Falcon GuardianはAIエージェントを実行中に止める、MCPも監視対象へ

CrowdStrikeは2026年9月1日、米ラスベガスのFal.Con 2026で、AI Detection and Response（AIDR）製品「Falcon Guardian」を発表した。CrowdStrikeの発表内容 では、管理対象端末にある既知・未把握のAIエージェントを検出し、未承認の種類や悪意ある挙動を実行時にブロックする機能が示されている。

同日付の SiliconANGLEの報道 も、端末での強制制御が今回の主要な追加点である一方、MCPを含むAI通信を集中管理するAI Gatewayはまだ提供されていないと整理している。つまり、Falcon Guardianはエージェントの危険な実行を止められるが、すべてのMCP通信をゲートウェイで一元制御できる段階には達していない。

プロンプトから端末操作までを一本につなぐ

Falcon Guardianの中核は、AIエージェントの入力と、端末で実際に生じた結果を同じ因果関係として扱うことだ。対応するエージェントについて、利用者のプロンプトとID、使用されたスキル、ツール呼び出し、MCPサーバーを、ファイル、認証情報、ネットワーク、アプリケーションなどへの下流操作と関連付ける。

従来のプロンプトログだけでは、エージェントが依頼をどう解釈し、どの権限を使い、OS上で何を実行したかまでは追えない場合がある。Falcon GuardianはAI層の記録とFalconの端末テレメトリーを重ね、セッションの再構成、影響範囲の確認、関連する資産の封じ込めを一つの調査経路にまとめる設計である。

発見機能は、正式に導入されたエージェントに限られない。管理対象端末で稼働中または休止中の「シャドーAIエージェント」も検出し、配置場所、利用者、セキュリティ状態を台帳化する。組織は対応するエージェントの種類ごとに実行可否を定め、未承認の種類が管理対象端末で動くことを防げる。

「止める」の対象は未承認または危険な実行

タイトルにある「実行中に止める」は、端末上のあらゆるAI処理を一律に遮断するという意味ではない。対象となるのは、ポリシーで許可されていない対応エージェントや、攻撃を受けたエージェント、悪意ある動作を始めたエージェントである。

Falcon Guardianは、エージェントに対する攻撃とエージェント自身の不審な挙動を検出し、セッションから下流の実行までを再構成する。その文脈を使って、悪意あるエージェント動作や侵害された資産をランタイムで封じ込める。事前に許可リストを作るだけでなく、許可後に起きた逸脱へ対応するところまでが製品の主張する範囲だ。

ただし、公開資料は個々の攻撃パターンに対する独立試験結果や、あらゆるエージェント環境で同じ制御が働くことを示してはいない。「止める」という強い表現は、対応エージェントと管理対象端末における未承認・悪意ある実行への制御を指すものとして読む必要がある。

MCPは追跡済み、集中制御はこれから

MCPへの対応には、現在の端末側追跡と、将来の通信制御という二つの層がある。現在示されている因果追跡では、対応エージェントが利用したMCPサーバーやツール呼び出しを、プロンプトと端末上の実行結果の間に位置付けられる。この意味で、MCPはすでに監視・調査対象に含まれる。

一方、Falcon Guardianの製品ブログ は、AI Gatewayをプレベータ段階とし、2026年第4四半期の一般提供を予定している。対応するAIモデルやサービスへ向かう企業内トラフィックの集中管理点となり、利用者、エージェント、端末、ID、資産、セキュリティ状態の情報を使って、MCPを含む通信に可視化、アクセス管理、ポリシー適用を広げる計画だ。

したがって、「MCPも監視対象」という表現自体は確認できるものの、現時点の端末テレメトリーによるMCP利用の追跡と、将来のAI Gatewayによる通信全体の集中制御は同じ機能ではない。公式ブログも、未提供の機能は開発中で変更され得るため、購入判断は現在利用できる機能に基づくよう明記している。

AIガバナンスをEDRの実行情報へ接続

従来型のAIガバナンスは、利用可能なモデルやサービスを把握し、アクセス条件やデータ利用規則を定めることでリスクを抑える。Falcon GuardianもAI資産の発見、アクセス管理、データ保護を扱うが、差分は、エージェントが許可を得た後に何を実行したかを端末で観測し、制御へ結び付ける点にある。

既存のEDRを置き換える別系統の仕組みというより、Falconの端末監視へAI固有の文脈を追加する製品と捉える方が正確だ。プロセス、ファイル、認証情報、ネットワークなどの端末挙動に、プロンプト、ID、エージェント、スキル、MCPサーバー、ツール呼び出しを重ねることで、不審な結果だけでなく、そこへ至ったエージェント側の経路を調査できる。

この構成では、端末が重要な制御点になる一方、センサーの届かない環境まで自動的に同じ可視性が広がるわけではない。ブラウザー、SaaS、クラウドを含む広い保護範囲も掲げられているが、今回具体化された新機能の中心は、管理対象端末におけるエージェントの発見、因果追跡、実行制御である。

対応端末と未提供機能が導入範囲を左右する

端末対応について、公式プレスリリースはWindowsとmacOSでの発見を記載する一方、製品ブログは「対応するWindows、macOS、Linux端末」と説明している。対象としている機能や記述の粒度が異なるため単純な矛盾とは断定できないが、OS、エージェント、機能ごとの完全な対応表は発表資料だけでは分からない。

導入範囲は、Falconセンサーで管理される端末と、Guardianが対応するエージェントの組み合わせで決まる。利用者の個人端末、未管理端末、対象外のエージェントや実行環境に同じ可視性があるとは確認されていない。また、Guardianの導入だけでエージェントに付与済みの過大な権限が解消されるわけではなく、ID、到達可能なデータ、利用可能なツール、端末操作の権限設計は別途残る。

サービス面では、Falcon Complete for Falcon Guardianによる24時間のマネージド検知・対応は2026年第3四半期中、AI Gatewayは第4四半期の提供予定とされる。Falcon Adversary OverWatch Cross-Domainを使った脅威ハンティングは提供中だが、利用には同製品とFalcon Guardianの両方が必要である。

価格、地域別の提供条件、対応エージェントの完全な一覧、AI Gatewayの正式仕様は公開情報から確定できない。確認できる新しさは、AIガバナンスを端末上の実行結果へ接続し、対応範囲内で危険な動作の封じ込めまで進める点にある。MCP通信の集中制御とマネージド対応については、正式提供後の仕様と対象範囲を待つ段階だ。