エンドポイント特権マネージャー 2.1

2026年8月5日リリース

リリース2.1では、Keeper EPMの自律型AI対応を拡充し、macOSシステム拡張機能とLinuxエージェントを強化しました。あわせてmacOS向けのMDM展開に対応し、Windows、macOS、Linux全体で多数の改善を行っています。

新機能

• 昇格待機画面のメッセージ設定: 昇格待ちの画面で表示メッセージを設定でき、失敗時の表示も分けて制御可能。昇格中のユーザー体験を管理者が細かく調整できるようになりました。
• エージェント上でのマシンチェック: マシン単位のチェックをエージェント側で直接評価可能。サーバーとの往復を減らし、より厳格なローカル判定が可能になりました。
• Linuxの非昇格コマンドライン制御: Linuxでも、権限昇格を伴わないコマンドライン操作を制御可能に。Windows / macOSとの機能差を縮小しました。
• 自律型AI検出対象の追加: Grok、GitHub Copilot、Microsoft 365 Copilot、およびVS Code Claudeプラグイン (bun.exe) を検出対象に追加。
• macOSのMDMインストール: インストーラーとフルディスクアクセス用の構成プロファイルを組み合わせ、MDM経由でKeeper EPMのサイレントインストールが可能になりました。
• 自律型アクセス / 自律型特権昇格の課金用監査イベント: 課金および利用状況レポートに対応する新しい監査追跡イベントを追加。また、監査イベントのタイムスタンプがミリ秒単位の精度に対応しました。

機能強化

• デフォルトの除外一覧にCisco VPNを追加し、標準の除外設定を拡充。
• dsa-wrs-app.exe を exclude.dat に追加し、評価処理を効率化。
• デフォルトのローカルポートを変更し、Acronisと併用した場合の互換性を確保。あわせて関連ドキュメントも更新。
• アプリケーションコレクションの照合条件: ハッシュのみ、パスのみ、またはパスとハッシュの両方 (AND) で照合できるようになり、管理者がより細かく制御できるようになりました。
• Azure / Entraグループのインポート: グループのインポートジョブを改善し、同期時により多様なディレクトリ構成やエラー条件を処理できるようになりました。
• 既知のAIエージェント情報の事前読み込み: 起動時にエージェントのメタデータをあらかじめ準備することで、初回の自律型AI起動でもすばやく応答できるようになりました。

• 登録解除時のポリシークリア: エンドポイントの登録を解除するとポリシーキャッシュも消去され、コンソールから削除した後に不要なポリシー情報がエンドポイントに残らないようになりました。
• JSON解析の堅牢化: 設定およびポリシーのJSON解析で、より幅広い文字コードの入力を適切に処理できるようになりました。

セキュリティ

• AIエージェントの親プロセス検証を強化: 自律型特権昇格で、PE VersionInfoおよび信頼されたAuthenticode署名情報を使用してプロセスのIDを検証するようになり、Bugcrowdから報告されたローカル権限昇格につながる脆弱性を解消しました。
• Trusted Signing / 短寿命証明書への対応: 自律型AIのID検証で、タイムスタンプ付き証明書および有効期間の短いTrusted Signing証明書を認識し、正規に署名されたプロセスを証明書の有効期間を通じて正しく識別できるようになりました。
• 昇格トークンのログ秘匿: ログ出力から権限昇格トークンを除外し、ログ収集時に機密データが露出するリスクを軽減しました。
• CURLを8.21.1へ更新: バンドルされているCURL依存関係を更新し、深刻度の高いCVEに対するアップストリームの修正を取り込みました。

