Googleは、AI時代の企業セキュリティ構想「Beyond Zero」を発表しました。ログイン時に本人かを確かめるだけでなく、人やAIエージェントがデータへ行う操作を、対象・目的・状況ごとに継続判断します。エージェントへ広い権限を一度渡す運用から、実行直前に必要最小限の操作だけを認める運用への転換を促す内容です。
ゼロトラストを操作単位へ拡張
7月27日にGoogleが公表したBeyond Zeroは、同社が2014年に示したBeyondCorpのゼロトラストを認可層まで拡張する考え方です。画面操作、API、MCPの別を問わず、特定のデータに対する個々の操作を評価し、リスクが高い場合は追加確認や遮断を自動で行います。
文脈から追加確認と遮断を判断
判断には固定ルールだけでなく、利用者やエージェントが担当すべき仕事、扱うデータ、操作目的、利用可能な軽減策などの文脈を使います。異常な兆候があれば調査を起動し、その場で本人確認や封じ込めへつなげる五つの原則を示しました。
企業が先に定義すべき権限
企業はAIエージェント導入時に、アプリ単位の権限ではなく「どのデータへ何をしてよいか」を定義する必要があります。Googleは社内試作で不正利用の検知と知的財産保護が改善したと説明しています。 現時点では新しい製品の一般提供ではなく、技術構想と初期実装の共有です。効果はGoogleの報告に基づき、継続認可の業界導入も初期段階のため、運用負荷や誤遮断を含む実測が必要です。