G-gen の三浦です。当記事では、Google SecOps の AI エージェントである トリアージと調査エージェント（TIN）と、それを Playbook に組み込む エージェントの自動化（Agentic Automation）を使い、アラートの一次対応を自動化した結果を紹介します。

概要

Google SecOps とは

Google Security Operations（以下、Google SecOps）は、Google Cloud のセキュリティ運用プラットフォームです。SIEM、SOAR、脅威インテリジェンス、Gemini を利用した AI による運用支援を一つのプラットフォームで提供します。

詳細は以下の記事をご参照ください。

blog.g-gen.co.jp

トリアージと調査エージェント（TIN）とは

トリアージと調査エージェント（Triage and Investigation Agent、以下 TIN）は、Google SecOps に組み込まれた AI ベースの調査エージェントです。関連するイベントやユーザー・端末・IP の確認・分析などを自動で行います。

TIN は、アラートを受け取ると主に以下の 3 つを出力します。

出力	内容
判定	アラートが実際の脅威か、誤検知かを分類する
確信度	判定にどれだけ自信があるかを `High Confidence`（高い確信度）などのラベルで示す
アラートと調査結果の要約	判定の根拠と推奨される次のアクションを記述する

TIN は、アラート発生後に自動で調査を開始する自動調査と、管理者が必要に応じて開始する手動調査の両方に対応しています。

参考 : トリアージエージェントと調査エージェントを使用してアラートを調査する

TIN の無償トライアル

2026 年 4 月 1 日〜6 月 30 日の期間、TIN の無償トライアルが提供されています。対象は Google SecOps の Enterprise / Enterprise Plus サブスクリプション、および Google Unified Security です。

トライアル期間中の 1 時間あたりの実行回数の上限は以下のとおりです。

対象サブスクリプション	実行回数の上限（1 時間あたり）	内訳
Enterprise	10 回	自動 5 回、手動 5 回
Enterprise Plus / Google Unified Security	20 回	自動 10 回、手動 10 回

参考 : Google エージェント SOC のトライアルの詳細
参考 : Google Unified Security

エージェントの自動化（Agentic Automation）とは

エージェントの自動化（以下、Agentic Automation）は、Google SecOps の Playbook（アラート対応手順を自動化するワークフロー）に AI Agent を 1 つのステップとして組み込める仕組みです。AI の判定に応じて、後続の対応を分岐・自動化できます。

参考 : エージェントの自動化
参考 : [Playbooks] ページを確認する

当記事では、TIN と Agentic Automation を以下のように組み合わせます。

機能	役割
TIN	AI がアラートを一次調査し、判定・確信度・アラートと調査結果の要約を出力する
Agentic Automation	TIN の調査結果に応じて、後続の対応を自動で振り分ける

注意点

Agentic Automation は、2026 年 5 月現在、Preview 版 です。当記事で解説する内容は一般提供（GA）の際に変更される可能性がある点に留意してください。

Preview 版のサービスや機能を使う際の注意点は、以下の記事も参考にしてください。

blog.g-gen.co.jp

検証の手順

当記事では、以下の流れで検証を行います。

項番	内容	説明
1	TIN の有効化	Google SecOps コンソールから TIN を有効化します。
2	アラートの確認	同種のアラートが TIN の有効化前と有効化後で管理者にどのように見えるかを確認します。
3	TIN を組み込んだ Playbook の作成	Playbook に TIN を組み込み、誤検知の可能性が高いと判定したケースを自動でクローズする条件分岐を設定します。
4	Playbook の動作確認	アラートを再度発生させ、新規のケースがクローズされることを確認します。

TIN の有効化

Google SecOps の管理画面で Gemini アイコンを選択し、[Gemini Investigations] を有効化します。

TIN の実行設定は [Settings] > [SIEM Settings] > [Gemini Investigations] から確認・変更できます。

参考 : トリアージエージェントと調査エージェントを使用してアラートを調査する

アラートの確認

概要

TIN を有効化する前と後で、同じ種類のアラートが管理者にどう見えるかを比較します。

当検証では、Google Workspace の監査ログから検知されたアラート 「Two Factor Authentication Enforcement Removal by a Workspace Admin User」（Google Workspace 管理者による組織全体の 2 段階認証プロセス強制設定の無効化を示すアラート）を使用します。