改善

Windows

• WinVerifyTrust による署名済みバイナリの検証が、証明書の信頼チェーン全体で安定して動作するよう改善。
• 起動時の安定性を向上: KeeperClient の起動リトライとバックエンド/APIのリトライをネットワークの準備状況に合わせて連携させ、起動時の初期化をよりスムーズに。
• KeeperUserSession の一時プロファイルのクリーンアップを改善。使用中の NTUser.Dat ファイルを適切に処理し、起動時および実行時の負荷を抑えながら、安定してプロファイルを削除できるよう改善。
• ログオン時のジョブ / プラグインの実行をブートフェーズに応じて調整し、サインイン時の動作と応答性を向上。
• Windowsフック側を最適化し、高い同時実行負荷が発生する状況でのポリシー評価の負荷を軽減し、全体的な応答性を向上。
• TCPテーブル参照が、アクセスが集中する状況でも安定して動作するよう改善。
• FileAccessのワイルドカードパスがバイナリのディレクトリを基準に解決されるようになり、先頭にワイルドカードを含むパターンが指定どおりに一致するよう改善。
• エンドポイントの登録解除後、Agent UIに簡素化されたRegister | Exitメニューに変更。
• Windows 11のエンドポイント登録状態について、KeeperUnregistraterHelper を管理者として実行してコンソールからエンドポイントを削除した際、登録状態が正しくクリアされるよう改善。
• Windowsの進行状況インジケーターが、アプリケーションがすぐに起動した場合でも正しく閉じるよう改善。
• KeeperApproval で、Agentic AIが短時間に連続して起動され、複数の承認ダイアログが同時に表示された場合でも、承認リクエストが確実に送信されるよう改善。
• appsettings.json でのポート番号の変更が、すべてのプラグインに反映されるよう改善。
• 理由入力付き特権昇格: 初回の試行から理由入力プロンプトが確実に表示されるよう改善。
• ShipItによるAgentic AIの自動アップデートが、権限昇格中でも正常に完了するよう改善。
• chrome_crashpad_handler などのデタッチされたサブプロセスについて、中間プロセスがすでに終了している場合でも、起動元の親アプリケーションまで追跡できるよう改善。
• MFAの再送信および再試行が、1回のフローで最後まで完了するよう改善。
• より具体的なポリシーが、サブプロセスに対するワイルドカードルールより優先されるよう改善。
• FileAccessフックで、ポリシーが定義されていないイベントタイプの評価をスキップすることで、起動ごとの処理負荷を軽減。
• ユーザープロファイルのディレクトリからファイルを起動または権限昇格する際のパフォーマンスを向上。
• 自律型AIの各リクエストで、関連する監査イベント全体に同一のアクティビティ相関UIDが付与されるよう改善。
• 同じ自律型アクセスアプリへの連続呼び出しを、一貫して自律型アクセスとして分類・記録されるよう改善。
• 同一セッション内では、自律型AIのサブプロセス実行ファイル間で許可を再利用することで、複数プロセスで動作するエージェントでも1回の承認で利用できるよう改善。
• FA ACL適用で UserCheck "*" による全員対象ポリシーを正しく扱い、Users / Total Restrictionsの件数が維持されるよう改善。
• 有効な自律型アクセスポリシーがない場合でも、Monitor / MonitorAndNotifyでサブプロセスの帰属情報が維持され、監査およびコンソール通知が正しく行われるよう改善。
• OpenProcessToken の監査イベントを拡充し、取得可能な場合はプロセスのPIDと名前を記録するよう改善。
• エンドポイント登録完了前にファイルアクセスが試行された場合、問題の特定と対処に役立つ明確な診断メッセージを返すよう改善。
• 監査イベントストリームから重複する subprocess_* レコードを削除して簡素化。また、FileAccessのすべての評価経路に policy_evaluation_status イベントを追加し、ポリシー評価の全過程を追跡できるよう改善。

macOS

• システム拡張機能の安定性を向上:

  • ディスプレイ復帰後も keeper_auth_event が安定して動作するよう改善。
  • コールドブート時にユーザー解決をブロックせず実行し、初回起動からEndpointSecurityへのシステム拡張機能の登録を維持。
  • ウォッチドッグにより、システム拡張機能から KeeperPrivilegeManager へのMQTT接続を自動復旧し、ポリシー配信が中断されないよう改善。
  • 企業ディレクトリ環境でもUIDからユーザー名への解決が速やかに完了し、システム拡張機能と KeeperPolicy の安定性を向上。
• Request Elevatedで、GUIアプリ、ターミナルアプリ、DMGインストーラーを意図したadmin/root権限で起動できるよう改善。
• FileAccessポリシーのワイルドカードスコープが、KeeperClient 経由で適用された場合に実行可能バイナリを正確に対象とするよう改善。
• 自律型AIポリシーが、承認済みエージェントから起動された入れ子の .app バンドル内のヘルパーにも一貫して適用されるよう改善。
• 自律型AIの理由入力とMFAによる許可が1回のプロンプトで完了し、初回の試行で対象アプリケーションが起動するよう改善。
• TaskExecutor でプロセスのタイムアウト時にパイプハンドルを適切に解放し、長時間稼働時の安定性と監査情報の品質を向上。
• macOSでのポリシー評価において、Windows固有のパス変数を含むクロスプラットフォーム向けポリシーセットも適切に処理できるよう改善。
• macOSの監査イベントで、自律型AIの処理連鎖 (Cursor、Claude、シェルラッパーなど) で、重複を除いたタイムスタンプ付きのプロセス系譜を監査イベントに記録するよう改善。
• macOSの自動アップデートで、既存のシステム拡張機能が [activated enabled] の状態でも新しいビルドをインストールし、エンドポイントが常に最新リリースへ更新されるよう改善。
• MDMのフルディスクアクセスプロファイルが KeeperPrivilegeManager.app に自動適用され、操作不要でのエンタープライズ展開が可能になるよう改善。
• DMG/PKGの権限昇格時にフルディスクアクセスが付与されていない場合、具体的な原因と解決手順を示すエラーを表示するよう改善。

Linux

• Kill-on-Denyで拒否対象となったラッパースクリプトのみを正確に終了し、FirefoxやVS Codeなど周辺のアプリケーションには影響を与えないよう改善。
• KeeperLinuxAgent で、システムUIDに対する自動許可の判断について、他のプラグインと統一された簡潔な形式でsyslogに出力するよう改善。