Agent Governance Toolkitは、モデルの前に決定点を置く
プロジェクト概要：AI エージェント ガバナンス ツールキット、ポリシーの適用、ゼロトラスト ID、実行サンドボックス、自律型 AI エージェントの信頼性エンジニアリング。 10/10 OWASP Agentic Top 10 をカバーします。
ひと目でわかる
- これは何？
- MicrosoftのAgent Governance Toolkitを、ツール呼び出しの判定、監査、ID、サンドボックス、運用監視の境界から読む。公開プレビューである点も含めて導入前の確認点を整理する。
- 誰に向いている？
- このツールキットは、エージェントの意図を信頼するだけでなく、アプリケーションコードで操作を判定し記録したいチームに向きます。導入前に、実際のツール一覧、拒否と承認の運用、同一プロセス境界を補うコンテナ分離、公開プレビューの変更影響を自分の環境で確認してください。
- 商用利用できる？
- できます。MIT は寛容なライセンスで、著作権表示とライセンス表示を残せば、使用・改変・販売が可能です。
- 今もメンテナンスされている？
- されています。直近 1 日以内に新しいコミットがあります。
- 何の言語で書かれている？
- 主に Python です（GitHub の言語統計による）。
回答はプロジェクトの GitHub データ（最終同期：2026年9月15日）と当サイトの分析に基づくもので、法的助言ではありません。
オープンソース詳細解説
プロンプトのお願いを実行前の判定に変える
Agent Governance Toolkit（AGT）の焦点は、モデルに規則を守らせる文章ではなく、ツール呼び出しの経路にポリシー判定を置くことです。READMEは、エージェントがメール送信、データベース照会、Web閲覧、別エージェントへの委譲を行う状況で、操作を許可するか、どのエージェントが実行したか、後から何が起きたかを証明できるか、という三つの問いを挙げています。OAuthのスコープやIAMロールだけでは、接続後の操作内容まで絞れないという整理です。
AGTは、ツール、メッセージ送信、委譲をアプリケーションコードで受け取り、ポリシーを通過したものだけを先へ進めます。READMEは、拒否された操作は単に起こりにくくなるのではなく、AGTカーネルによって実行経路から外れると説明します。ただし、これはREADMEの設計上の主張です。公開プレビューであり、実際の失敗率や本番環境の測定結果は掲載されていません。
二行のgovern呼び出しとYAMLポリシー
最小例では、agentmesh.governanceからgovernを読み込み、govern(my_tool, policy="policy.yaml")で既存ツールを包みます。呼び出し時にYAMLポリシーを評価し、判断を監査記録へ書き込み、拒否時にはGovernanceDeniedを発生させる流れです。サンプルポリシーは、drop、delete、truncateを拒否し、send_emailにはsecurity-teamの承認を要求します。
この例の価値は、許可、拒否、承認要求を自然言語の指示ではなく条件として表している点にあります。一方、READMEが示すコードから分かるのはAPIの入口と結果の形までです。ポリシー式の完全な文法、監査ログの保存方式、承認者が返答するプロトコル、既存ツールで例外が起きた場合の扱いは、追加の仕様確認が必要です。
Agent Controlから複数パッケージへ分かれる構成
より細かな制御には、agent_control_specificationのAgentControl APIを使います。manifestを読み込み、エージェントIDを含む入力エンベロープを評価し、verdictを受け取ってランタイムを閉じる例がREADMEにあります。AGTは単一の巨大なアプリケーションとして説明されておらず、Agent OS、Agent Control Specification、Agent Mesh、Agent Runtime、Agent SRE、Agent Complianceなどの領域に分かれています。
Agent Control SpecificationはRustコアを持つステートレスでフェイルクローズの判定ランタイム、Agent Meshは発見と信頼、Agent Runtimeは四つの特権リングを持つ実行サンドボックス、Agent SREはキルスイッチとSLO監視を担当するとされています。MCPセキュリティゲートウェイ、シャドーAI検出、ガバナンスダッシュボード、プロンプトインジェクション評価器も挙げられますが、各機能の導入条件と運用例は分けて検証すべきです。
