行動するAIの安全対策を巡り30日間の意見募集
台湾の金融監督管理委員会（FSC）は2026年10月13日、金融機関の業務システムに接続、操作、または作動させる人工知能（AI）エージェントの安全対策案について、30日間のパブリックコメントを開始した。提案ではリスクをL1からL4までの4段階に分類し、最もリスクの高い行動には、必要な承認や審査、または実行を停止する仕組みを設けるよう求めている。
目次
「金融分野におけるエージェント型AIの安全な利用に関する意見募集文書」と題された同文書は、広範な導入に先立って公表された。委員会の情報管理部門の林裕泰（リン・ユタイ）主任秘書は、金融機関の大半はまだ実験や管理された環境での小規模な試験を行っている段階だと述べた。こうしたエージェントを実際の業務に導入した機関があるとは聞いていないという。
委員会が特に懸念するのは、情報を生成するAIから、行動を起こすAIへの移行だ。顧客からの苦情を要約するアシスタントと、機密記録を取得したり、システム上の情報を変更したり、顧客に直接返信したりできるものとでは、セキュリティ上の課題が異なる。
そのため意見募集では、モデルの精度だけでなく、権限と説明責任に重点を置いている。金融機関は、エージェントがどの情報にアクセスできるか、どのツールを使えるか、どのような操作ができるか、問題発生時に職員がどう停止または引き継ぎできるかを定める必要がある。
この文書は新たな規制や正式なガイドラインではない。既存の法律、監督上の要件、外部委託規則、内部統制に取って代わるものでもない。委員会は意見募集が後の指針策定につながることを期待しているが、具体的な時期は示していない。
業務システムへのアクセスでリスクが変わる理由
エージェント型AIは、タスクを遂行するために手順を計画し、ソフトウェアツールを呼び出し、複数のシステムから情報を取得できる。これは、人が確認するための回答を生成することを主な機能とする対話型アプリケーションとは異なる。誤った回答がそのまま業務上の操作につながり得る場合、セキュリティ上の懸念は一段と深刻になる。
林氏は主なリスクとして、エージェントが本来の目的から逸脱すること、ツールを誤用したり権限を超えたりすること、機密情報を漏えいすること、一連の操作を通じて誤りが広がることの4点を挙げた。これらのリスクは重なり合う可能性がある。使うべきでない情報を取得し、それをメッセージに含めて、金融機関の外部に送信してしまうこともあり得る。
もっともらしいが誤った出力を生成するAIの「幻覚」も懸念事項だ。林氏は、エージェントが個人情報を、本来含めるべきでない外部向けメールに記載してしまう例を示した。これは起こり得る失敗の例であり、金融機関で発生した事案を明らかにしたものではない。
処理速度も、影響の広がり方を変える。林氏は、1人の人間が1時間に1件程度を処理する一方、エージェントなら100件を処理する可能性があると比較した。この例は処理量が100倍になる可能性を示すもので、実測された生産性の成果ではない。職員が介入する前に、自動化された誤りが多数の案件に広がり得るというのが同氏の指摘だ。
技術だけでなくタスクを管理する
意見募集文書は、セキュリティガバナンス、リスク分類、セキュリティ管理策の3分野を軸に提案をまとめている。管理の単位として望ましいのは、AI製品を単独で捉えることではなく、金融機関がエージェントに任せようとする具体的なタスク、すなわち利用シナリオだとしている。
金融機関はシナリオごとに、業務上の目的、責任者、利用を認めるデータ、利用可能なツール、許可する操作を明確にする必要がある。また、出力の送信先や書き込み先、エージェントが異常な挙動を示した場合の対応も定めるべきだとしている。
この考え方では、同じソフトウェアでも役割に応じて異なる管理策が適用される。操作を行わずにセキュリティ情報を分析するエージェントと、業務システムを変更する権限を持つものとでは性質が異なる。したがって、基盤となるモデルの変更と同じくらい、権限の変更も重要になり得る。
ガバナンスは当初の承認だけで終わらない。提案では、リスクに応じた審査、監視、検査、機能制限、停止、復旧の仕組みを求めている。リスク分類を承認基準、試験条件、導入判断、その後の監督に反映し、アプリケーションの変更に応じて再評価する必要がある。
