1つのランタイム。1つのポリシーモデル。1つの監査証跡。
自社エージェントが行うすべてのツール呼び出し、APIリクエスト、データベースクエリはMitrityのランタイムを通過します — 実行前に、宣言されたミッションに照らしてリアルタイムに検証。SaaS プラットフォームの内部で動くエージェントも、読み取り専用のコネクタで同じ記録に加わります。プラットフォームの全体像を、柱ごとにご覧ください。
どのエージェントを稼働させるかを決め、エビデンスを残す。
承認、コンプライアンスの状況、エージェントが使うもののインベントリ。すべて、あらゆる操作をガバナンスするのと同じ記録から組み立てられます。
すべてのエージェントを、稼働前に承認
人が下す判断は2つ。エージェントを稼働させてよいか、そしてリスクのある操作を進めてよいか。レビューでは、宣言された役割と実際の行動を並べて確認し、未承認のエージェントが動けるかどうかは1つの設定で決まります。
- 提案済みから承認済み・ブロック・運用終了まで、ライフサイクルステータスの変更はすべて監査証跡に記録
- 過去90日間のエージェントの行動からアセスメントを事前入力し、各回答に根拠を添付
- 職務分離を伴う証明付きレビュー、定期的な再レビュー、そして検出結果やポリシーのドリフトが生じた際の変更レビュー
- 誰も承認していないエージェントのすべての操作を、ランタイムで拒否できる承認ゲート
監査人が読むだけでなく、検証できるエビデンス
コントロールライブラリは、EU AI 法、NIST AI RMF、ISO/IEC 42001 と 27001、GDPR、SOC 2、OWASP LLM Top 10、MITRE ATLAS を対象とします。それぞれへの対応状況は、Mitrity が保持する記録からコントロールごとに算出され、すべてのギャップが明記されます。レポート、証跡バンドル、その土台となる監査証跡には、何かが変わったかどうかを示すハッシュと署名が付いています。
- 各ライブラリへの対応状況をコントロールごとに — 充足・部分的・未充足・未評価で示し、パーセンテージだけを示すことはしません
- 担当者と、申告値の横に算出値の残余リスクを並べた AI リスク登録簿。そして、各人が証明する AI ポリシー声明
- 完全性ハッシュ付きの SOC 2、GDPR、ISO 27001、AI アセスメント、フレームワークの各レポート。さらに証跡バンドルと有効期限付きの共有リンク
- 改ざん検知可能な監査証跡：すべてのイベントをハッシュチェーンでつなぎ、署名付きチェックポイントで封印し、オフラインでも検証可能
リスト化できないものは、ガバナンスできない
AI部品表（AI Bill of Materials）は、環境内のすべてのエージェント、ツール、モデル、クレデンシャル、コネクタのライブな棚卸しです — 四半期ごとのスプレッドシートではなく、フリートと同じ速度で更新されるグラフ。
- エージェント、ツール、クレデンシャル、コネクタの自動ディスカバリー
- 常に最新 — ガバナンスされたイベントのたびにインベントリが更新
- シャドーエージェント、未使用ツール、長寿命クレデンシャルを一目で発見
- モデルも対象：エージェントが読み込むリポジトリはスキャンし、呼び出すホスト型モデルはポリシーと照合
あらゆる操作を守り、その防御が機能するかを試す。
ツールとモデルプロバイダーの手前でのランタイム防御、自社エージェントへの攻撃テスト、そしてエージェントが読み込むモデルのスキャン。
あらゆるモデルとツールへの、ガバナンスされた玄関口
社内ツールから呼び出すモデルプロバイダーまで、エージェントが話しかけるすべての先に、ガバナンスされた単一の入口を。権限を設定ファイルにばらまく代わりに、あらゆる能力を1か所で付与し — そして取り消せます。
- エージェント別・ツール別のアクセス制御：許可オペレーション、スコープ、時間帯
- 宛先許可リスト — エージェントは承認済みエンドポイントにしか届かない
- ツール×エージェント単位のレート制限で、許可済みの操作すら乱用させない
- Anthropic、OpenAI、Azure OpenAI / AI Foundry、Google Vertex AI、Amazon Bedrock（OpenAI 互換 API）、あらゆる OpenAI 互換ホストへのモデル呼び出しも、同じようにガバナンス
- モデル許可リスト、トークン上限、予算、レート制限をポリシーごとに設定 — 呼び出しがプロバイダーに届く前に適用
エージェントが何をさせられ得るかを知る
LLM ルートと自社エージェントのエンドポイントに対し、攻撃キャンペーンをスケジュール実行。すべての試行は他の操作と同じガバナンスを通り、やり取りの全文はお客様の環境に残ります。
- LLM ルートと自社エージェントのエンドポイントを対象にしたキャンペーン — 既定はドライランで、試行数・時間・トークン・費用に上限を設定
- すべての試行をガバナンスし監査。プロンプトと応答の全文は環境の外に出ず、送られるのはハッシュとマスキング済みの抜粋のみ
- 結果が事実として確定する決定論的オラクル。さらに各検出結果には、判定したオラクルの確度を表示
- 検出結果を OWASP LLM Top 10、MITRE ATLAS、NIST AI RMF、EU AI 法、ISO/IEC 42001 に対応付け、エージェントごとにガードレール保証スコアを算出
エージェントが読み込む前に、モデルを読む
PyTorch のチェックポイントは pickle ストリームであり、pickle を読み込むと、その中で指定されたものが実行されます。Mitrity はエージェントが読み込むリポジトリを何も実行せずに読み取り、中身を報告します — 裏付けとなるバイトオフセット付きで。
