巨大でハイテクなオフィスビルを想像してみてください。そこでは、かつてセキュリティガードたちが「誰も必要のない部屋の鍵を与えてはいけない」という単純なルールを守っていました。これは**最小権限（Least Privilege）**と呼ばれるものです。何十年もの間、これは人間や単純なロボットにとって非常に効果的でした。清掃員がトイレを掃除する必要があれば、彼にはトイレの鍵が渡されました。もし金庫を使う必要がなければ、金庫の鍵は渡されませんでした。単純な話です。

しかし現在、私たちはエージェンティックAI（Agentic AI）、つまり単にドアを開けるだけでなく、他のドアを叩いたり、他のワーカーに何かを開けてくれるよう頼んだり、自分自身ではアクセスできない巨大で秘密の扉を解錠するために、手持ちの小さな鍵を組み合わせたりすることができる、スマートで自律的なデジタルワーカーを構築してしまいました。もはや、従来の「一つの鍵、一つの部屋」というルールでは不十分なのです。

ここで、研究者クリストフ・パリセル（Christophe Parisel）が2026年7月14日付の論文で提唱した新しい理論、**最小自律性（Least Autonomy）**が登場します。これは、セキュリティシステムを「誰が鍵を持っているか？」を確認する段階から、「誰がチームを組んで建物全体を破壊できてしまうか？」を問う段階へとアップグレードすることに似ています。

新たな脅威：「ブラスト・ラジアス（爆風半径）」

この論文は、**構成的ブラスト・ラジアス（Compositional Blast Radius）**と呼ぶべき指標を測定する必要があると示唆しています。これは「危険距離」メーターのようなものです。

オフィスビルが巨大な樹木であると想像してください。根はCEOであり、枝は部門（財務やエンジニアリングなど）であり、葉は特定のファイルやツールです。論文では、この樹木における2つのアクションの距離を測るために、特別な数学的トリック（超距離空間木／ultrametric tree）を使用しています。

• もし2つのアクションが同じ小さな部屋の中で起きているなら、距離はゼロです。
• もし一方のアクションが「財務」の枝にあり、もう一方が「エンジニアリング」にあるなら、距離は大きくなります。
• もし両者が全く異なる建物（例えば「オペレーション」対「コーポレート」）に属しているなら、距離は極めて大きくなります。

しかし、単なる距離だけではありません。論文では、すべての部屋に「感度ラベル」を追加しています。ある部屋は単なる「標準（低リスク）」ですが、別の部屋は「高完全性（数値をいじってはいけない）」や「高機密性（秘密を漏洩させてはいけない）」といった性質を持ちます。この理論は、距離と感度ラベルを組み合わせることで、乗数（1.00から2.00の範囲）を算出します。

したがって、「ブラスト・ラジアス」とは単にアクション間の距離ではなく、その危険度によって重み付けされた距離なのです。もし財務部門の低リスクなアクションが、エンジニアリング部門の高リスクなアクションと組み合わさった場合、その組み合わせの「ブラスト・ラジアス」は大きなスコアを得ることになります。

「ミーティング」と「影響グラフ」

ここからが複雑なところです。論文は、AIエージェントが単独で何ができるかを見るだけでは不十分であると主張しています。私たちは、彼らが「誰と話せるか」を見なければなりません。

著者らは**ミーティング（Meeting）**という概念を導入しています。

• リソース・ミーティング： エージェントAがホワイトボードにメモを書き、エージェントBがその同じホワイトボードを読む。彼らはホワイトボードで「会った」のです。
• エージェント間（A2A）ミーティング： エージェントAとエージェントBに直接のチャットチャンネルがある。論文では、ここでの想定は非常に保守的です。たとえチャットが一方通行に見えたとしても、著者らはエージェントBが何らかの形でエージェントAに影響を与え返しうる（例えば、トリッキーなメッセージやツールの出力結果を送るなど）と想定しています。そのため、これを双方向の通り道として扱います。

誰と「会った」のかが分かれば、次に**影響ポテンシャル（Influence Potential）**を計算します。これは、彼らの結合されたアクションがどれほどの「構造的な広がり」をカバーしているかを示すスコアです。もしエージェントAが機密性の高い金庫に対して書き込みを行い、エージェントBが機密性の高いレポートを読み、そして両者が「ミーティング」を行っていたとしたら、その影響ポテンシャルは高くなります。

そして、**影響グラフ（Influence Graph）**と呼ばれるマップを描きます。2つのエージェントの間に線（弧）を引くのは、以下の条件を満たす場合のみです。

