【2026年7月最新】Beyond Zeroとは？AIエージェントの全操作を認可する新構想

AIエージェントにメール、ファイル、顧客管理ツールをつなぐと、「ログインできる人か」だけでは安全を判断しにくくなります。正規ユーザーの権限を使ったAIが、想定外の資料を読み、外部へ送る可能性があるためです。

Googleは2026年7月27日、AI時代の企業セキュリティ構想 Beyond Zeroを公式ブログで紹介しました。本記事では、操作ごとの継続的認可という考え方、5つの原則、同日発表のMicrosoft Project Perceptionとの違い、中小企業が今から決めるべき運用ルールを整理します。

1. Beyond Zeroとは？Googleが示した新しい認可モデル

Beyond Zeroは、Googleが提案するAI時代の企業向けセキュリティモデルです。従来のゼロトラストが主に「誰が、どのアプリへ入れるか」を確認するのに対し、 Beyond Zeroは信頼の境界を個々の資源に対する一つひとつの操作まで縮めます。人だけでなく、AIエージェントのAPIやMCP経由の操作も同じ単位で認可する構想です。

基礎となる論文「Beyond Zero: Enterprise Security for the AI Era」は 2026年5月に公開され、Googleは7月27日の公式ブログで5原則と初期導入の方向性を改めて示しました。重要なのは、Beyond Zeroが単一の新製品名ではなく、 静的な権限ルールと、状況に応じた動的判断を組み合わせる設計思想だという点です。

比較項目	従来のゼロトラスト	Beyond Zero
主な確認単位	ユーザー、端末、アプリ	資源と個別操作
判断材料	本人性、端末状態、固定ポリシー	目的、対象データ、直前の行動、リスク
AIエージェント	人の権限を広く引き継ぎやすい	操作ごとに許可・追加確認・遮断を判断
異常時	事後調査が中心になりやすい	実行時の調査、チャレンジ、封じ込めを重視

2. 従来のゼロトラストだけでは足りない理由

AIエージェントは、1回の指示から複数のツールをまたいで仕事を進めます。例えば「未対応の見積もりを整理して顧客へ連絡して」と頼むと、メールの検索、CRMの参照、文面作成、送信までが連続します。アプリへの接続自体が正しくても、対象顧客、参照ファイル、送信先のどこかが意図とずれれば事故になります。

論文は、この問題をambient authority（周囲に存在する過剰な権限）として扱っています。 AIが操作者の広い権限をそのまま使えると、攻撃者によるプロンプトインジェクションだけでなく、曖昧な指示や誤推論でも不要なデータへ到達し得ます。そのため「接続を許可したか」だけでなく、 今このAIが、このデータへ、この操作をする理由は妥当かを実行時に確認する必要があります。

既存のAIエージェント権限管理の記事では、 sandbox、VM、通信制御による封じ込めを整理しました。 Beyond Zeroはその次の層です。最小権限で環境を囲ったうえで、囲いの内側でも操作単位の認可を続ける点が新しい切り口です。

3. Beyond Zeroを構成する5つの原則

Googleの公式発表は、Beyond Zeroを次の5原則で説明しています。専門用語のまま導入するのではなく、自社の業務ルールへ翻訳して考えることが重要です。

5原則	意味	中小企業での例
資源・操作単位	アプリ全体ではなく個別の行為を認可	CRM閲覧は許可、顧客一斉送信は承認制
静的・動的制御	固定ルールに状況判断を重ねる	社外共有禁止に、深夜アクセスの追加確認を足す
文脈の自動付与	誰が何の目的でどのデータを扱うか補う	案件、担当者、指示元、送信先を監査記録へ残す
自動調査	リスク信号から詳細調査を起動	大量ダウンロード時に関連操作を自動確認
追加確認・封じ込め	高リスク時に確認または停止	公開、削除、送金は人の再承認を必須にする

MIRAINAの視点では、5原則を一度に実装する必要はありません。まずは「読む」「下書きする」「外部へ送る」「削除する」の4種類に操作を分け、送信と削除だけ承認を必須にするところから始めると現実的です。固定ルールを土台にし、例外時だけ追加確認する設計なら、現場の速度も落としにくくなります。

