MAS AIリスク管理ガイドライン:金融機関が封じ込めを必要とする理由

シニアソリューションマーケティングマネージャー

10月 23日、 2026

23分読む

シンガポールに住む友人が、チャンギ空港にはフライトの約30分前に到着すると言っていた。彼はまっすぐゲートに向かい、そこでセキュリティをクリアし、搭乗する。私は思わず息を呑んだ。

つい先日シンガポールで休暇を過ごしてきたので、その評判の理由がよく分かります。チャンギ空港は、私が今まで利用した中で一番クールな空港です。屋内の滝は間違いなく一番の見どころなので、まずはそこから見ていきましょう。それ以外にも、旅行者はターミナル間を散策したり、バーでくつろいだり、子供たちにエネルギーを発散させたりすることができる。

しかし、私の心に残ったのは、本当のセキュリティチェックが行われる場所です。ターミナル1～3では、搭乗ゲートにあります。

多くの空港では、入口で一度全員の検査を行い、その後はコンコース全体を信頼する。チャンギ空港は、目的地に検問所を設置している。それがマイクロセグメンテーションの論理であり、チャンギは何年も前からそれをそう呼ばずに適用してきました。

今度は乗客をAIエージェントに置き換えましょう。彼らは既に建物内に侵入し、システム間を移動し、データへのアクセス権を保持し、独自の行動をとっている。

シンガポールの金融規制当局はそれに気づいている。シンガポール金融庁(MAS)は、金融機関向け人工知能リスク管理に関する新しいガイドラインで、内部システムにアクセスできる侵害されたAIエージェントが「機密データを漏洩させたり、大規模に悪意のあるコマンドを実行したりする可能性がある」と警告しています。

ガイドラインでは、企業がすべてのAIシステムがどこに存在し、誰が所有しているかを知ることが求められています。そして彼らはゲートを指し示します。ネットワークのセグメンテーション、環境分離、そして最小権限アクセスです。

それが、銀行、保険会社、決済会社にとっての真のメッセージだ。ガードレールはAIエージェントの行動を形作ります。防護柵が機能しなくなった場合、封じ込め能力がどれだけの規模で拡散するかを決定する。MASは両方の結果を期待しており、既に時間は動き始めている。

MASは10月7 、 2026にガイドラインを発行しました。これらは2段階で発効します。

2027年10月7日:監督、AI識別、AIインベントリ、そしてすべてのユースケースに対するリスク評価
10月7 、 2028 ：ライフサイクル管理（テクノロジーとサイバーセキュリティを含む）

それは監督者の期待値であり、各企業の規模やAIの活用量に応じてスケールされます。その柔軟性は、基準を下げるものではない。

MASのAIガイドラインはセキュリティチェックリストのように読めます

技術やサイバーセキュリティの管理は、どのセキュリティチームにも馴染み深いものです。金融機関は以下を考慮すべきである。

AIが展開されるネットワークのセグメント化(パラグラフ5.16(a))
環境の分離とAIシステム全体での最小権限アクセスの適用、そのAPI、プラグイン、サードパーティサービス(パラグラフ5.22(a))
プラグインとAPIを制御してデータ漏洩を防ぐ（5.16(c)項）
AIシステム、モデル、トレーニングデータ、パイプラインへのアクセスをロックし記録すること(パラグラフ5.23(d))
高リスクAIに対してキルスイッチを保持する方法(パラグラフ5.23(b))

ガイドラインでは考慮すべき事項を説明し、具体的な実施方法は各企業に委ねている。そこから難しい決断が始まる。

ガードレールはルールです。ゲートは執行機関である。

MASはガードレールを非常に重視しています。パラグラフ5.15は、生成AIおよびAIエージェントのテストは「関連するガードレールの有効性」をカバーすべきだと述べています。ガイドラインはまた、プロンプトインジェクションやデータポイゾンをセキュリティリスクとして挙げています(パラグラフ1.10)。

しかし、ガードレールは、本来監視すべきシステムの中に存在している。ガードレールはほとんどの悪質な行為を阻止するが、一部はすり抜けてしまう。そして、攻撃者の入力は、多くの場合、モデルに到達するのと同時にガードレールにも到達する。

そこで、より難しい質問をしてみましょう。もし攻撃者が明日このエージェントを完全に制御下に置いた場合、それはどこまで影響を及ぼす可能性があるでしょうか？その答えこそが、あなたの本当のリスクです。

有効な制御とは、エージェントが言葉巧みに突破できない制御のことである。ゲートは乗客にマナーを守るよう求めるものではない。間違った搭乗券では開かないのです。AIエージェントにとっては、モデル外での強制、つまりエージェントが何をするよう説得されていても適用されるネットワークポリシーやスコープ付きアクセスを意味します。

すべてのワークロードにゲート:AIエージェントのためのマイクロセグメンテーション

AIエージェントにとってゲートはどのような形ですか?

