AIエージェントが企業セキュリティにもたらす新たな課題
AIエージェントが業務を加速させる一方で、企業セキュリティに新たな課題を投げかけています。会議のスケジュール調整、データアクセス、ワークフローのトリガー、コード記述など、AIエージェントは人間の速度を超えて生産性を向上させますが、その導入には「誰がこれを承認したのか？」という根本的な疑問がつきまといます。
従来のユーザーやアプリケーションとは異なり、AIエージェントは迅速に展開され、広く共有され、広範なアクセス権が付与されることが多いため、その所有権、承認、説明責任を追跡することは困難です。かつては単純だったこの問いが、今や驚くほど答えるのが難しくなっています。
AIエージェントが従来のアクセスモデルを破壊する理由
AIエージェントは単なる別の種類のユーザーではありません。人間や従来のサービスアカウントとは根本的に異なり、これらの違いが既存のアクセスおよび承認モデルを破綻させています。
- 人間のアクセス: 明確な意図に基づき、役割に紐付けられ、定期的にレビューされ、時間と文脈によって制限されます。
- サービスアカウント: 通常、特定のアプリケーションや機能のために作られ、スコープが狭く、目的が限定されています。
AIエージェントは、委任された権限で動作し、継続的な人間の関与を必要とせずに複数のユーザーやチームに代わって行動できます。一度認可されると、自律的かつ永続的に動作し、タスクをエンドツーエンドで完了するために様々なシステムやデータソース間を移動します。このモデルでは、委任されたアクセスはユーザーの行動を自動化するだけでなく、拡大させます。人間ユーザーは明示的に付与された権限によって制限されますが、AIエージェントは効果的に機能するために、より広範で強力なアクセス権を与えられることがよくあります。結果として、エージェントはユーザー自身が承認されていなかったアクションを実行できる可能性があります。アクセスが一度確立されると、エージェントは行動できます。ユーザーがそのアクションを実行するつもりはなかった、あるいはそれが可能であることを知らなかったとしても、エージェントはそれを実行できてしまいます。
これによりアクセスドリフトが発生します。エージェントはスコープが拡大するにつれて、静かに権限を蓄積していきます。統合が追加され、役割が変わり、チームが出入りしても、エージェントのアクセスは残ります。彼らは広範で長期的な権限を持ち、多くの場合、明確な所有者がいない強力な仲介者となります。既存のIAMの前提が崩壊するのも不思議ではありません。IAMは明確なID、定義された所有者、静的な役割、人間行動にマッピングされる定期的なレビューを前提としています。AIエージェントはこれらのパターンに従いません。彼らはユーザーやサービスアカウントのカテゴリーにきれいに収まらず、継続的に動作し、その実効アクセスは、元々承認された方法ではなく、どのように使用されるかによって定義されます。これらの前提を再考しない限り、IAMはAIエージェントがもたらす真のリスクに盲目となります。
企業におけるAIエージェントの3つのタイプとリスク
すべてのAIエージェントが企業環境で同じリスクを伴うわけではありません。リスクはエージェントの所有者、使用範囲、およびアクセス権によって異なり、セキュリティ、説明責任、および影響範囲に関して非常に異なるカテゴリーに分類されます。
- パーソナルエージェント (ユーザー所有): 個々の従業員が日常業務を支援するために使用するAIアシスタントです。これらのエージェントは通常、それを所有するユーザーの権限内で動作し、アクセスは継承され、拡大されません。所有権が明確でスコープが限られているため、影響範囲は比較的小さく、リスクは個々のユーザーに直接紐付けられます。
- サードパーティエージェント (ベンダー所有): SaaSおよびAIプラットフォームに組み込まれており、ベンダーから製品の一部として提供されます。説明責任はベンダーが負い、企業としての視点からは、所有権、承認パス、および責任は通常よく理解されています。主な懸念はAIサプライチェーンのリスクです。