- pickle ストリームと PyTorch アーカイブは逆アセンブルするだけで実行しない — 参照するすべてのグローバルをバイトオフセット付きで記録
- safetensors と GGUF のヘッダー整合性、そしてモデルカード、設定、チャットテンプレートに隠れた指示
- リモートコードの入り口（auto_map、カスタムパイプライン、同梱 Python）と、固定されていないリビジョンを検出
- ゲートウェイで観測したホスト型モデルを、ポリシールールと、既知の危険なモデルを集めたキュレーション済みリストに照合
攻撃者とエージェントの間に、3つの層
プロンプトインジェクションは、エージェント時代のconfused deputy攻撃です。Mitrityは入力が届く前にスクリーニング — 同じ手口を見たことがあるかどうかに依存しない防御で。
- 第1層：既知のインジェクションシグネチャとのパターンマッチング
- 第2層：構造的に不審な入力を炙り出す統計分析
- 第3層：新種・難読化された試みに対応するML分類器
- 命令の上書き、システムプロンプト注入、エンコーディング回避を捕捉
エージェントはシークレットを借りるだけ。所有はしません。
恒久的なAPIキーをエージェントの設定に貼り付けるのは、マスターキーを玄関マットの下に置くようなもの。ブローカーは代わりにジャストインタイムのリースを発行し — 挙動が逸脱した瞬間に回収します。
- 短命リースによるジャストインタイムのクレデンシャル発行
- 行動ドリフトを検知した瞬間の自動失効
- クレデンシャルはお客様の環境から出ない — 報告されるのはリースのメタデータのみ
- 常設シークレットがなければ、侵害されたエージェントに盗むものはない
エージェントがエージェントを雇う時代、系譜が問われる
低権限の侵害されたボットに、高権限の仲間を武器化させてはいけません。Mitrityはエージェント間の委任チェーンをすべて追跡し、権限が下流で狭まる方向にしか伝播しないことを強制します。
- マルチエージェントワークフロー全体での委任チェーン完全追跡
- 循環委任の検出、深さ制限、ファンアウト閾値
- 権限は積集合で伝播 — 委任先が呼び出し元を超えることはない
- AIからAIへの権限昇格を、事後検証ではなくインラインでブロック
機微データは、あるべき場所に留まる
エージェントはスタック内で最も機微なデータに触れます。Mitrityは通信中に分類し、外に出る前にマスキングまたはブロックし、承認していない宛先への持ち出しを止めます。
- 通信中の分類：PII、クレデンシャル、財務・健康データ
- 未承認の宛先への持ち出しをブロック
- 蓄積検知が、セッションをまたぐ少しずつのデータ窃取を止める
- プロンプトはクラスターを出る前に、モデルの応答はエージェントに届く前にマスキング
各顧客の防御が、あなたの防御を研ぎ澄ます
従来の脅威インテルはIPとファイルハッシュ。エージェントへの攻撃は姿が違います — だからMitrityは行動ベースの攻撃シグネチャをフリート全体で共有します。どのテナントのデータも、その境界を出ることなく。
- コミュニティ発の脅威インジケーターを匿名で提供
- 厳格なプライバシー保証つきのテナント横断パターン検知
- インジケーターは共通、照合は常にテナント内
- 顧客が増えるほど強くなる、新種攻撃への防御
SaaS の内部に存在するエージェントに到達
一部のエージェントはゲートウェイを経由せず、Microsoft 365、Salesforce、GitHub、Snowflake の内部で動作します。Mitrity はそれらのエージェントに AI Security Posture Management（AI-SPM）をもたらします。お客様が発行する読み取り専用の資格情報で各プラットフォームに接続し、帯域外でガバナンスします — 検出し、何をしたかを観測し、セキュリティ体制を評価し、他のフリートと同じレビューにかけます。ベンダーのクラウドには何もインストールしません。
- GitHub Copilot — コーディングエージェントを検出し、組織の監査アクティビティを取り込み、セキュリティ体制を読み取り
- Microsoft 365 Copilot と Copilot Studio — テナントの Copilot、公開エージェント、すべての Copilot Studio エージェントを読み取り専用で体制チェック
- Salesforce Agentforce — Agentforce エージェント、セットアップ監査テレメトリ、組織のポスチャプロキシ
- Snowflake Cortex Agents — Cortex Agents を検出し、AI オブザーバビリティのアクティビティを取り込み、アカウントのセキュリティ体制を読み取る
- 読み取り専用の AI-SPM：検出・観測・体制 — Pro および Enterprise、インストール不要
インテント認識ガバナンス — すべての柱が立つレイヤー。
エージェントが何をするかだけでなく — それがミッションに合うか。すべての行動を、エージェントの隣で動くMLがドリフト・リスク・異常の観点でスコアリングします。
チームの働き方に合わせられる強制。
監視 → 警告 → 強制
エージェントごとに、自分のペースで段階を上げる。まず観察から始め、警告に進み、最後はMitrityにブロックさせる — fail-openかfail-closedかの既定もあなたが選択。
Slackで承認
不審な操作は人間の判断待ちに。承認/却下のインタラクティブボタンと完全なコンテキスト付き。タイムアウトも設定可能 — エージェントが永遠に止まることはありません。
ネイティブSIEM転送
すべてのガバナンスイベントをSplunk（HEC）、syslog CEF、任意のWebhookへストリーミング。SOCの一元的な画面はそのまま — Mitrityはそこに、より良いシグナルを流し込むだけです。