業務手順、製品版、方針、接続アカウント、データ送信先が変われば、影響する行を再確認します。後の試行にも個別の権限、制限、審査が必要です。

| 文書化されたリスク特性の要件 | 企業の証拠、版、日付 | 証拠の種類と示す内容 | 適合、不足、不明 | 審査担当者と次の行動 |
| --- | --- | --- | --- | --- |
| [行動または制御の要件を1つ] | [非公開リンクまたは文書参照、版、日付] | [主張、設定、イベント記録、観察した実演、制約] | [1つ選んで説明] | [氏名、証拠の依頼、判断] |

**記録の見出し：** 業務手順と責任者、リスク特性の版と承認日、候補製品と導入版、審査日、セキュリティ審査担当者、調達責任者、閲覧制限付き証拠の保管場所。**判断記録：** 判断、未解決の行、受け入れた制約や代替的な制御、承認責任者、次回審査のきっかけ。責任者が実際に確認するまでは空欄にしておきます。

質問を組み立てるために使った公開指針は無料で閲覧できます。比較の準備には担当者と審査者の時間が必要です。企業の証拠、機密資料へのアクセス、承認された実演には追加費用や検証範囲の制約があり得ます。実際の条件を候補企業に確認します。この文書作業は企業を試験するものではなく、法令順守や普遍的な購入基準を確立するものでもありません。

## 出典と参考資料

1. [NIST AI RMF Playbook、Manage](https://airc.nist.gov/airmf-resources/playbook/manage/)は、組織自身のリスク許容度を第三者の AI 資源に適用し、制御を文書化して評価することを支持しています。ページには AI RMF 1.0 を更新中で、その後 Playbook も更新するとありますが、ページの改訂日はありません。この企業を評価したものではありません。
2. [NIST AI RMF Playbook の序文](https://airc.nist.gov/airmf-resources/playbook/)は、提案は任意であり、Playbook 全体をチェックリストとして実施するものではないと説明しています。この記事の表は、読者の示された課題に向けて BIG CHANGE がまとめたものです。
3. [OWASP AI Agent Security Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/AI_Agent_Security_Cheat_Sheet.html)は、範囲を限定したツール、実行側の認可、行動に結び付いた承認、ログ、データ保護、版に対応する検証証拠を扱います。現在のページに版や公開日の記載はありません。推奨事項は証拠の分類であり、企業による実装の証明ではありません。

## Sources

- [NIST AI RMF Playbook、Manage](https://airc.nist.gov/airmf-resources/playbook/manage/) — MANAGE 3.1 は組織のリスク許容度を第三者の AI 資源に適用し、制御を文書化することを支持しています。現行 AI RMF 1.0 Playbook ページには改訂予定とありますが、改訂日はありません。企業を認証するものではありません。
- [NIST AI RMF Playbook](https://airc.nist.gov/airmf-resources/playbook/) — 序文では提案は任意であり、Playbook は完全なチェックリストでも所定の順序でもないと説明しています。記事の比較表は編集部の整理です。
- [OWASP AI Agent Security Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/AI_Agent_Security_Cheat_Sheet.html) — 第1、4、6、8、9節が、範囲を限定したツール、行動に結び付く承認、ログ、データ処理、版に対応する試験についての質問を支えています。現在のページには版や公開日がなく、推奨事項は供給企業の有効性を立証しません。