TIN なし（有効化前のアラート）

TIN が有効化されていない場合のアラート画面です。画面上部の [Run investigation] から手動で TIN の調査を実行することもできます。

TIN あり（有効化後のアラート）

TIN が有効化された状態では、アラート発生後に自動で調査が実行され、結果が表示されます。[View investigation] を選択することで、詳細を確認できます。

上記の調査結果から分かることは以下のとおりです。

項目	結果
判定	False Positive（誤検知）
確信度	High Confidence（高）
アラート要約	日本国内の Google Workspace 管理者ユーザーによる、組織レベルの 2 段階認証設定の無効化
調査結果の要約	同じユーザーが同じ IP アドレスから、2 段階認証に関する設定変更を短時間で実施していたことが判明
推奨される次のアクション	5 件提示。うち 2 件は TIN が自動で追加調査できる項目、3 件は管理者による確認・対応が必要な項目
調査タイムライン	関連 IP・ユーザーに関するログ検索を自動実行し、時系列を表示

TIN を組み込んだ Playbook の作成

Playbook の作成

[Response] > [Playbooks] > [Create a new Playbook] を選択します。

以下を選択し、[Create] を選択します。

設定項目	値	補足
Type	Playbook	単体で実行可能なワークフロー全体（Block は複数の Playbook から呼び出せる再利用可能な処理ブロック）
Choose Folder	Default	Playbook の整理用フォルダー
Environment	Default Environment	適用先のテナント環境

参考 : [Playbooks] ページを確認する
参考 : ハンドブックのブロックを操作する

Playbook の編集画面が開きます。画面上部の [Create Playbook with Gemini] から Gemini を使って作成することもできます。

参考 : Gemini でハンドブックを作成、編集する

起動条件の設定

左側の [Drag a trigger over here] エリアに、Triggers から All（すべてのアラート） をドラッグして追加します。Trigger は Playbook の起動条件で、対象アラートを絞り込む役割を持ちます。

AI Agents ステップの追加

右側の [Drag a step over here] エリアに、AI Agents タブから Triage and Investigation Agent（TIN）をドラッグして追加します。

追加した AI Agent ステップをダブルクリックし、[Settings] へ移動することで設定を確認できます。

設定項目	内容
Action Type	`Automatic`：Playbook 実行時に自動で TIN を起動。`Manual`：ケース画面から手動で実行
Retry on failure	実行失敗時に再試行するか
If step fails	`Stop playbook`：実行失敗時に以降のステップを停止。`Skip step`：実行失敗時はスキップして次のステップへ

参考 : エージェントの自動化

条件分岐の設定

Flow タブから Condition をドラッグして AI Agent ステップの後に配置します。Condition は Branch（条件式に一致した経路）と ELSE（いずれにも一致しなかった経路）で構成されます。

追加した Condition_1 をダブルクリックし、Branch の条件式を設定します。左側のフィールド入力欄を選択し、[Playbook] > [Triage and Investigation Agent_1.JsonResult] > [Builder] を選択します。

verdict（TIN の判定）を選択し、[Insert] を選択します。

右側の項目で手動で False Positive と入力すると、1 つ目の条件「Verdict = False Positive」が完成します。続いて + で条件を追加し、同様に Builder を開きます。

confidence（TIN の確信度）を選択し、[Insert] を選択します。

右側の項目で手動で High Confidence と入力し、[Save] を選択します。2 つ目の条件「Confidence = High Confidence」が完成します。

設定後の Playbook は次のように動作します。

段階	条件	動作
起動	すべてのアラート	Playbook が起動し、TIN が一次調査を実施
条件一致	Verdict が `False Positive` かつ Confidence が `High Confidence`（誤検知の可能性が高い）	ケースを自動クローズ
条件不一致	上記以外	Playbook 側では追加処理を行わない（管理者は通常どおりアラート画面で確認）

参考 : ハンドブックでフローを使用する

Branch のアクション設定

Actions タブから、条件を満たした際の動作を設定します。当検証では、アラートを含むケース単位でクローズするため、Close Case を選択し、Branch 側の [Drag a step over here] エリアに配置します。

Siemplify_Close Case_1 をダブルクリックし、以下を設定して [Save] を選択します。

設定項目	値	補足
Reason	Not Malicious	クローズの理由：悪意なし／誤検知
Root Cause	Lab test	根本原因：検証目的のテスト
Comment	TIN による自動クローズ（`False Positive` / `High Confidence`）	クローズ時に記録する任意のコメント