AIエージェントは日々、爆発的に増加しています。導入は急増しており、Gartner社は、組み込み型のタスク特化型AIエージェントが、今年の年末までにエンタープライズアプリケーションの40%に搭載されると予測しています。これは、現在の5%未満から大幅な増加です。
これらのエージェントは、複雑なタスクを遂行する能力が著しく向上しています。機密データや制限付きデータへのアクセス、重要なワークフローの呼び出し、ユーザーに代わってActionsを実行する機能が、すでに必要になっているか、将来的に必要となる可能性があります。そして、エージェントは人の手をほとんど、あるいはまったく介さずにこれらのタスクを実行します。
AIエージェントはまだ比較的新しいものであり、ほとんどの組織は「実験段階」にあって、グリーンフィールドアプローチを採用しています。その結果、多くの開発者は、広範なセキュリティへの影響を必ずしも考慮することなく、エンドツーエンドの機能に重点を置いた新しいエージェントを立ち上げています。これにより、アイデンティティと監査性において大きな死角が生まれています。
あるシナリオを考えてみましょう。開発チームが、ビジネスに不可欠なワークフローを自動化するAIエージェントを構築しているとします。このワークフローでは、エージェントがCRMにアクセスし、レポートサービスにクエリを実行する必要があります。セキュリティレビューが行われるまでは、すべてが順調に進んでいるように見えます。しかし、レビュー後には、チームは次の質問に答える必要があります。
- このAIエージェントの所有者をご存知ですか。
- このエージェントがここ数週間で実行したアクションをご存知ですか。
- AIエージェントが持つすべてのアクセス権を遮断するにはどうすればよいですか。
これらは非常に基本的ながらも重要な質問です。問題は、ほとんどのアイデンティティとアクセス管理（IAM）ソリューションが、そうした問いに答えることを目的として設計されていない点にあります。本稿では、AIエージェントがなぜ特有のセキュリティチャレンジを生み出すのか、また、AIエージェントが統制されていない場合に何が危険にさらされるのかについて解説します。また、AIエージェントのアイデンティティを保護するための基本原則についても、これらの死角が侵害につながる前に探っていきます。
AIエージェントの現状
AIエージェントは導入のペースを加速させながら、さまざまな業種にわたる実際のビジネス課題を解決しています。
- あるフィンテック企業では、カスタマーサービスボットがサポートチャットの3分の2を処理しており、これは700人のフルタイム従業員に相当します。
- アナリティクスエージェントはデータベースやデータウェアハウスにクエリを実行して、ビジネスインテリジェンスレポートを生成できます。
- コード生成エージェントは、リポジトリへのアクセス、プルリクエストのレビュー、改善点の提案を自律的に実行できます。
- 営業アシスタントはパイプラインデータを分析し、パーソナライズされたアウトリーチEメールを作成して、案件サイクルを迅速化できます。
これらのエージェントはそれぞれ、業務を遂行するために機密性の高いシステムやデータへのアクセスを必要とします。そして、そこから問題が始まります。
アイデンティティの死角
このようなトレンドと爆発的な普及を背景に、多くの組織は自社のAIエージェントに関する基本的な質問に答えることができません。
- AIエージェントはいくつありますか。IT部門は公式に認可されたエージェントについては把握しているかもしれませんが、試験的なエージェントについてはどうでしょうか。
- 所有者は誰ですか？エージェントが不正な動作をした場合、誰が責任を負うのでしょうか。どのチームがデプロイしましたか。誰がアクセスを承認しましたか？
- どのシステムにアクセスできますか？貴社のカスタムサービスボットはCRMへの読み取り専用アクセス権を持っていますか。それとも、レコードを変更できますか。不要な財務データにアクセスできますか。
- どのような権限を持っていますか？
これらの死角こそが、セキュリティギャップが存在する場所です。これらのエージェントは、企業の管理対象セキュリティシステムの監視をすり抜けるため、可視化されません。理由は次のとおりです。
- 中央レジストリの欠如：従業員は人事システムやアイデンティティディレクトリに存在しますが、AIエージェントには統一されたインベントリが存在しません。AIエージェントは、クラウドアカウント、社内システム、SaaSプラットフォームに分散しています。
