Microsoft、モデル・プラットフォーム・アプリケーション別にAI基準を再編、エージェントガバナンスを実行時介入へ移行

Microsoftは2026年版Responsible AI Transparency Reportで、社内のResponsible AI Standardを再設計したことを明らかにした。新版ではAIシステムを単一の製品としてのみ捉えるのではなく、モデル、プラットフォームサービス、アプリケーションという3層と、各層でMicrosoftが開発者またはデプロイ担当者として果たす役割に基づき、常時適用される中核要件と、能力、用途、規制に応じて更新可能なコンテキスト別要件を組み合わせる。[Microsoftの発表](https://blogs.microsoft.com/on-the-issues/2026/09/01/responsible-ai-in-2026-how-we-are-adapting-for-whats-ahead/)では特に、高度なサイバー攻撃能力を持つシステムと、メモリを保持し、ツールを使用し、データを読み取り、ユーザーに代わって行動できるエージェントを、管理強化の対象に位置付けている。

エンジニアリングチームにとって重要な変化は、制御の対象範囲がモデルの出力からエージェントの実行チェーン全体へと拡大したことだ。エージェントのアイデンティティ、ツール権限、アクション監視、人間へのエスカレーションが、いずれもガバナンスの対象となる。Microsoftは同時に、ASSERT、RAMPART、Agent Control Specification（ACS）を実装ツールとして挙げている。RAMPARTは、レッドチームが発見した問題を、pytestで繰り返し実行できるセキュリティ回帰テストへ変換する。ACSは各介入ポイントで完全なJSON状態スナップショットを受け取り、ステートレスかつ決定論的でfail-closedなポリシーエンジンにより、allow、warn、deny、escalate、transformのいずれかを返す。[ACS 0.3.1-beta仕様](https://github.com/microsoft/agent-governance-toolkit/blob/main/policy-engine/spec/SPECIFICATION.md)では、ポリシー宣言を記録するだけでなく、変換後のアクションも検証するよう求めている。

この設計により、同一のポリシーを異なるエージェントフレームワーク間で実行でき、プロンプトインジェクション、権限を逸脱したツール呼び出し、未承認のデータアクセスをCIテストと実行時の意思決定へ組み込める。報告書によると、MicrosoftはMLCommonsと共同でAILuminateの拡張も進めている。現行のベンチマークは、危害分類、ジェイルブレイク攻撃、「Resilience Gap」を用いて、攻撃後の安全性低下を定量化する。[MLCommonsの説明](https://mlcommons.org/ailuminate/jailbreak/)によれば、評価対象となった39モデルのジェイルブレイクスコアは、いずれも元の安全性評価と同等の水準に達しなかった。

制約も明確だ。透明性報告書は主にMicrosoftによる自己開示であり、社内基準の項目別合格率やインシデントのベースラインは公表されていない。ACSは依然としてドラフト段階にあり、APIとmanifestは正式リリース前に変更される可能性がある。AILuminateの一部評価も、現時点では単一ターン、限られた言語、コンテンツ安全性を中心としており、長時間タスクを実行するエージェントを完全には反映できない。デプロイ担当者は次のステップとして、ポリシーエンジン停止時のデフォルト動作、スナップショットから外部状態が欠落していないか、さらにtransformや人間へのエスカレーションが、再試行や並列ツール呼び出しの下でも一貫性を維持できるかを検証すべきだ。