v4.1.0で整理された配布とSDK
READMEはv4.1.0時点で45個のパッケージを、core、runtime、sre、cli、メタパッケージのagent-governance-toolkit[full]という五つのトップレベル配布物へまとめたと説明します。クイックスタートのPythonでは3.11以上を指定し、基本のwheelにはコンプライアンスCLIだけが入り、ガバナンスモジュールはcoreまたはfull extraにあると注意しています。旧agent_os系の名前は非推奨の配布物として残されています。
TypeScript、.NET、Rust、GoのSDKも掲載され、コアのポリシー、ID、信頼、監査を実装する一方、フルスタックはPythonにあるという整理です。Python 3.10以上など別の前提条件も同じREADME内にあり、クイックスタートの3.11以上と数字が揃っていません。利用言語を決める前に、対象バージョンと移行文書を固定して確認する必要があります。
仕様数は設計の厚みを示すが、保証書ではない
リポジトリにはRFC 2119形式の正式仕様が10件あり、READMEは992件の適合性テストと29件のアーキテクチャ決定記録を報告しています。ポリシーエンジン、IDと信頼、ハイパーバイザー制御、SRE、MCPゲートウェイ、監査、メッシュ通信などを仕様の対象にしています。OWASP Agentic AI Top 10、NIST AI RMF 1.0、EU AI Act、SOC 2、AARM Extended、ATFへの対応表も示されています。
ここで区別したいのは、仕様とテストの存在と、第三者が本番環境で確認した結果です。OWASPのリスク分類を決定的な制御に対応付けたという説明や、2026年6月14日付のAARM Extended検証は、提供元のREADMEにある主張です。独立監査報告、採用企業の実測、攻撃に対する失敗率は、この資料からは確認できません。
同一プロセスを前提にしたセキュリティ境界
AGTはOSカーネルではなくアプリケーションのミドルウェア層で動き、ポリシーエンジンとエージェントが同じプロセス境界を共有するとREADMEは明記しています。したがって、AGTの拒否判定だけでOSレベルの隔離まで得られると解釈するのは危険です。本番では各エージェントを別コンテナで実行することが推奨されています。
開発と保守の材料としてCodeQL、Gitleaks、七つのファズ対象を持つClusterFuzzLite、Dependabot、OpenSSF Scorecardの週次スコアリングが挙げられています。とはいえ、利用側が確認すべき対象は残ります。コンテナ間の権限、監査ログの改ざん耐性、秘密情報の取り扱い、ポリシー更新時の再評価を、導入するツールの種類に合わせて試験してください。
導入先を決める前に残る確認項目
MITライセンス、PyPI、npm、NuGet、Rustクレート、Go module、ドキュメントサイトが公式ソースとしてREADMEに列挙されています。権利面では利用、変更、配布などの条件をLICENSE本文で確認できますが、ライセンスは安全性やサポート水準を保証しません。リポジトリのメタデータは、アーカイブされていないことと、6,141スター、1,083フォーク、251件のオープンIssueを示しています。
採用判断では、まず一つの非破壊ツールをgovernで包み、allow、deny、require_approvalの三つの結果を監査記録と照合するのが現実的です。その後にID、コンテナ、SRE機能を追加し、どのレイヤーが自分の脅威モデルを補うかを記録します。公開プレビューのため、v4.1.0での配布変更や旧APIの非推奨化を固定し、更新前後の互換性を確認してください。
編集部の結論
このツールキットは、エージェントの意図を信頼するだけでなく、アプリケーションコードで操作を判定し記録したいチームに向きます。導入前に、実際のツール一覧、拒否と承認の運用、同一プロセス境界を補うコンテナ分離、公開プレビューの変更影響を自分の環境で確認してください。READMEには本番性能値や独立監査の結果は示されていません。
コミュニティノート