エージェント型人工知能(AI)は、効率とイノベーションの新たな機会をもたらすと同時に、サイバーセキュリティにおける新たな課題、つまり非人間であるAIアイデンティティの保護をもたらします。人間によるアイデンティティガバナンスがコンプライアンスとセキュリティにとって不可欠であるように、AIエージェントのエンドツーエンドのアイデンティティセキュリティはもはやオプションではなく、AIエージェントが次の内部脅威になるのを防ぐために不可欠です。
AIエージェントの一意のアイデンティティ
人間のユーザーとは異なり、AIエージェントは自律的に動作し、人間の絶え間ない介入なしに意思決定を行い、システムと対話します。この根本的な違いは、人向けに構築された従来のアイデンティティセキュリティ対策を、これらの非人間アイデンティティ(NHI)に単純にコピー&ペーストできないことを意味します。
AIエージェントのID管理が新たなアプローチを必要とする理由をいくつかご紹介します。
- 非ヒューマンな性質: AIエージェントは、個人ではなく、ソフトウェア、サービスアカウント、または自律インスタンスです。これにより、アカウンタビリティを特定の人物にまで遡って追跡することが困難になります。
- 動的で一時的なライフサイクル:比較的安定した人間のアカウントとは異なり、AIエージェントは頻繁にスピンアップおよびスピンダウンされることが多く、迅速なプロビジョニングおよびプロビジョニング解除プロセスが必要です。
- 多様な認証方法:エージェントは、APIトークン、JSON Webトークン、相互TLS、暗号化証明書などのプログラムによる認証方法に依存しており、これらは人間のログインフローとは大きく異なります。
- 自動プロビジョニング: これらは通常、CI/CDパイプラインからデプロイされ、人的な介入なしに自動的にプロビジョニングされる必要があります。
- きめ細かく時間制限のある権限: エージェントは、露出を最小限に抑えるために、ユースケースに合わせて調整された非常に具体的で、多くの場合一時的な権限を必要とします。
- 特権情報へのアクセス: AI エージェントは、タスクを実行するために高度に機密性の高いデータに頻繁にアクセスするため、悪用を防ぐために特権に対する厳格な制御が必要です。
- 監査と修復の課題: 強力なライフサイクルとID制御がない場合、エージェントの追跡可能な所有権と一貫したロギングの欠如は、インシデント後のフォレンジックを遅らせ、侵害後の修復作業を複雑にする可能性があります。
新しいセキュリティリスクがAIエージェントによって導入されています。
AIは、AIを利用したフィッシング、ディープフェイク、脆弱なハードコードされた認証情報などの新しい脅威をもたらします。デプロイされた各AIエージェントは、デジタル攻撃対象領域を拡大する可能性があります。 AIエージェントに広範なアクセス権を付与することは、誰かに「スーパー管理者」アクセス権を与えて立ち去るのと同じデジタル上の行為です。自律的なエンティティは、予測不可能かつ倦むことなくその目標に向かって動作します。
侵害されたエージェントは、価値の高いトランザクションを実行したり、機密情報(例:パスポートの詳細、クレジットカード番号)を不正なエンティティと誤って共有したりする可能性があり、プライバシー侵害や潜在的ななりすましにつながる可能性があります。 正式なライフサイクルまたはアクセスポリシーがない場合、AIエージェントは監査ギャップを導入し、コンプライアンスレポート作成を困難にし、違反シナリオでの説明責任を不明瞭にします。
なぜ今これが重要なのか
AIエージェントの導入は加速しており、世界の企業の51%がすでに導入しています。しかし、セキュリティとガバナンスは追いついていません。驚くべき統計が、この課題の緊急性を浮き彫りにしています。ITプロフェッショナルの23%がAIエージェント経由での認証情報の漏洩を報告しており、80%が意図しないエージェントの動作を経験しています。さらに、AIエージェントを管理するポリシーを持っている組織はわずか44%であり、新たな攻撃ベクトルに対して脆弱な状態です。企業はエージェントを保護するよりも速いペースで展開しており、エージェントのアクセスとアクティビティに対する可視性が著しく欠如しています。
Oktaのソリューション:コントロールプレーンとしてのID
Oktaでは、IDはセキュリティの要であると信じており、この原則はAIエージェントの新興世界にも当てはまります。Oktaは、NHIをIDセキュリティファブリックに取り込むのに役立ち、AIエージェントのIDを大規模に構築、管理、および管理できるようにし、最初から安全に構築され、組織内でファーストクラスのIDとして扱われるようにします。
私たちのアプローチは、認証からガバナンス、ポスチャ管理、脅威対応まで、AIエージェントのアイデンティティニーズに対応する統合コントロールプレーンを提供することで、AIがアイデンティティの盲点になるのを防ぎます。
Okta Platformを使用すると、組織はサードパーティ製または自家製のAIエージェントをアイデンティティセキュリティファブリックにシームレスに統合できます。 これにより、次のことが可能になります。
- 全体的な可視性と一元化されたガバナンス:人間と非人間の両方のIDの完全なビューを取得し、コンプライアンスと迅速なインシデント対応に不可欠な一元化されたロギング、堅牢なガバナンス、およびポリシー制御を可能にします。
- 標準化された認証と認可: AIエージェントがリソースを認証する方法を標準化し、アプリケーション全体でのアクセスレベルを制御します。
- 最小特権の適用:すべてのAIエージェントインタラクションに対して、最小特権アクセスと継続的な評価および保護を適用します。
- クロスアプリケーションアクセス(CAA)for AIエージェント: この新しい認証プロトコルは、アプリとエージェントのアクセス制御をエンタープライズIDレイヤーに移します。ほとんどの接続にリアルタイムでポリシーを適用し、システム全体のデータアクセスを標準化し、危険な認証情報と管理されていない接続を排除します。
AIエージェントが相互接続され、高度化するにつれて、そのIDを管理することが信頼とセキュリティの重要な基盤となります。Oktaのアプローチは、セキュリティフレームワークがAIの導入とともに進化することを保証し、比類のない可視性、制御、および修復機能を提供します。
ぜひOktane 2025にご参加いただき、OktaがAIをどのように保護するかについて詳細をご覧ください。
本資料は一般的な情報提供のみを目的としたものであり、法務、プライバシー、セキュリティ、コンプライアンス、またはビジネス上の助言を目的としたものではありません。
© Okta and/or its affiliates.All Rights Reserved.