1. NISTが出したもの、出していないもの

IR 8621はAIを狙う攻撃と、誤用・故障・異常動作が生む被害を扱った公開ワークショップの整理である。最終版は11月2日、開催日は5月14日だ。

規制や新しい準拠規格ではない。既存の要件・指針は有効で、関連文書は開発中だ。「IR 8621準拠」と称する根拠ではなく、課題地図と演習材料として使う。

2. AI事故が異なる理由

システムは確率的に動き、適応し、ツールを呼び、複数のデータや事業者に接続する。同じ入力でも失敗を再現できず、モデル、プロンプト、検索資料、権限一つで挙動が変わる。

モデル版、指示文脈、ツール呼び出し、検索元、防御設定、エージェントやサービスIDの証拠が要る。HTTPログだけでは行動を選んだ理由まで分からない。

3. 封じ込めは一つの停止ボタンではない

特定のツールトークン、接続、非人間IDだけを無効化し、あるいは読み取り専用にする限定的な封じ込めが議論された。調査・復旧に必要な状態を残しながら被害を抑える。

時刻、版、設定、入力、ツール状態をまとめた再現範囲も要る。完全再現を約束せず、証明できる限界を明示するためだ。

4. 30/60/90はNISTの義務ではない

発表者の一人は30日でテレメトリ、60日で権限取消時間の短縮、90日でソフト隔離の演習を提案した。報告書への収録は、全組織への公式義務化ではない。

顧客対応エージェントなら、無許可ツール呼び出しの検知、ログを残したID取消時間、管理策を確認してから戻す復旧演習に置き換えられる。

5. 判断演習：一つのエージェントを隔離できるか

架空アカウントと非本番接続で無害なポリシー違反要求を入れ、警報、証拠、特定ツールの停止時間を記録する。顧客データや本番への攻撃行為は使わない。

担当、証拠保全、特定ID取消、副作用確認、管理策を証明した復旧までできて合格だ。一般の事故対応はSP 800-61r3と組み合わせる。