GrabのPalana、AIエージェントの安全境界をインフラ層へ

導入

AIエージェントが実験段階から本番運用へ進むにつれ、企業が直面するセキュリティ課題も変わりつつある。従来のアプリケーションは比較的予測可能な処理経路をたどるが、エージェントはモデルの判断に基づいてツールを呼び出し、外部APIへアクセスし、ソースコードを読み書きしながらタスクを進めることがある。Grabのサイバーセキュリティチームとプラットフォームエンジニアリングチームは、この性質に対応するためPalanaを構築した。

主要ポイント

• 分離領域を信頼の単位にする：Palanaはゼロトラストの考え方を採用し、各エージェントに個別のKubernetes名前空間を割り当てる。さらに厳格なRBAC、独自のネットワークポリシー、分離されたサービスアカウントを設定し、隣接するワークロードや基盤クラスタへの影響を抑える。
• 秘密情報をエージェントへ直接渡さない：環境変数やマウントファイルで高価値な認証情報を渡す方式は、自律型エージェントでは危険が大きい。Palanaでは、エージェントが見えるプレースホルダートークンと、プロキシだけが扱える本物の秘密情報を分離し、機密性の高い認証情報はHashiCorp Vaultに保存する。
• 外向き通信を集中制御する：HTTP/HTTPSの送信トラフィックはEnvoyプロキシとOpen Policy Agentルールを実行する外部認可サービスを通る。これにより宛先検証、ヘッダー評価、トークン置換、構造化された監査ログの生成が可能になる。
• 停止や遮断をエージェント任せにしない：侵害されたエージェントが自ら停止するとは限らないため、Palanaは制御をランタイム外に置く。制御プレーンからネットワークレベルの遮断を行い、外部の回収機構でアイドル状態のワークロードを停止できる。
• Kubernetesネイティブな運用：各エージェントはカスタムリソースとして表現され、Kubernetes operatorが名前空間、ストレージ、ネットワークポリシー、入口経路を調整する。プラットフォームチームはInfrastructure as Codeの考え方で管理や監査を進められる。

意義と影響

Palanaの特徴は、モデル駆動のエージェントが常に予測可能に振る舞うとは仮定しない点にある。むしろ非決定性を前提にし、その周囲に決定的なインフラ境界を設ける。これは企業にとって現実的なアプローチだ。生の秘密情報をエージェントに持たせず、ネットワーク権限を絞り、外部呼び出しを観測可能かつ制御可能にするからである。

この設計は、エージェント基盤の焦点が「ツールを呼べるか」から「安全に、監査可能に、回収可能な形でツールを使えるか」へ移っていることを示している。コード支援、運用自動化、業務プロセス自動化でエージェント利用が広がるほど、ID分離、送信制御、秘密情報の代理処理、ライフサイクル管理は本番環境の基本要件になっていくだろう。

ただし、Palanaは主にインフラ層のリスク封じ込めであり、プロンプトインジェクション、ツール誤用、目標の逸脱といった問題を消すものではない。企業は評価、権限設計、人間による承認、タスク分類と組み合わせて、より包括的なエージェント統制を整える必要がある。

出典：InfoQ 中文