- 認証情報のスプロール化：AIエージェントはまだ比較的新しい存在であり、APIキー、サービスアカウントの認証情報、OAuthトークンを使用して認証を行います。これらの認証情報は、コードリポジトリ、環境変数、構成ファイルなどに保存されることが多く、一元管理されたシステムの外にあることは明らかです。
- AIエージェントはファーストクラスの市民ではない：ほとんどの組織は、AIエージェントをアイデンティティガバナンスを必要とする自律的なアクターとしてではなく、技術的な統合として扱っています。この分類上のギャップにより、これらは人間用のアイデンティティに適用される登録、ライフサイクル、監査の各プロセスを回避できてしまいます。
管理されていないAIエージェントのセキュリティリスク
本格的なアイデンティティを提供する一元化されたシステムがない場合、管理されていないエージェントがセキュリティの脆弱性を引き起こす原因となります。
- 過剰な権限を持つアクセス：チームが実験を行う際、機能性を確保するためにエージェントに広範な権限を付与することが多く、基本的な最小権限の原則が見失われがちです。エージェントが侵害されると、そのすべての権限が攻撃者に悪用されます。
- 説明責任の欠如：エージェントはオペレーションを実行しますが、アクセストークンのコーディング方法によっては、実際のアクターのコンテキストが取得されない場合があります。システムログには「APIコールが実行されました」と表示されるだけで、どのエージェント、どの担当者、そして不可欠なコンテキストといった情報は記録されないことがほとんどです。
- コンプライアンスの悪夢：GDPRやHIPAAなどの規制では、適切なデータ処理が求められます。つまり、組織は機密データに誰がアクセスできるのか、いつアクセスしたのか、なぜアクセスしたのかといった問いにいつでも答えられるようにしておく必要があります。
貴社のセキュリティチームが、ゾンビ化した、または不正なAIエージェントが6か月間にわたって顧客の個人を特定できる情報（PII）にアクセスしていたことを発見したとします。誰がデプロイしたか、という問いに答える必要があります。なぜ存在するのでしょうか。どのデータにアクセスしましたか。これらの権限を承認したのは誰ですか？そのアクセスを取り消すにはどうすればよいですか。
ID 管理がなければ、これらの疑問は未解決のままです。インシデント対応を完了したり、影響を受けたお客様に正確に通知したり、規制当局に侵害を封じ込めたことを保証したりすることができなくなります。
AIエージェントのアイデンティティを保護するための基本原則
すべてのエージェントを検出して登録します
存在を把握していないものを保護することはできません。IT部門の監視が及ばない場所にデプロイされたものも含め、環境内のすべてのAIエージェントを特定し、一元管理システムに統合します。インフラストラクチャをスキャンしてAIエージェントを検出する自動ディスカバリーツールを統合し、それらを一元的な登録システムに集約して、各エージェントに明示的なアイデンティティを割り当てます。
人的なアカウンタビリティを割り当てる
すべてのエージェントには、そのアクションに責任を負う所有者（チームまたは個人）が必要です。これにより、問題発生時の明確なエスカレーションパスが確保され、人間の所有者がいないゾンビエージェントの稼働を防止できます。
ポリシーによって最小権限を適用します
エージェントのリソースへのアクセスは、ポリシーによって保護され、きめ細かい権限で付与される必要があります。エージェントごと、リソースごとの包括的な権限ではなく、ポリシーベースで範囲を限定したアクセス制御を利用します。
すべてを監査します
すべてのエージェントのアクションを、完全なコンテキスト（発生した事象、実行したエージェント、実行対象、および関連リソース）とともにログに記録します。システムログは、エージェントのアイデンティティ、操作の種類、および人間の所有者を記録し、リアルタイムの監視と異常検知のために、トークンの付与、アクセス試行、ポリシー評価を可視化する必要があります。
死角をなくし、可視化を実現
AIエージェントは定着しつつあり、ほとんどのセキュリティチームが追跡するよりも速いペースで増殖しています。AIエージェントのアイデンティティをサポートする機能を備えたIAMプロバイダーと提携する組織は、自社のAIエコシステムをよりセキュアに統制できます。対策を先延ばしにすると、侵害やコンプライアンス違反によってブラインドスポットが露呈するリスクがあります。
AIエージェントを新たなセキュリティインシデントにしないために。
Oktaは、AIエージェントの包括的なID 管理を提供します。これには、登録、ライフサイクル管理から、ポリシーの適用、監査証跡までが含まれます。