3つの軸で評価する4段階のリスク
提案されているL1からL4までの分類では、データの機微性、操作による影響、機能の範囲や影響が広がる可能性という3つの軸を用いる。低リスクの要素で、より危険な要素のリスクを相殺するのではなく、より高いリスク評価に沿って判定する。
データの機微性は、エージェントが何を閲覧できるかに関するものだ。公開情報へのアクセスと、個人記録や営業秘密へのアクセスは異なる。操作による影響は、その情報を使って何ができるかを指し、閲覧から、記録の変更、金融機関外部への連絡まで幅がある。
3つ目の軸では、活動の範囲と影響力を考慮する。単一のタスクに限定されたエージェントと、大量の案件を処理し、昼夜を問わず稼働したり、複数の連続した手順を進めたりできるものとでは異なる。小さな誤りがより大きな業務上の問題に発展する可能性も、ここで評価される。
L4のアプリケーションについては、必要な承認や審査、または実行を阻止する仕組みがなければ、リスクの高い操作を自動実行できないようにする案だ。低リスクの用途には試験の余地を残す。委員会によると、この枠組みはリスクベース、比例性、特定技術に偏らない中立性に基づき、国際的なセキュリティ枠組みも参考にしている。
顧客対応の例が示す権限の重要性
林氏が挙げた顧客対応の例は、実務上の違いを示している。苦情を集めて要約を作成するエージェントは、低から中程度のリスクに当たる。一方、顧客への返信も送信できる場合は、金融機関の外部に働きかけられるため、中から高程度のリスクに位置づけられるという。
違いは、どちらもAIを使うかどうかではない。前者では、顧客に影響が及ぶ前に職員が要約を確認できる。後者では、エージェントが自らの解釈を外部向けの連絡に変えられる。メッセージ送信の権限があるかどうかで、誤りの影響が変わる。
情報を書き込む権限も、別の境界を生む。閲覧に限られたエージェントは、その権限によって元の記録を変更できない。書き込みが認められれば、誤りによって情報が変更または削除されるおそれがある。したがって管理策では、出力の質だけでなく、接続先システムの完全性にも対処する必要がある。
この例は、金融機関のAIプログラム全体に単一のリスク評価を付けるだけでは不十分な理由も示している。同じエージェントでも、データへのアクセス範囲や許可された操作が異なれば、承認条件、監視、復旧の体制を別々に設ける必要がある。
デジタル従業員にも人間の監督が必要
林氏は、タスクを積極的に進められることから、AIエージェントを「デジタル従業員」と表現した。このたとえは役割を与えるだけにとどまらない。金融機関は何をさせてよいかを決め、導入前に試験し、活動を監督し、作業を停止する手順を整える必要がある。
導入に関する責任について林氏は、タスクをエージェントに任せても人間の説明責任はなくならないと明言した。英訳では、次のように述べている。
AIはあくまで補助役にすぎず、最終的な監督者は人間だ
この原則は、エージェントの権限を定め、問題発生時に対応する責任が人間にあることを示す。AIエージェントを使うからといって、既存のセキュリティ管理を回避することはできない。金融機関には、責任を負う人間の意思決定者と、その人が承認した制限を適用する技術的な手段の両方が必要だ。
委員会の対象は、従業員によるAI利用全般よりも限定的だ。個人の既存権限の範囲内で動くアシスタントは、既存の内部統制やセキュリティ体制で管理できる。一方、金融機関の業務システムにエージェントを接続する場合は、リスクと情報セキュリティを改めて評価する必要がある。
本人確認とアクセス管理の対象にもエージェントを含める
安全対策案では、エージェントを非人間のIDおよびソフトウェアのワークロードとして扱う。実務上は、どのエージェントが操作しているのか、どの権限が適用されるのかを金融機関が把握する必要がある。その活動が、関係のない利用者や他の自動処理と区別できなくなってはならない。
このアプローチは、ゼロトラストの原則を取り入れている。組織内にあるというだけでシステムへのアクセスを安全と見なすのではなく、IDと権限を検証し、タスクに必要な範囲にアクセスを制限し、操作を追跡可能にする必要がある。
管理策は、ID、デバイスと実行環境、ネットワーク、アプリケーションとワークロード、データ保護を対象とする。提案には、基本・高度のセキュリティ要件と管理目標が含まれ、挙動の制御、可視化、分析も枠組みの一部となっている。