MASはネットワークのセグメンテーションと最小権限アクセスを名付けます。マイクロセグメンテーションは、ワークロードごとに両方を強制する方法です。AIシステムのすべての部分には独自のゲートがあり、アプリケーション、読み取りデータ、呼び出しするAPIやプラグイン、エージェントがアクセス可能なシステムなどが含まれます。妥協点が一つあれば、それがどこまで進むかは政策次第だ。理想的には、遠くない方が良い。

認知度という点も重要です。AIエージェントに関しては、MASは「エージェントがアクセスできるツールやシステム」をインベントリ記録に推奨しています(脚注25)。ワークロード同士がどのように連携しているかを把握できなければ、それを書き留めることすらできず、ましてや実行に移すことなど不可能です。まず状況を確認し、それから方針を策定する。

イルミオプラットフォームは両半分を担当します。Illumio Insightsは、セキュリティチームにリアルタイムかつAI駆動の可視化で、データセンター、クラウド、endpoints間でワークロードがどのように通信するかを把握できるようにします。Illumio Segmentationは、その可視性をラテラルムーブメントを阻止する政策に変換します。AIワークロードに関しては、プラットフォームは4か所でMASガイドラインに対応しています。

AIが何と話すか見てみましょう。Illumio Insightsは、AIアプリケーション、モデル、データストア、そして誰も記録していないものを含むサードパーティサービス間の実際のつながりをマッピングします。これは、2027年の在庫調査における事実に基づいた出発点となる。また、未知のワークロードが外部モデルやAPIを呼び出し始めた際に、シャドウAIを表面化させるのにも役立ちます。
到達範囲を制限する。Illumio Segmentationは、各AIコンポーネントに対して最小権限ポリシーを適用します。モデルはトレーニングデータにアクセスでき、エージェントは使用が承認されたプラグインを呼び出すことができますが、それ以外のすべてはデフォルトでブロックされています。それは、AIが動作するネットワークのセグメント化、環境の分離、プラグインやAPIが機密データの静かな出口にならないようにすることが含まれます。
爆発範囲を縮小する。ガードレールが壊れた場合、ポリシーは1回の故障を1回のインシデントに限定します。リスクの高いAIシステムが迅速にオフラインになる必要がある場合は、調査が進行している間に隔離することができます。これにより、MASが推奨するキルスイッチは、ネットワークレベルでのバックアップ手段となります。
計算過程を示してください。上司は証拠を求めるだろう。トラフィックフローの記録は、どのワークロードがAIシステム、モデル、データに接続されているか、そしていつ接続されたかを示します。また、これらの機器は、侵害されたコンポーネントがどのような影響を及ぼす可能性があるかをレッドチームに示すものでもある。ガードレールをテストするのと同じくらい慎重に封じ込めテストを行い、その結果を記録として保管することができます。

搭乗コール前:MAS AIガイドラインに備えるための5つのステップ

基礎工事は2027年に完了する予定です。技術的な規制は2028年に実施される予定です。どちらも遠くはない。

AIが接続しているものをマッピングしてください。2027年の在庫およびリスク評価には、データの機密性、システム間の依存関係、そしてエージェントがアクセスできる情報が必要となります。
シャドウAIを探しましょう。脚注22では、不正使用を検出するためにネットワーク監視とデータ損失防止が重要だと指摘している。
ガードレールに沿って封じ込めテストを実施する。パラグラフ5.22(b)は、AIシステム全体でペネトレーションテストとレッドチーミングを求めています。侵害された部品がどこまで影響を及ぼす可能性があるのかを尋ねてください。
リスクが最も高いところから始めなさい。MASはリスクに合わせて期待値をスケールさせるため、最もリスクの高いユースケースをセグメンテーションと最小権限アクセスを優先してください。
サードパーティ製のAIやプラグインをチェックしましょう。第5.16項(c)では、プラグインやAPIを介したデータ漏洩を制限する制御を求めている。