1. 彼らが「ミーティング」を行った。
2. 彼らの影響ポテンシャルが、特定の**閾値（$\theta$）**を超えている。

論文では、この閾値（$\theta$）はコンピュータが見つける魔法の数字ではなく、企業のすべての可能なアクションの組み合わせの「カタログ」に対して調整された、人間のセキュリティ責任者によるポリシー上の選択である、と慎重に述べています。

「共謀（Collusion）」の罠

この理論で最も恐ろしい部分は、**共謀述語（Collusion Predicate）**です。これは、個々のエージェントが単独では何も悪いことをしていなくても、グループとして協力して何か不正を行う可能性があるかどうかをテストするものです。

論文では、グラフ内におけるエージェントの「共謀」の仕方を3つのパターンで特定しています。

1. 認可の構成（Authorization Composition）： エージェントAはリクエストを「承認」する権限を持ち、エージェントBはそれを「実行」する権限を持つ。もしAがBに影響を与えられる（あるいはその逆）なら、彼らはルールを回避できてしまいます。
2. 意思決定の操作（Decision Manipulation）： エージェントAがエージェントBに影響を与え、エージェントBが何かを「承認」する権限を持っている。AはBを欺いて、不正な決定を承認させることができます。
3. ドメインをまたぐ露出（Cross-Domain Exposure）： エージェントAは「財務」ドメインにアクセスでき、エージェントBは「エンジニアリング」ドメインにアクセスできる。もし彼らがグラフ内で繋がっているなら、ルールで禁止されていたはずの「世界の混合」が、意図的または偶発的に発生する可能性があります。

この論文が「対象外」としていること（「ノーゴー・ゾーン」）

この理論が行わないことを理解しておくことは極めて重要です。

• これはランタイム・モニター（実行時監視）ではありません。論文は、これが**静的な設計時（design-time）**の分析であることを明示しています。建物を建てる前に設計図をチェックするようなものです。エージェントが実際に会話しているかどうかをリアルタイムで監視するものではありません。「もし設計図がこうであれば、リスクがある」と述べているのです。
• これは犯罪が起きたことを証明するものではありません。グラフ内に「共謀の証拠（collusion witness）」が見つかったとしても、それはエージェントが実際に何か悪いことをしたという意味ではありません。単に、その「構成」がそれを許容してしまっているということを意味します。これは、セキュリティエンジニアが権限を再確認するための「レッドフラッグ（警告）」なのです。
• また、アクションの「方法」については関与しません。論文は、同じファイルに対する「読み取り」アクションと「削除」アクションは、数学的な「構造的距離（ゼロ）」において同一であると認めています。この理論は、操作の具体的な種類（破壊的な削除なのか、無害な読み取りなのか）ではなく、権限の「構造」に焦点を当てています。

結論：新たなセーフティネット

論文は、最小権限は依然として必要であるが、これらスマートで接続されたAIエージェントに対しては不十分であると結論付けています。エージェントに「最小限の」権限を与えたとしても、そのエージェントが、異なる「最小限の」権限を持つ別のエージェントと会話できるのであれば、彼らは組み合わさって、誰も意図していなかった「最大限の」権限を生み出してしまう可能性があるのです。

著者らは、**最小自律性（Least Autonomy）**を補完的なルールとして提案しています。これは次のように問いかけます。「あるエージェントが、たとえ『友人の連鎖』を通じたとしても、到達しうる権限の最大『ブラスト・ラジアス』はどこまでか？」

論文は、セキュリティエンジニアがこのモデルを構築するためのステップ・バイ・ステップのガイドを提供しています。

1. 会社の樹木をマッピングし、すべてのノードに感度ラベルを付ける。
2. すべての可能なアクションをリストアップする。
3. 企業の許容リスクに基づいて閾値（$\theta$）を設定する。
4. 影響グラフを描く。
5. 「共謀の証拠」をチェックする。

もしグラフに共謀のリスクが示された場合、エンジニアはワークフローを再設計するか、権限を変更するか、あるいは閾値を下げる必要があります。この論文は、これが標準的な権限チェックでは見逃されてしまう「目に見えない」リスクを捉える方法であると示唆していますが、同時に、このモデルが入力データ（樹木、ラベル、およびミーティングの定義）の正確性に大きく依存していることも認めています。

要約すれば、この論文は、AIエージェントの世界においては、単に「誰が鍵を持っているか」を確認するだけでは足りないことを示唆しています。私たちは「誰が誰のドアを叩けるのか」、そして「彼らのノックが組み合わさったときに何が起きるのか」を確認しなければならないのです。これは、ネットワーク全体のAIエージェントを、制御されるべき一つの、潜在的に危険な有機体として扱う、安全性に対する新しい考え方です。