エージェント型人工知能（AI）は、効率化とイノベーションに新たな機会をもたらす一方で、サイバーセキュリティに新たな課題、すなわち人間以外のAIアイデンティティのセキュリティ確保という課題も生み出します。人間のアイデンティティガバナンスがコンプライアンスとセキュリティに不可欠であるのと同様に、AIエージェントのエンドツーエンドのアイデンティティセキュリティも、もはや選択肢ではありません。AIエージェントが新たな内部脅威となるのを防ぐために不可欠です。
AIエージェントの一意のアイデンティティ
人間のユーザーとは異なり、AIエージェントは自律的に動作し、人間の絶え間ない介入なしに意思決定を行い、システムと対話します。この根本的な違いは、人向けに構築された従来のアイデンティティセキュリティ対策を、これらの非人間アイデンティティ（NHI）に単純にコピー＆ペーストできないことを意味します。
AIエージェントのID管理が新たなアプローチを必要とする理由をいくつかご紹介します。
- 人間ではないという性質：AIエージェントは、ソフトウェア、サービスアカウント、または自律的なインスタンスであり、個人ではありません。これにより、特定の個人まで遡って責任を追及することが困難になります。
- 動的で一時的なライフサイクル：比較的安定している人間のアカウントとは異なり、AIエージェントは頻繁に起動と停止を繰り返すため、迅速なプロビジョニングとデプロビジョニングのプロセスが必要になります。
- 多様な認証方式：エージェントは、APIトークン、JSON Web Token、相互TLS、暗号化証明書といったプログラムによる認証方式に依存しており、これらは人間によるログインフローとは大きく異なります。
- 自動プロビジョニング：通常、CI/CDパイプラインから展開され、人手を介さずに自動でプロビジョニングされる必要があります。
- きめ細かく、時間制限のある権限：エージェントには、リスクを最小限に抑えるために、ユースケースに合わせて調整された、非常に具体的で、多くの場合一時的な権限が必要です。
- 特権付き情報へのアクセス：AIエージェントは、タスクを実行するために機密性の高いデータに頻繁にアクセスします。そのため、悪用を防ぐためにエージェントの特権を厳格に管理する必要があります。
- 監査と復旧の課題：強力なライフサイクル管理とアイデンティティ統制がなければ、エージェントの所有者追跡や一貫したログ記録が行えず、インシデント後のフォレンジック調査の遅れや侵害発生時の復旧対応の複雑化を招くおそれがあります。
新しいセキュリティリスクがAIエージェントによって導入されています。
AIは、AIを利用したフィッシング、ディープフェイク、脆弱なハードコードされた認証情報といった新たな脅威をもたらします。展開されるAIエージェントはそれぞれ、企業のデジタル攻撃対象領域を拡大させる可能性があります。AIエージェントに広範なアクセス権を付与することは、誰かに「スーパー管理者」のアクセス権を与えてその場を離れることに等しい行為です。自律的なエンティティは、その目標に向かって予測不能かつ精力的に活動します。
侵害されたエージェントは、高額な取引を実行したり、機密情報（パスポート情報、クレジットカード番号など）を権限のない主体に誤って共有したりする可能性があります。その結果、プライバシー侵害やアイデンティティの盗難につながるおそれがあります。正式なライフサイクルポリシーやアクセスポリシーがないと、AIエージェントによって監査のギャップが生じ、コンプライアンスレポートの作成が困難になります。また、侵害が発生した場合の責任の所在も曖昧になります。
なぜ今これが重要なのか
AIエージェントの導入は加速しており、全世界ですでに51％の企業が導入しています。しかし、セキュリティとガバナンスは、こうした変化に対応しきれていません。この課題の緊急性は、憂慮すべき統計によって浮き彫りになっています。IT担当者の23％がAIエージェントによる認証情報の漏洩を報告し、80%がエージェントの意図しない動作を経験しています。さらに、AIエージェントを管理するポリシーを導入している組織はわずか44％であり、新たな攻撃ベクトルに対して脆弱なままとなっています。企業はエージェントのセキュリティを確保するよりも速いペースでエージェントを展開しているため、エージェントのアクセスやアクティビティに対する可視性が著しく欠如する事態を招いています。
Oktaのソリューション：コントロールプレーンとしてのID
Oktaでは、アイデンティティこそがセキュリティの基盤であると考えており、この原則は新たに登場したAIエージェントの世界にも当てはまります。Oktaは、NHIをお客様のIdentity Security Fabricに統合するのを支援します。これにより、AIエージェントのアイデンティティを大規模に構築、統制、管理できるようになり、AIエージェントが基礎からセキュアに構築され、組織内で第一級のアイデンティティとして扱われることを保証します。
私たちのアプローチは、認証からガバナンス、ポスチャ管理、脅威対応まで、AIエージェントのアイデンティティニーズに対応する統合コントロールプレーンを提供することで、AIがアイデンティティの盲点になるのを防ぎます。
Okta Platformを利用することで、組織はサードパーティ製か自社開発かにかかわらず、AIエージェントをIdentity Security Fabricにシームレスに統合できます。これにより、次のことが可能になります。
- 包括的な可視性と一元的なガバナンス：人とマシン両方のアイデンティティを完全に可視化し、一元的なログ記録、堅牢なガバナンス、ポリシー制御を実現します。これらはコンプライアンスや迅速なインシデント修復に不可欠です。
- 認証と認可の標準化：AIエージェントがリソースに対して認証を行い、アプリケーション全体でアクセスレベルを制御する方法を標準化します。
- 最小権限の適用：すべてのAIエージェントのインタラクションに対し、最小権限アクセスと継続的な評価および保護を適用します。
- AIエージェント向けクロスアプリケーションアクセス（XAA）：この新しい認可プロトコルは、アプリおよびエージェントのアクセス制御を企業のアイデンティティレイヤーに集約させます。ほぼすべての接続に対してポリシーをリアルタイム適用し、システム間のデータアクセスを標準化することで、リスクのある認証情報や管理外の接続を排除します。
AIエージェントが相互接続され、高度化するにつれて、そのIDを管理することが信頼とセキュリティの重要な基盤となります。Oktaのアプローチは、セキュリティフレームワークがAIの導入とともに進化することを保証し、比類のない可視性、制御、および修復機能を提供します。
Oktane 2025にぜひご参加ください。OktaがどのようにAIのセキュリティを確保しているか、詳しくご紹介します。
本資料は一般的な情報提供のみを目的としたものであり、法務、プライバシー、セキュリティ、コンプライアンス、またはビジネス上の助言を目的としたものではありません。
© Okta and/or its affiliates.All Rights Reserved.