林氏は具体策として、エージェントを適切に分離された環境で稼働させること、タスクに応じてネットワーク接続を制限すること、利用可能なツールを承認済みのものに絞ることを挙げた。データへのアクセスには最小限の原則を適用する。これらの対策は、モデルへの指示だけに頼るのではなく、エージェントが意図された役割を超える複数の経路に対処するものだ。
ワークフロー全体を通じた失敗を想定した試験が必要
ワークフローを進められるアプリケーションについて、意見募集文書は導入前に、プロンプトインジェクション、ツールの誤用、継承された権限、メモリー汚染を想定した試験を求めている。これらの試験では、エージェントが参照する情報、利用するツール、与えられた権限によって、承認済みのタスクから逸脱した場合の挙動を確認する。
プロンプトインジェクションとは、エージェントが読む資料に隠された指示によって、挙動を別の方向へ誘導しようとする攻撃だ。ツールの誤用は、接続されたソフトウェアが不適切に使われることを指す。継承された権限によって、別のアカウントや処理から引き継がれたアクセス権がエージェントに付与されることがある。メモリー汚染とは、保存された情報が後の活動に意図せず影響することだ。
業務面で求められるのは、失敗の防止だけではない。システムには、動作を可視化できること、制限または停止できること、復旧可能であること、追跡可能であることが求められる。職員がエージェントの動作を確認し、有害な活動を中断し、可能であれば影響を受けた業務を復旧できる必要がある。
エージェントの活動記録は、調査や監査に役立つものでなければならない。誤った情報を書き込んだり、後続の操作をすでに引き起こしたりしている場合、エージェントを停止するだけでは問題が解決しないこともある。そのため提案では、停止と復旧、発生した事象の記録を一体として扱っている。
意見募集であり、最終的な導入規則ではない
委員会は、台湾の公共政策ネットワーク参加プラットフォームにあるパブリックコメントのコーナーで文書を公表した。意見募集を通じて実務上の経験を枠組みに反映させ、政策立案や将来的な指針、監督上の協議の土台とする考えだ。
林氏は、技術の急速な変化を、固定的なガイドラインを直ちに示さない理由の一つに挙げた。委員会は、関連するリスクをすべて把握できているとも限らない。そのため、指針の策定に向けて取り組む方針は、意見や今後の動向を踏まえたものであり、特定の日程で最終文書を公表する約束ではない。
委員会が示した手順は以下の通り。
- 2026年7月：FSCがAI攻撃への対応戦略を提案。林氏は、これを今回の取り組みに先立つ動きと説明した。
- 2026年10月13日：FSCがエージェント型AIのセキュリティに関する意見募集文書を公表。
- 公表後：提案の枠組みに対する意見を募る30日間のパブリックコメント期間。
- 意見募集後：正式な指針を策定するかどうかは、寄せられた意見や技術の進展を踏まえて判断する。公表時期は未定。
現在の試験状況からも、今回の時期がうかがえる。林氏によると、実験の多くはサイバーセキュリティ分野で行われており、業務上の操作を直接行わずにセキュリティ情報を分析するといった用途が中心だ。委員会は、エージェントが管理業務や事業プロセスにさらに導入される前に、安全対策を整えたい考えだ。次の具体的な段階は意見募集だが、指針が策定されるかどうかや、その内容・位置づけはまだ決まっていない。
要点
- 台湾のFSCは2026年10月13日、金融分野におけるエージェント型AIの安全な利用について、30日間の意見募集を開始した。
- 対象は、金融機関の業務システムに接続、操作、または作動させるエージェント。
- 提案では、データの機微性、操作による影響、機能の範囲に基づき4段階でリスクを評価する。
- 最もリスクの高い操作には、必要な承認や審査、または実行を阻止する仕組みを求める。
- 金融機関は権限を制限し、活動記録を残し、エージェントを停止して障害から復旧できる体制を整えるべきだとしている。
- AIエージェントがタスクを実行しても、人間の責任はなくならない。
- 利用の大半はまだ実験段階だ。文書は正式なガイドラインではなく、策定時期も示されていない。