4. Project Perceptionとの違い

Beyond Zeroと同じ7月27日、Microsoftは Project Perceptionを発表しました。こちらは、操作を許可する仕組みそのものより、レッド・ブルー・グリーンの専門エージェントが攻撃経路の発見、調査、修正を循環させる 自律型の防御システムに重点があります。

項目	Beyond Zero	Project Perception
中心課題	その操作を今許可してよいか	脅威をどう発見・判断・修正するか
主な仕組み	資源単位の継続的認可	複数モデルと専門エージェントの防御ループ
人の役割	高リスク操作の承認、固定ルールの設定	優先順位と修正方針の最終統制
現時点	構想と初期導入知見を公開	2026年8月3日に公開プレビュー予定

Microsoftは、最初の脆弱性管理構成がCyberGymで96%、 Mythos比で12ポイント上回り、従来構成比で約50%のコスト削減になると説明しています。ただし、これはMicrosoftが示した特定ベンチマーク上の数値であり、自社の事故率や運用費が同じ割合で改善する保証ではありません。両発表から読み取れる共通点は、 固定された権限表と事後アラートだけでは、機械速度の攻防へ対応しにくいという問題意識です。

5. 中小企業が今やるべき4つの対策

Beyond Zeroをそのまま購入できる製品だと考えるより、自社のAI導入チェックリストを更新する材料として使う方が先です。最初に次の4点を決めると、AIエージェントを安全に試しやすくなります。

Rule 01 AIごとに固有IDを持たせ、操作者と目的を記録する
Rule 02 読む・作る・送る・消すを分け、操作別に権限を設定する
Rule 03 公開・送信・削除・決済は人の承認を必須にする
Rule 04 異常時に停止できる担当者と監査ログの保存先を決める

「何へ接続できるか」だけでなく、「何をしたか」「誰が止めるか」まで一つの流れとして設計します。

例えば問い合わせ対応AIなら、FAQの閲覧と返信案作成は自動化し、顧客への送信は人が承認します。定型質問で誤りが少ないと確認できた範囲だけ自動送信へ広げ、返金、契約変更、個人情報を含む依頼は常に人へ戻します。この段階的な広げ方は、AIエージェント監視の記事で整理した停止条件と監査の設計にもつながります。

自社だけで操作分類や承認境界を作るのが難しい場合は、生成AI活用支援で業務フローを棚卸しし、まず1業務だけ権限表と例外処理を作る方法が向いています。技術導入より前に責任者と停止手順を決めることが、最も費用対効果の高い安全対策です。

6. 導入判断で誤解しやすい注意点

1つ目は、Beyond Zeroがゼロトラストを不要にする構想ではないことです。本人確認、端末管理、最小権限、ネットワーク制御を土台として、その上に操作単位の判断を追加します。基本のアカウント管理ができていない状態で、動的認可だけを入れても安全にはなりません。

2つ目は、AIに認可判断を丸投げしないことです。 Googleも静的ポリシーと動的制御の併用を原則にしています。法令、契約、社外共有、削除禁止などの譲れない条件は固定ルールにし、 AIは追加調査やリスク判定を補助する位置づけにします。

3つ目は、発表段階と導入可能段階を分けることです。 Beyond Zeroは業界へ共有された設計構想で、Googleは今後も実装知見を公開するとしています。 Project Perceptionも7月28日時点では公開プレビュー前です。すぐ全面移行するのではなく、既存ツールで操作別権限、承認、監査、停止を先に整えるべきです。

7. まとめ

Beyond Zeroは、AIエージェント時代の信頼境界をアプリ単位から個別資源への一つひとつの操作へ縮めるセキュリティ構想です。 5原則は、資源・操作単位の認可、静的・動的制御、文脈付与、自動調査、追加確認と封じ込めで構成されます。

中小企業が今すぐ大規模な仕組みを作る必要はありません。 AIの固有ID、操作別権限、人の承認、停止と監査の4点を先に決めれば、 Beyond Zeroの考え方を小さく実務へ取り入れられます。「接続できるから任せる」ではなく、 この操作を今任せてよいかを確認し続けることが、次のAI導入ルールになります。