Google Workspace Studio の多層的な保護でエージェントのリスクを防御

※この投稿は米国時間 2026 年 8 月 26 日に、Google Workspace blog に投稿されたものの抄訳です。

Google Workspace Studio のエージェント フローは、インテリジェントな機能で日常の定型業務を自動化し、生産性を向上させます。しかし、これらのフローがユーザーに代わって動作するためのコンテキスト、権限、特権を持つようになると、不正操作や機密データの漏洩を通じてフローを侵害しようとする攻撃者にとって、格好の標的となるおそれがあります。

これを念頭に置いて、Studio には、脅威アクターからのリスクを軽減する多層防御と、組織がエージェントを安全に導入できるようにする堅牢なオブザーバビリティ ツールが組み込まれています。安全性を重視して設計された Google のアーキテクチャ上にネイティブに構築された Studio は、ネイティブな脅威防御とエコシステムの詳細な可視性を組み合わせて、マルチステップのエージェント型ワークフローを保護します。

多層的な脅威防御

Studio には、安全なコラボレーションと生産性を実現するために、次の組み込みの防御機能が用意されています。

1. 不正行為の軽減
2. ID の分離
3. 管理者による制御とユーザーによる確認
4. ランタイム保護

レイヤ 1: 不正行為の軽減

Studio の多層防御戦略の基盤として、ネイティブな不正行為軽減機能は、カスケード分類器システムを通じて、あらゆるフローにわたって包括的な保護を提供します。システム内の悪意のあるインジェクションを特定するために、Studio は専用の自己分析評価を含む一連の特殊な分類器を使用します。

この自己分析機能は、従来のコンテンツ分類器を超えて、システム ドリフトをモニタリングすることで間接プロンプト インジェクション攻撃から積極的に保護します。プロンプト、コンテキスト、出力という運用サイクル全体を継続的に追跡することで、自己分析機能が悪意のある意図に起因する実行ドリフトを特定します。取得したコンテンツに LLM の動作を操作する有害な指示が含まれている場合、システムはその不正を検知し、フローの実行を即座に停止します。

レイヤ 2: ID の分離

Studio の 2 番目の防御レイヤは、専用の ID 分離アーキテクチャで構成されています。Studio では、権限借用を利用してオーナーの完全な認証情報でタスクを実行するのではなく、オーナーの権限の最小権限のサブセットに制限された専用の OAuth クライアント ID を生成します。この ID には、フローの指定されたタスクセットに必要な OAuth スコープの最小限の割り当てセットが含まれます。

たとえば、Gmail 経由でメールを送信するように Studio で構成されたフローは、Google ドライブや Chat などの他の Workspace アプリケーションへのアクセス権を持ちません。この制限により、プロンプト インジェクション攻撃によってフローが侵害された場合でも、アクセス可能なデータと潜在的な影響は、ユーザーの Gmail コーパスと関連する Gmail アクションに厳密に制限されます。

フローがアクションを実行すると、Workspace 管理者は、Workspace プロダクトのサーフェス全体で、アクションをフローに直接帰属させるか、オーナーに帰属させるかを指定する設定を構成できます。フローの名前を明らかにすることで、共同編集者は、アクションが自動化によって生成されたかどうかを明確に把握できます。さらに、フロー実行時に生成される監査ログには、管理者が選択したアトリビューション設定にかかわらず、アクションがフローによって実行された日時と、どのユーザーの権限に基づいているかが明示的に記録されます。

レイヤ 3: 管理者による制御とユーザーによる確認

ユーザーの参加は、重要な 3 つ目の防御レイヤとして機能します。エージェント システムでは、人間参加型（HiTL）の設計が頻繁に採用されており、リスクの高いオペレーションを実行する前に明示的な承認が必要になります。Studio において、この仕組みは Workspace 管理コンソールの承認設定にあたります。これにより、フローのオーナーからの明示的な承認なしに、フローがドメイン外のエンティティに機密データを公開することを防ぎます。ユーザーは、Studio プロダクト インターフェースの専用の承認ハブページで承認リクエストを確認できます。

承認設定は、Studio のガバナンスをきめ細かく制御する、数ある機能の一つです。管理者は、Webhook、インテグレーション、カスタム ステップなどの機能を、必要に応じて有効または無効に切り替えることができます。

レイヤ 4: ランタイム保護

Studio の最初の 3 つの防御レイヤは、セキュア バイ デフォルトの保護を提供し、すべてのユーザーにとって安全な環境を維持するように設計されています。多くの企業が利用規定やデータ ガバナンス ポリシーを定期的に策定していますが、既存ツールの機能的な制約により、それらを実際に運用するのは容易ではありません。このギャップを埋めるために、Studio の 4 つ目の防御レイヤでは、固有のリスク プロファイルや厳格なコンプライアンス要件を管理するチーム向けに、明文化されたポリシーを運用化する 2 つの技術的制御を提供します。

• Gemini DLP: Workspace のデータ損失防止（DLP）ポリシーには、指定されたドライブ アイテムへの Gemini のアクセスを制限する Gemini DLP ルールが含まれています。Studio 内では、Gemini が実行するステップにおいて、コンテンツや回答を生成する際に保護されたドライブ ファイルのコンテキストを参照することは禁止されています。たとえば、Gmail とドライブへのアクセス権を持つフローにおいて、財務データを狙った間接プロンプト インジェクションが初期の防御レイヤをバイパスしようとしたとします。しかし、管理者が「財務」ラベルの付いたドライブ ファイルへのアクセスをブロックする Gemini DLP ルールを設定していれば、エージェントによる標的データの取得を阻止できます。

Studio DLP: Studio DLP ルールは、フローによってアクセスおよび使用されるデータと、ステップ出力の可視性を評価して、アクションを自動的に続行できるか、ユーザーの確認が必要かを判断します。管理設定では、外部に公開されるすべてのステップでユーザーによる確認を必須にできますが、Studio DLP では条件付きの適用が可能です。定義された条件に基づいて、アクションを完全にブロックするか、あるいは明示的な確認を求めるかを制御できます。

堅牢なモニタリングおよび運用ツール

管理者がフローの運用を包括的に可視化して制御できるように、Studio には、4 つのレイヤの組み込み防御機能に加えて、強化された管理機能とモニタリング機能が組み込まれています。

• 監査ロギング: 監査イベントは、Studio 内の構成と実行アクティビティをキャプチャします。さらに、ドライブ ファイルの変更や Gmail でのメッセージ送信といったアプリケーション固有の監査イベントには、オーナー情報や一意のフロー ID など、フローに関する主要な詳細情報が含まれます。
• エージェント アクセス管理: 管理コンソールには専用のエージェント アクセス管理ダッシュボードが備わっており、管理者はすべてのフローの一時停止や、個々のフローに対する特定の OAuth スコープ（ドライブへのアクセスなど）の選択的な取り消しを行うことができます。セキュリティ レビューの際、管理者はセキュリティ調査ツールの監査ログエントリからエージェント アクセス管理ダッシュボードに直接シームレスに移動して、問題を迅速に軽減できます。

使ってみる

これらの包括的な組み込み防御機能、管理コントロール、堅牢なオブザーバビリティ ツールにより、組織は安心して Workspace Studio を導入し、チームのさらなる生産性向上を実現できます。ノーコードの自動化の詳細については、Workspace Studio をご覧ください。また、こちらのドキュメントでガイダンスを確認し、無料トライアルを開始してください。

- シニア プロダクト マネージャー、Tim Quinney