Agent Control Specification(エージェント・コントロール・スペシフィケーション)とは
Agent Control Specificationとは、AIエージェントの入力やツール実行などの節目で、許可・警告・拒否・人への確認といった判定を返すMicrosoft公開の制御仕様です。略称はACS。AIへのお願いを文章で書くだけでなく、実行時に別の制御層で止めるための共通ルールを定めます。
正式表記：Agent Control Specification (ACS)
単独の製品ではなく、Microsoftが公開するエージェントガバナンス向けのツール群、Agent Governance Toolkit（AGT）の判定部分にあたります。2026年9月時点ではPublic Previewで、規範文書は0.3.1-betaのDraftです。確立済みの国際標準や認証制度ではなく、仕様と実装が変わり得る段階として評価します。
文章で書く禁止指示と何が違う？
プロンプトに「顧客情報を外へ出さない」と書いても、AIが必ず従うとは限りません。ACSでは、エージェントを動かす側が各時点の情報をまとめ、方針ファイルとともに制御機能へ渡します。返ってくるのは、許可、警告、拒否、人の承認待ち、内容の置き換えという判定です。
たとえば送信直前に、宛先、扱うデータ、呼び出すツールを照合し、条件外なら拒否する流れを組めます。判断の入口を共通化し、エージェントごとの場当たり的な制御を減らす考え方です。
導入前に、誰の責任を決めるべきか？
ACS自体はエージェントを動かさず、判定を返すところまでを担います。拒否という結果を実際に強制するのは、組み込み先のシステムです。方針を誰が承認し、例外申請を誰が判断し、記録をどこへ残すかまで決めなければ、仕様を採用しただけでは統制になりません。
AGTはGitHub上でMITライセンスのもと公開され、ライセンス条文どおり無保証で提供されます。Microsoftが運用を代行するサービスではなく、動かすのは採用した側です。更新への追随、障害時の連絡先、社内で保守する担当まで、導入の条件として決めておきましょう。
試行では、許可される正常ケースだけでなく、方針ファイルの不備、承認者不在、外部ツール停止も再現します。異常時に許可側へ流さないfail-closedは有用ですが、業務停止の影響も同時に設計すべきでしょう。
Topic公式資料の「5」と「8」は、数え方が違う
Agent Control Specificationに関するよくある質問
- ACSは個人情報や機密情報を自動で見つけますか？
- 仕様だけで自動判定されるわけではありません。どの情報を検出し、どの条件で止めるかを方針や判定機能として用意し、エージェントを動かす側から必要な情報を渡す実装が要ります。
- 既存のAIエージェントへすぐ追加できますか？
- 仕様に対応するホストやアダプターへ組み込み、判定を実際の許可・拒否へ結びつける実装が必要です。対応SDKの有無だけでなく、例外承認、監査記録、障害時の運用まで試験してください。
- ACSを導入すればプロンプトインジェクションを防げますか？
- 単独であらゆる攻撃を防ぐ保証はありません。許可するツールやデータの条件を実行時に強制する土台にはなりますが、入力検査、権限分離、監視、事後対応と組み合わせる必要があります。