- 組織エージェント (共有および多くの場合所有者不明): 内部で展開され、チーム、ワークフロー、およびユースケース間で共有されます。これらはプロセスを自動化し、システムを統合し、複数のユーザーに代わって行動します。効果的に機能するために、これらのエージェントには、単一ユーザーのアクセス権を超える広範で永続的な権限が付与されることがよくあります。ここにリスクが集中しています。組織エージェントは、明確な所有者、単一の承認者、および定義されたライフサイクルを持たないことが頻繁にあります。結果として、組織エージェントは、明確な説明責任なしに大規模に動作するため、最高のリスクと最大の影響範囲を表します。
エージェントによる認可バイパス問題
AIエージェントはタスクを実行するだけでなく、アクセス仲介者としても機能します。ユーザーがシステムと直接対話するのではなく、エージェントがユーザーに代わって、自身の資格情報、トークン、統合を使用して動作します。これにより、認可決定が実際に行われる場所がシフトします。
エージェントが個々のユーザーに代わって動作する場合、ユーザーに承認された権限を超えるアクセスと機能を提供することができます。特定のデータに直接アクセスしたり、特定のアクションを実行したりできないユーザーでも、それが可能なエージェントをトリガーする可能性があります。エージェントはプロキシとなり、ユーザーが単独では実行できなかったアクションを可能にします。これらのアクションは技術的には承認されていますが、それらは文脈的に安全ではありません。従来のアクセス制御は、資格情報が正当であるため、いかなるアラートもトリガーしません。これがエージェントによる認可バイパスの核心です。アクセスは正しく付与されますが、セキュリティモデルが想定していなかった方法で使用されます。
AIエージェントのリスク再考：企業に求められる変革
AIエージェントを保護するには、リスクの定義と管理方法を根本的に変更する必要があります。エージェントはもはやユーザーの拡張やバックグラウンドの自動化プロセスとして扱われるべきではありません。それらは、独自のID、権限、およびリスクプロファイルを持つ機密性の高い、潜在的に高リスクなエンティティとして扱われる必要があります。
これは、明確な所有権と説明責任から始まります。すべてのエージェントには、その目的、アクセス範囲、および継続的なレビューに責任を持つ定義された所有者がいる必要があります。所有権がなければ、承認は無意味になり、リスクは管理されないままです。さらに、組織はユーザーがエージェントとどのように対話するかをマッピングする必要があります。エージェントが何にアクセスできるかを理解するだけでは不十分です。セキュリティチームは、どのユーザーが、どのような条件下で、どのような実効権限でエージェントを呼び出すことができるかを可視化する必要があります。このユーザーとエージェントの接続マップがなければ、エージェントはサイレントに認可バイパスパスとなり、ユーザーが直接実行することを許可されていないアクションを間接的に実行できるようになります。
最後に、組織はエージェントのアクセス、統合、およびデータパスをシステム全体でマッピングする必要があります。ユーザー → エージェント → システム → アクションを関連付けることによってのみ、チームは影響範囲を正確に評価し、誤用を検出し、問題が発生した場合に疑わしい活動を確実に調査することができます。
制御されていない組織AIエージェントがもたらす代償
制御されていない組織AIエージェントは、生産性の向上をシステム的なリスクに変えてしまいます。チーム間で共有され、広範で永続的なアクセス権を与えられたこれらのエージェントは、明確な所有権や説明責任なしに動作します。時間が経つにつれて、新しいタスクに使用されたり、新しい実行パスを作成したりすることがあり、その行動は追跡したり抑制したりすることがより困難になります。問題が発生した場合、対応、是正、さらには完全な影響範囲を理解するための明確な所有者はいません。可視性、所有権、およびアクセス制御がなければ、組織AIエージェントは、企業セキュリティランドスケープにおいて最も危険で、最も管理されていない要素の1つとなります。
元記事: https://thehackernews.com/2026/01/who-approved-this-agent-rethinking.html